The Pulse — Sayı 04: Veri Koruma Alanındaki Hukuki Düzenlemeler

Ocak 2026 | Başaran Law Firm

Avusturya Yüksek Mahkemesi Meta'nın Tam Bilgilendirme Yükümlülüğünü Vurguladı

Avusturya Yüksek Mahkemesi (OGH), Meta'nın bir kullanıcının GDPR kapsamındaki erişim hakkını "kısmi" şekilde karşılayamayacağı yönünde önemli bir karar verdi. Meta, kullanıcının talebi üzerine yalnızca "hesap ayarlarında görünen bilgiler" ile yetinemez; işlediği kişisel verilerin tamamının kopyasını ve bu veriler bakımından hangi amaçlarla işlendiği, verinin kaynağı ve kimlere aktarıldığı gibi temel şeffaflık unsurlarını da anlaşılır biçimde sağlamak zorunda.

Kararın öne çıkan yönü, erişim hakkının "genel bilgilendirme" ile geçiştirilemeyeceğinin netleştirilmesi. Yani şirketin gizlilik politikası linki paylaşması veya yalnızca seçtiği bazı veri kategorilerini göstermesi, mahkemenin yaklaşımına göre m.15'in ruhunu karşılamıyor. Kullanıcı, kendisi hakkında hangi verinin tutulduğunu "tam resim" halinde görebilmeli; bu da şirket tarafında veri envanteri, veri kaynakları ve alıcı/aktarım kayıtlarının gerçekten yönetilebilir olmasını gerektiriyor.

Kararda ayrıca Meta'nın reklam modeliyle ilgili kritik bir vurgu da var: kişiselleştirilmiş reklamcılık için kullanılan veri işleme faaliyetlerinde "hukuki dayanak" tartışması hâlâ gündemde. Mahkeme, özellikle üçüncü taraf siteler/uygulamalar üzerinden gelen verilerde özel nitelikli veri (ör. siyasi görüş, sağlık bilgisi vb.) bulunabileceğini; "biz bunu amaçlamıyoruz" veya "teknik olarak ayıramıyoruz" gibi savunmalarla bu riskin görmezden gelinemeyeceğini işaret ediyor.

CNIL'den Veri İhlali Kararı: MOBIUS'a 1 Milyon Euro Ceza

Fransa veri koruma otoritesi CNIL, DEEZER kullanıcılarını etkileyen bir veri ihlaliyle bağlantılı olarak, DEEZER'in eski hizmet sağlayıcısı olan MOBIUS SOLUTIONS LTD'ye 1 milyon Euro para cezası verdi. CNIL, şirketin DEEZER için kişiselleştirilmiş reklam kampanyaları yürüttüğünü ve bu süreçte "veri işleyen" sıfatıyla, özellikle alt işleyen zinciri ve sözleşme sonrası veri yönetimi konusunda GDPR kurallarına uymadığını belirtti. Karar 11 Aralık 2025 tarihli; CNIL duyurusu ise 19 Aralık 2025'te yayımlandı.

Kararda üç ihlal öne çıkıyor:

MOBIUS'un sözleşme ilişkisi bittikten sonra 46 milyondan fazla DEEZER kullanıcısına ait verinin bir kopyasını elinde tutmaya devam etmesi;
MOBIUS'un DEEZER verisini, DEEZER'den açık bir talimat olmaksızın kendi hizmetlerini geliştirmek amacıyla kopyalayıp kullanması; ve
MOBIUS'un, veri işleyen sıfatıyla yürüttüğü faaliyetlere ilişkin işleme kayıtlarını tutmadığının tespit edilmesi.

CNIL ayrıca, MOBIUS AB'de yerleşik olmasa bile DEEZER kullanıcı verileri üzerinde yapılan analiz, segmentasyon ve barındırma faaliyetlerini "kişilerin davranışlarının izlenmesi" kapsamında değerlendirerek GDPR'nin uygulanabilir olduğuna ve bu dosyada CNIL'in yetkili olduğuna işaret etti.

