Kişisel Verileri Koruma Kurumunun “Kişisel Verilerin Korunması ile İlgili Seçilmiş Güncel Gelişmeler-63” başlıklı bülteni

Kişisel Verileri Koruma Kurumu tarafından, kişisel verilerin korunması alanındaki ulusal ve uluslararası gelişmelerin derlendiği “Kişisel Verilerin Korunması ile İlgili Seçilmiş Güncel Gelişmeler-63” başlıklı bülten yayımlanmıştır. Ulusal tarafta öne çıkan iki başlık, 6698 sayılı Kanunun Avrupa Birliği müktesebatı ile uyumlaştırılmasına ilişkin takvim ile sosyal ağ sağlayıcıları bakımından çocuklara özgü ayrıştırılmış hizmet ve yaş doğrulama yükümlülüğü getiren yönetmeliktir.

Uluslararası gelişmelerin ağırlıklı gündemi yapay zekâdır. Kurumsal veri sorumluları bakımından en doğrudan sonuç doğurabilecek başlıklar ise etken yapay zekâ (Agentic AI) uygulamalarına ilişkin görüş çağrısı, yapay zekâ asistanlarının kullanımına ilişkin on maddelik doküman ve akıllı gözlüklere ilişkin açıklamadır. Kurumsal e-posta adreslerinin çevrim içi verilerden yeniden oluşturulmasına ilişkin değerlendirme ile kişisel veri ihlallerinin bildirilmesine ilişkin sıkça sorulan sorular da bültende yer alan diğer başlıklardır.

Ulusal Gelişmeler

• 6698 sayılı Kanunun AB müktesebatı ile uyumlaştırılmasının 2027 yılında tamamlanması öngörülüyor. 27.10.2026 tarih ve 33413 mükerrer sayılı Resmî Gazete’de yayımlanan “2027 Yılı Cumhurbaşkanlığı Yıllık Programı”nda, 6698 sayılı Kişisel Verilerin Korunması Kanununun AB Genel Veri Koruma Tüzüğü (GDPR) başta olmak üzere AB müktesebatı ile uyumlaştırılmasına yönelik çalışmaların 2027 yılı içerisinde tamamlanacağı belirtilmiştir.
• Çocuklara özgü ayrıştırılmış hizmet sunulmasına ve yaş doğrulamaya ilişkin yönetmelik yayımlandı. Siber Güvenlik Başkanlığı tarafından hazırlanan “Sosyal Ağ Sağlayıcı Tarafından Çocuklara Özgü Ayrıştırılmış Hizmet Sunulmasına ve Yaş Doğrulamaya İlişkin Yönetmelik”, 10.10.2026 tarih ve 33396 sayılı Resmî Gazete’de yayımlanmıştır.

