The Pulse — Sayı 06: Veri Koruma Alanındaki Hukuki Düzenlemeler

Şubat 2026 | Başaran Law Firm

Avrupa Birliği ile Brezilya Arasında Veri Akışında Yeni Dönem

Avrupa Birliği ile Brezilya, kişisel verilerin korunması alanında karşılıklı yeterlilik (adequacy) kararlarını resmî olarak kabul etti. Bu gelişme, her iki tarafın da veri koruma standartlarının birbirine eşdeğer ve yeterli koruma sağladığı tespitine dayanıyor ve kişisel verilerin güvenli ve serbest biçimde akışını mümkün kılıyor.

Kararın yayınlanmasıyla birlikte Avrupa Birliği ve Brezilya arasında kişisel veriler, ek transfer hukuki gerekçelerine ya da sözleşmelere ihtiyaç olmadan karşılıklı olarak akabilecek. Bu durum, toplamda yaklaşık 670 milyon tüketiciyi kapsayan dünyanın en geniş "güvenli ve serbest veri akış bölgesini" ortaya çıkaracak.

AB tarafında karar, Avrupa Komisyonu tarafından GDPR (Genel Veri Koruma Yönetmeliği) kapsamında alınan uygulama kararı ile yürürlüğe kondu. Brezilya tarafında ise, LGPD (Brezilya Genel Kişisel Veri Koruma Kanunu) uyarınca kurulan veri koruma otoritesi ANPD'nin karşılıklı yeterlilik kabulü ile eşzamanlı bir düzenleme yapıldı. Böylece iki taraf da birbirlerinin veri koruma rejimlerini "yeterli" olarak tanıdı. Avrupa Komisyonu, bu kararın ticaret ilişkilerini güçlendireceğini, dijital ekonomiyi destekleyeceğini ve işletmeler için hukuki belirsizlikleri azaltacağını belirtti. Bu düzenleme, AB ile Mercosur arasında tarihî ortaklık anlaşmaları çerçevesinde atılan adımların bir parçası olarak da yorumlanıyor ve küresel veri koruma standartlarının uyumlaştırılmasında önemli bir eşik olarak değerlendiriliyor.

ICO'dan Transfer, Erişim ve Yaptırım Alanında Kritik Güncellemeler

2026 yılının başı, Birleşik Krallık veri koruma rejimi açısından dikkat çekici gelişmelere sahne oldu. Ülkenin veri koruma otoritesi olan Information Commissioner's Office (ICO), hem rehberlerini güncelledi hem de yaptırım yaklaşımına ilişkin önemli adımlar attı. Sürecin merkezinde ise 2025 tarihli veri reformu niteliğindeki Data (Use and Access) Act 2025 (DUAA) yer alıyor.

Erişim Hakkı Rehberinde Güncelleme: ICO, DUAA'ya uyum kapsamında veri sahiplerinin erişim hakkına (DSAR) ilişkin kılavuzunu güncelledi. Güncelleme ile "açıkça temelsiz" erişim taleplerinin kapsamı netleştirilirken, kuruluşların talepleri yanıtlarken "makul ve orantılı" bir yaklaşım benimsemesi gerektiği vurgulandı.
Uluslararası Veri Transferlerinde Üç Aşamalı Test: ICO, UK GDPR kapsamındaki uluslararası veri transferlerine ilişkin rehberi de önemli ölçüde sadeleştirdi ve netleştirdi. Güncellenen metin, kuruluşların "kısıtlı transfer" yapıp yapmadığını belirlemeleri için üç aşamalı bir test sunuyor.
Sözleşmesel Konum Esaslı Yeni Yaklaşım: Rehberdeki en dikkat çekici değişiklik ise transfer değerlendirmesinde coğrafi konumdan ziyade sözleşmesel konumun esas alınması oldu. ICO'ya göre önemli olan verinin fiziksel olarak nerede bulunduğu değil, alıcı kuruluşun kayıtlı olduğu ülke. Bu yaklaşım, veriler fiilen Birleşik Krallık dışına çıkmasa bile, sözleşme karşı tarafının "yetersiz" bir üçüncü ülkede kayıtlı olması halinde kısıtlı transfer söz konusu olabileceği anlamına geliyor.
ICO–Hükümet Arasında Mutabakat Anlaşması: 8 Ocak'ta ICO ile Birleşik Krallık Hükümeti arasında veri güvenliği alanında iş birliğini güçlendirmek amacıyla bir Mutabakat Anlaşması imzalandı. Anlaşma, kamu hizmetlerinde veri kullanımının güvenli şekilde geliştirilmesini ve veri ihlallerinden sistematik ders çıkarılmasını hedefliyor.
DUAA Madde 138 Yürürlüğe Girdi: DUAA'nın 138. maddesi de 6 Şubat 2026 itibarıyla yürürlüğe girdi. Söz konusu düzenleme, bir yetişkinin rızası olmadan "müstehcen olduğu iddia edilen görüntü" oluşturulmasını ve oluşturulmasının talep edilmesini suç haline getiriyor. Bu adım, yapay zekâ destekli içerik üretimine ilişkin artan endişeler bağlamında değerlendiriliyor.