Kullanıcılara Hesap Açtırma Zorunluluğu Sınırlı Olmalı

Avrupa Veri Koruma Kurulu EDPB, 4 Aralık 2025 tarihli toplantısında, e-ticaret sitelerinde kullanıcıların alışveriş yapmadan önce zorunlu hesap açmaya zorlanmasının hangi durumlarda hukuken mümkün olabileceğine ilişkin yeni tavsiyeler yayımladı. Kurul, çevrimiçi mağazaların yalnızca satın alma için değil, kampanya takibi veya ürün gezintisi gibi amaçlarla da ziyaret edildiğini; hesap zorunluluğunun ise gereksiz veri toplama ve ek güvenlik riskleri doğurabildiğini vurguladı.

EDPB'nin yaklaşımı açık. Genel kural olarak kullanıcıların, hesap oluşturmadan da siteyle etkileşime girebilmesi ve alışverişi tamamlayabilmesi gerekiyor. Bu yüzden Kurul, e-ticaret sitelerinin kullanıcıya iki seçenek sunmasını öneriyor: "guest" modunda hesap açmadan alışveriş veya kullanıcının tercihine bırakılmış gönüllü hesap oluşturma.

Bununla birlikte Kurul, zorunlu hesap açmanın tamamen yasak olmadığını; ancak sınırlı sayıda durumda gerekçelendirilebileceğini söylüyor. Bu çerçevede mesaj şu: "hesap açtırmak" pratik bir ticari tercih olabilir, ama hukuki zemini otomatik olarak oluşmuyor; her durumda ölçülülük ve gerekçelendirme gerekiyor.

EDPB ayrıca aynı toplantıda Digital Omnibus teklifini de ön değerlendirmeye aldığını ve bu konuda EDPB ile EDPS'nin Ortak Görüş yayımlayacağını duyurdu. Kurul, özellikle "kişisel veri" tanımında önerilen değişikliğin, mevcut ABAD içtihadının ötesine geçebileceği ve veri koruma temel hakkını zayıflatma riski taşıyabileceği uyarısında bulundu.

Disney COPPA Dosyasında 10 Milyon Dolarlık Uzlaşma

ABD'de bir federal yargıç, Disney'in çocuklara yönelik içerikler üzerinden çocukların kişisel verilerinin hukuka aykırı şekilde toplanmasına izin verdiği iddialarını kapatmak için 10 milyon dolar ödemesini öngören uzlaşma kararını onayladı. Federal Ticaret Komisyonu'nun (FTC) açıklamasına göre dosya, çocuklara dönük videoları izleyen 13 yaş altı çocuklardan, ebeveynlere bildirim yapılmadan ve doğrulanabilir ebeveyn rızası alınmadan veri toplanması iddiasına dayanıyor. FTC basın açıklaması 31 Aralık 2025 tarihinde yayımlandı.

Mahkemenin kesinleştirdiği uzlaşma kapsamında Disney'in üç temel yükümlülüğü var:

COPPA kuralı ihlali nedeniyle 10 milyon dolar sivil para cezası ödemek;
13 yaş altı çocuklardan veri toplanmadan önce ebeveynleri bilgilendirmek ve doğrulanabilir ebeveyn rızasını almak dahil COPPA'ya uyum sağlamak; ve
YouTube'a yüklenen videoların "Made for Kids" olarak işaretlenip işaretlenmemesi gerektiğini düzenli kontrol edecek bir inceleme programı kurmak ve işletmek.

Kişisel Sağlık Verileri Hakkında Yönetmelik'te Değişiklik Yapıldı

Yeni düzenleme ile kişisel sağlık verilerine erişim kuralları yeniden belirlendi. Aile hekimi dışındaki hekimlerin erişimi görev, hizmet ilişkisi ve süre ile sınırlandırılmıştır. Yatış yapılan hastanede görevli hekimler için taburcu olana kadar, acil servis hekimleri için acil hizmetle sınırlı olarak verilere erişebilecek.