Uluslararası Gelişmeler

• CNIL, kurumsal e-posta adreslerinin yeniden oluşturulmasını değerlendirdi. Fransa Veri Koruma Otoritesi, çevrim içi ortamda erişilebilir verilerden hareketle kişilerin kurumsal e-posta adreslerinin yeniden oluşturulmasının hangi koşullarda hukuka uygun olabileceğine ilişkin bir içerik yayımlamıştır. Konuya ilişkin ulusal çerçeve bakımından kurumsal e-posta ve iletişim kanallarının denetlenmesine ilişkin İlke Kararı duyurumuz incelenebilir.
• EDPS, kişisel veri ihlallerinin bildirilmesine ilişkin sıkça sorulan soruları yayımladı. Avrupa Veri Koruma Denetçisi tarafından yayımlanan içerikte; risk değerlendirmesi, zorunlu bildirim formunun kullanımı, aşamalı bildirimler, riskleri azaltmaya yönelik tedbirler ve ihlalden etkilenen ilgili kişilerin bilgilendirilmesi gibi hususlara açıklık getirilmekte; veri sorumluları ve veri işleyenler bakımından ihlallerin bildirilmesi ve belgelendirilmesine yönelik açıklamalara yer verilmektedir.
• EDPB, akıllı gözlüklere ilişkin açıklama ve rapor yayımladı. Avrupa Veri Koruma Kurulunun açıklamasında, akıllı gözlüklerin yaygınlaşmasının iletişim, destek ve yenilik açısından fırsatlar sunduğu, bununla birlikte kişisel verilerin korunması ve bireylerin hakları bakımından önemli soruları da gündeme getirdiği vurgulanmakta; kullanım alanları ve bunlara özgü riskler ile veri sorumlusunun belirlenmesi, şeffaflığın sağlanması ve uygun hukuki sebebin tespiti başlıkları çerçevesinde uyum hususları ele alınmaktadır. Kurul ayrıca, akıllı gözlükler çağında video kaydı, gözetim ve delillerin yönetimine ilişkin olarak “Uzman Destek Havuzu” (Support Pool of Experts) programı kapsamında hazırlanan raporu yayımlamıştır. Giyilebilir cihazlara ilişkin ulusal değerlendirmeler bakımından akıllı cihazlar ve dijital mahremiyet konulu bülten duyurumuz incelenebilir.
• ICO, etken yapay zekâya ilişkin görüş çağrısı başlattı. Birleşik Krallık Veri Koruma Otoritesi, etken yapay zekânın (Agentic AI) ortaya çıkarabileceği veri koruma risklerine ilişkin değerlendirmelerine katkı sağlamak amacıyla görüş çağrısı başlatıldığını duyurmuştur. Bu kapsamda, kuruluşların etken yapay zekâ ile ilgili veri koruma risklerini nasıl yönettiğine ilişkin olarak geliştiricilerden, bu sistemleri kullanıma alan kuruluşlardan ve diğer uzmanlardan görüş talep edilmektedir.
• AEPD, yapay zekâ asistanlarının kullanımına ilişkin on maddelik doküman yayımladı. İspanya Veri Koruma Otoritesi tarafından, yapay zekâ asistanları ve aracılarının (agents) kullanımında kişisel verilerin korunmasına ilişkin on maddelik bir doküman yayımlanmıştır.
• OECD, yapay zekâ bağlamında kullanıcı kontrolü ve mahremiyete ilişkin politika notu yayımladı. Dokümanın temel mesajları arasında; yapay zekâ modellerinin geliştirilmesinde ihtiyaç duyulan verilerin kişisel verileri de içerebildiği ve yüksek kaliteli veriye erişimin kolaylaştırılması ile mahremiyetin birlikte gözetilmesi gerektiği, eğitimde kullanılan verilerin önemli bölümünün kullanıcı etkileşimlerinden ve web kazıma yoluyla elde edildiği, “erişim destekli üretim” (retrieval-augmented generation-RAG) gibi dinamik yaklaşımların giderek daha fazla kullanıldığı, kişisel verilerin model ağırlıklarına gömülü hâle gelebilmesi veya eğitim sırasında “ezberlenebilmesi” nedeniyle erişim, düzeltme ve silme haklarının kullanılmasında zorluklar ortaya çıkabildiği ve sistemlerin etken ile çoklu yapay zekâ aracısı sistemlerine dönüşmesinin geleneksel veri koruma ilkelerinin uygulanmasını zorlaştırabileceği yer almaktadır.
• HmbBfDI, büyük dil modellerinin kullanımına ilişkin vaka çalışması yayımladı. Hamburg Veri Koruma ve Bilgi Edinme Özgürlüğü Komiseri, Hamburg şehir idaresinde kullanılan LLMoin adlı yapay zekâ sohbet robotu örneği üzerinden büyük dil modellerinin veri koruma mevzuatına uygun kullanımını ele alan bir vaka çalışması yayımlamıştır.
• Yapay zekâ sistemlerinin güvenliğine ilişkin ISO/IEC 27090:2026 standardı yayımlandı. Standart, yapay zekâ sistemlerine yönelik siber güvenlik tehditlerinin ve güvenlik ihlallerinin ele alınmasına ilişkindir.
• EDPB, çocuklar için mahremiyet platformunu kullanıma sundu. Avrupa Veri Koruma Kurulu, çocukların çevrim içi mahremiyet konusunda bilinçlendirilmesini desteklemek amacıyla ebeveynler, öğretmenler ve eğitimcilere yönelik “Çocuklar için Mahremiyet” (Privacy for Kids) platformunu kullanıma sunmuştur. Platform üzerinden; çevrim içi paylaşım, sosyal medya, akıllı telefonlar ve uygulamalar, evde ve okulda mahremiyet, siber zorbalık ve akıllı oyuncaklar gibi konularda projeler, bilgilendirme kampanyaları, oyunlar, infografikler, videolar ve testler dâhil olmak üzere çeşitli materyallere ulaşılabilmektedir.
• Avrupa Parlamentosu, yapay zekâda toplumsal cinsiyet yanlılığına ilişkin çalışma yayımladı. Çalışmada; yapay zekâda toplumsal cinsiyet yanlılığı ile teknoloji destekli cinsiyete dayalı şiddetin farklı alanlardaki görünümleri ve kadınlar üzerindeki etkileri ile bunların önlenmesine ve ortaya çıkan mağduriyetlerin giderilmesine yönelik hukuki, yönetişimsel ve teknik yaklaşımların etkililiği değerlendirilmektedir.
• AEPD, mahremiyet dergisinin ikinci sayısını duyurdu. İspanya Veri Koruma Otoritesi, “Mahremiyet, İnovasyon ve Teknoloji Dergisi”nin ikinci sayısının yayımlandığını duyurmuştur.

Veri Sorumluları İçin Önerilen Adımlar

• Aday havuzu oluşturma, ticari iletişim ve satış süreçlerinde kurumsal e-posta adreslerinin çevrim içi verilerden türetilerek kullanılması uygulaması bulunuyorsa, bu uygulamanın hukuki sebep ve aydınlatma yükümlülüğü bakımından yeniden değerlendirilmesi.
• Veri ihlali müdahale prosedürünün aşamalı bildirim, risk değerlendirmesi ve belgelendirme başlıkları bakımından gözden geçirilmesi; ihlalin tespitinden bildirime kadar geçen sürecin kayıt altına alınma yönteminin yazılı hâle getirilmesi.
• İşyerinde akıllı gözlük ve benzeri giyilebilir cihaz kullanımına ilişkin bir politikanın bulunup bulunmadığının gözden geçirilmesi; bu cihazlar bakımından veri sorumlusu sıfatının ve şeffaflık yükümlülüğünün nasıl yerine getirileceğinin önceden belirlenmesi.
• Etken yapay zekâ sistemleri ile yapay zekâ asistanlarının kurum içinde fiilen kullanılıp kullanılmadığının tespit edilmesi; kullanılıyorsa otonomi düzeyinin, erişim yetkilerinin, insan gözetiminin ve log kayıtlarının tanımlanması.
• Yapay zekâ sistemi geliştiren veya kullanan kuruluşlar bakımından, mevcut güvenlik kontrollerinin ISO/IEC 27090:2026 standardında öngörülen yaklaşımla karşılaştırılması.

MC Legal tarafından hazırlanan kişisel verilerin korunmasına ilişkin diğer duyurulara Duyurular sayfamızdan ulaşabilirsiniz.