Fransız Veri Koruma Otoritesi'nden 42 Milyon Euro Ceza

Fransa veri koruma otoritesi CNIL, 2026'nın ilk yaptırım kararları kapsamında telekom şirketleri Free Mobile ve Free'e toplam 42 milyon euro para cezası verdi. Karar, 2024 yılında yaşanan büyük ölçekli veri ihleline dayanıyor.

Denetimde, milyonlarca müşteriye ait kişisel verinin yeterli teknik ve organizasyonel güvenlik önlemleri olmaksızın korunmadığı tespit edildi. Ayrıca ihlal bildirimlerinin eksik olduğu ve bazı verilerin gereğinden uzun süre saklandığı belirtildi. CNIL, Free Mobile'a 27 milyon euro, Free'e ise 15 milyon euro ceza uygularken, şirketlere güvenlik önlemlerini güçlendirme talimatı verdi. Karar, GDPR kapsamında veri güvenliği yükümlülüklerinin ihlal edilmesi halinde ağır yaptırımların uygulanmaya devam ettiğini ortaya koydu.

Kanada'da Staples'a Veri Silme Uyarısı

13 Ocak 2026'da Office of the Privacy Commissioner of Canada (OPC), Staples Canada hakkında yürüttüğü incelemenin sonucunu açıkladı. Denetimde, şirketin bazı iade edilen elektronik cihazları müşterilere ait kişisel veriler tamamen silinmeden yeniden satışa sunduğu tespit edildi. OPC açıklamasında, bu uygulamanın Kanada'nın özel sektörde kişisel verilerin korunmasını düzenleyen mevzuatına aykırı olduğu belirtildi. Kurum, özellikle ikinci el olarak satılan dizüstü bilgisayar ve benzeri cihazların, üretici talimatlarına uygun biçimde tamamen temizlenmesi gerektiğini vurguladı. Staples Canada'nın ise tavsiyeleri kabul ederek iç prosedürlerini güncelleme taahhüdünde bulunduğu bildirildi.

ABD'de "DROP" ile Kişisel Verileri Silmek Artık Bir Tıklamayla Mümkün

1 Ocak 2026'da California Privacy Protection Agency (CPPA), kişisel verilerin veri brokerları tarafından toplanması ve satılmasına karşı geliştirilen Delete Request and Opt-out Platform (DROP) sistemini resmî olarak devreye aldı. Yeni platform, vatandaşlara tek bir başvuruyla yüzlerce kayıtlı veri brokerından kişisel verilerinin silinmesini talep etme imkânı tanıyor.

DROP, 2023 yılında kabul edilen Delete Act kapsamında oluşturuldu ve veri brokerlarının bireylerden gelen silme taleplerini merkezi bir sistem üzerinden almalarını zorunlu hale getiriyor. Kullanıcılar, kimlik ve ikamet doğrulamasının ardından platform üzerinden toplu silme talebi gönderebiliyor. Böylece her bir şirketle ayrı ayrı iletişime geçme zorunluluğu ortadan kalkıyor. Yetkililer, uygulamanın özellikle spam mesajlar, hedefli reklamcılık, veri profilleme faaliyetleri ve kimlik hırsızlığı risklerinin azaltılmasına katkı sağlamasını bekliyor.