Ayrıca e-Nabız güvenlik tercihleri kapsamında, geçmiş sağlık verilerine erişim kural olarak kişinin onayına bağlanmış; ancak yatış ve acil durumlarda KVKK m.6/3 çerçevesinde bu sınırlama uygulanmayacaktır. Değişiklikle birlikte, boşanma sürecinde geçici velâyet kendisine bırakılan ebeveynin çocuğun sağlık verilerine erişimi mümkün hâle gelmiş; engelli raporu bulunan kişilerin sağlık verilerine bakım veren kişilerin erişimine imkân tanınmış; tutukluluk ve hükümlülük hâllerinde doğrulama kodu gönderilememesi nedeniyle hekimlerin erişimi için istisna getirilmiştir.

Avukatların Sağlık Verilerine Erişimi Güncellendi

3 Aralık 2025 tarihli ve 33096 sayılı Resmî Gazete'de yayımlanan Yönetmelik değişikliği ile, avukatların müvekkillerine ait sağlık verilerine erişimi için vekâletnamede açık rızaya ilişkin özel hüküm bulunmasını zorunlu kılan düzenleme yürürlükten kaldırılmıştır. Bu değişiklik, avukatların kişisel sağlık verilerine erişimini ortadan kaldırmamakta; aksine, genel vekâletname ile de sağlık verilerine erişilebilmesini mümkün kılarak yalnızca erişime ilişkin şekli şartı kaldırmaktadır.

Otel Check-in'inde Kimlik Fotokopisi: KVKK İlke Kararı Neyi Vurguluyor?

Kişisel Verileri Koruma Kurulunun "Turizm ve Otelcilik Sektöründe Konaklama Hizmeti Alan Kişilerin T.C. Kimlik Belgesi Fotokopisinin Kaydedilmesi Hakkında İlke Kararı" 09.12.2025 tarihinde yayımlandı. Turizm ve otelcilik alanında hizmet veren veri sorumluları tarafından, konaklama yerlerinde misafir edilen kişilerden T.C. kimlik belgesi fotokopisi alınması uygulamasına son verilmesine; daha önce alınan fotokopilerin Kanun'un 7'nci maddesine uygun olarak imha edilmesi gerektiğine karar verildi.

KVKK – VERBİS Kayıt Yükümlülüğüne İlişkin Güncel Kurul Kararı

Kişisel Verileri Koruma Kurulu'nun 25.12.2025 tarihli ve 2025/2393 sayılı Kararı ile, 04.09.2025 tarihli ve 2025/1572 sayılı Kurul Kararıyla güncellenen 19.07.2018 tarihli ve 2018/87 sayılı Kurul Kararı'nın uygulamasına açıklık getirilmiştir. Buna göre, bilanço esasına göre defter tutmayan veri sorumluları bakımından yıllık mali bilanço toplamı kriteri aranmayacak; VERBİS'e kayıt istisnası değerlendirmesinde yalnızca yıllık çalışan sayısı esas alınacaktır. Söz konusu karar, küçük ölçekli veri sorumluları açısından VERBİS yükümlülüğünün kapsamını netleştirerek uygulamadaki tereddütleri gidermektedir.

Deepfake İçeriklere Etiket Zorunluluğu Geliyor

Deepfake içeriklere ilişkin ilk cezai düzenleme adımı atıldı. 5651 sayılı Kanun'da değişiklik öngören kanun teklifi TBMM'ye sunuldu. Teklif, yapay zekâ ile üretilen sesli, yazılı ve görsel içeriklerde açık ve görünür bir "yapay zekâ etiketi" bulunmasını zorunlu kılıyor.

Etiketleme yükümlülüğüne aykırı davranan içerik sağlayıcılar, TCK 217/A kapsamında cezai sorumlulukla karşılaşabilecek. Düzenleme ile etiketsiz deepfake içeriklerin; kamu düzeni ve güvenliği, toplumsal algı, siyasi süreçler ve bilgi güvenliği açısından yarattığı risklerin önüne geçilmesi amaçlanıyor.

*Bu bülten yalnızca bilgilendirme amacıyla hazırlanmıştır; herhangi bir somut olay veya müvekkile yönelik hukuki görüş niteliği taşımaz.