Interactive Advertising Bureau Europe, APD Kararına Karşı Yargı Zaferi Kazandı

7 Ocak 2026'da Belçika Ticaret Mahkemesi, Belgian Data Protection Authority'nin GDPR çerçevesinde Transparency and Consent Framework (TCF) ile ilgili olarak APD tarafından onaylanan düzeltici eylem planını hukuka aykırı bularak iptal etti.

APD, Ocak 2023'te TCF'nin GDPR'ye uyumunu sağlamak için IAB Europe'un sunduğu eylem planını onaylamış ve altı aylık uygulama süresi başlatmıştı. IAB Europe, bu kapsamın aşırı geniş olduğunu ve kuruluşun yalnızca "TC String" (kullanıcı tercihlerini kodlayan veri sinyali) işleme konusunda ortak denetleyici olduğunu savunarak karara itiraz etti. Mahkeme, bu itirazı haklı bularak APD'nin onay kararını iptal etti. Mahkeme ayrıca APD'nin IAB Europe'a görüşünü sunma fırsatı vermeden karar almasının, usul açısından da yanlış olduğunu vurguladı. İlgili karar, APD'nin eylem planını yeniden değerlendirmesini ve IAB Europe'un gerçek denetleyici rolüne uygun daha dar kapsamlı bir plan hazırlamasını gerektiriyor. Karar, Avrupa dijital reklamcılık ekosisteminde rıza yönetimi ve GDPR uyumundan sorumlu çerçevelerin hukuki sınırları konusunda önemli bir emsal niteliği taşıyor.

KVKK'dan Mobil Uygulamalara Açık Uyarı

Mobil uygulamalardan gönderilen anlık bildirimlere ilişkin KVKK'nın yayımladığı kamuoyu duyurusunda, bildirim izinlerinin tek bir onay altında birden fazla amacı kapsayacak şekilde alınmasının hukuka aykırı olduğu vurgulanmıştır.

Kurum, sipariş durumu gibi hizmetin doğal bir parçası olan operasyonel bildirimler ile kampanya/reklam içerikli bildirimlerin ayrı ayrı ve bağımsız rızaya tabi olması gerektiğine karar vermiştir. Kullanıcının temel bir hizmetten faydalanabilmesi için pazarlama bildirimlerini kabul etmeye zorlanması, açık rızanın "özgür irade" unsurunu ortadan kaldırmakta ve parçalı açık rıza ilkesini ihlal etmektedir. Bu nedenle veri sorumlularının, mobil uygulama mimarilerini kullanıcıların bildirim türlerini ayrı ayrı yönetebileceği şekilde düzenlemesi ve izin süreçlerini bu doğrultuda yeniden yapılandırması gerektiği açıkça ortaya konmuştur.

KVKK Kararıyla Veri İhlali İlanları 60 Gün Sonra Kaldırılacak

KVKK, kişisel veri ihlallerinin bildirimi ve ilanına ilişkin uygulamada yeni bir düzenlemeye gitti. Kanun ve Kurul'un yerleşik kararları uyarınca, veri sorumlularının kişisel veri ihlalini öğrendikleri tarihten itibaren en geç 72 saat içinde Kurula bildirme yükümlülüğü devam ederken; 25.12.2025 tarihli ve 2025/2451 sayılı Kurul Kararı ile önemli bir değişiklik getirildi.

Buna göre, kişisel veri ihlali bildirimlerinin Kurumun internet sitesinde süresiz olarak ilan edilmesi uygulamasına son verilmiş, ilan süresi en fazla 60 günle sınırlandırılmıştır. Ayrıca veri sorumlusunun, bu süre dolmadan ilgili kişilere bildirim yaptığını belgelemesi halinde, ihlal ilanının Kurumun internet sitesinden daha erken kaldırılmasına karar verilmiştir. Söz konusu düzenleme, şeffaflık ile orantılılık ve veri minimizasyonu ilkeleri arasındaki dengeyi gözetmeyi amaçlamaktadır.

Kamu Kurumlarında WhatsApp Kullanımına KVKK Uyarısı

Kişisel Verileri Koruma Kurumu, kamu kurumlarında görev yapan personelin idarî iş ve işlemler kapsamında WhatsApp gibi yurt dışı menşeli haberleşme uygulamalarını kullanmaya zorlanmasına ilişkin şikâyetler üzerine kamuoyunu bilgilendirmiştir.

Duyuruda, Cumhurbaşkanlığı Genelgesi uyarınca yerli ve yetkilendirilmiş uygulamalar dışında, bu tür platformlar üzerinden gizlilik dereceli, kritik nitelikte veya kişisel veri içeren bilgi ve belgelerin paylaşılmasının uygun olmadığı vurgulanmıştır. WhatsApp üzerinden yapılan yazışma, talimat ve belge paylaşımlarının kişisel veri işleme faaliyeti sayılabileceği; bu işlemlerin KVKK'da öngörülen şartlara dayanmaması hâlinde sorumluluğu bulunan kamu personeli hakkında disiplin hükümleri kapsamında idarî yaptırım uygulanabileceği ifade edilmiştir.

E-Devlet Güncellemesiyle SGK Hizmet Dökümünde İşten Çıkış Kodları Kaldırıldı

E-Devlet üzerinden erişilen SGK hizmet dökümünde yapılan sistem güncellemesiyle, işten çıkış nedenlerine (işten çıkış kodlarına) üçüncü kişiler tarafından erişim sınırlandırıldı. Bu değişiklik, Danıştay'ın 14.10.2024 tarihli kararında vurguladığı üzere, işverenin tek taraflı beyanına dayanan ve henüz yargı denetiminden geçmemiş fesih nedenlerinin resmî kayıtlarda yer almasının kişisel verilerin korunması ve çalışma hakkı bakımından sakıncalar doğurabileceği tespitleriyle uyumlu bir uygulama olarak değerlendiriliyor.

Nitekim "ahlak ve iyi niyet kurallarına aykırılık" gibi kodların, kişinin mesleki itibarını ve çalışma hayatını etkileyebilecek kişisel veri niteliği taşıdığı kabul edilmişti. Ancak her ne kadar hizmet dökümünde bu bilgiler artık görünmese de, işten ayrılış bildirgesi talep edilmesi halinde fesih nedeninin bu belge üzerinden erişilebilir olmaya devam ettiği uygulamada dikkat çekiyor.

Yapay Zekâ İçeriklerine Ciroya Dayalı Ceza Teklifi

8 Ocak 2026 tarihinde Türkiye Büyük Millet Meclisi'ne sunulan kanun teklifi, yapay zekâ ile üretilen içeriklere yönelik yeni yaptırımlar öngörüyor. Teklif, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda değişiklik yaparak, yapay zekâ aracılığıyla oluşturulan ses, görüntü ve metinlerin ilgili kişinin açık rızası olmadan paylaşılması halinde, bu içeriklerin yayılmasına imkân sağlayan dijital platformlara idarî para cezası uygulanmasını düzenliyor.

Düzenlemeye göre ceza, platformların bir önceki yılki küresel cirosunun yüzde 5'i oranında hesaplanabilecek. Böylece mevcut sabit para cezası sisteminden farklı olarak, daha ağır ve oransal bir yaptırım mekanizması getirilmesi hedefleniyor. Teklif gerekçesinde, özellikle deepfake içeriklerin kişilik hakları ve kişisel veri güvenliği açısından artan risk oluşturduğu vurgulanıyor. Düzenlemenin komisyon sürecinin ardından Genel Kurul gündemine gelmesi bekleniyor.

*Bu bülten yalnızca bilgilendirme amacıyla hazırlanmıştır; herhangi bir somut olay veya müvekkile yönelik hukuki görüş niteliği taşımaz.