Kişisel Verilerin Korunması - Genel Yaklaşım, Güncel Uygulamalar ve Özel Nitelikli Kişisel Verilerin İşlenmesi

Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme 2016 yılında yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur (“Kanun”).

95/46/EC sayılı Avrupa Konseyi Veri Koruma Direktifi temel alınarak hazırlanan Kanun, 2016/679 sayılı Avrupa Birliği Genel Veri Koruma Tüzüğü’nün (“GDPR”) hükümlerinden ve uygulaması ise hem GDPR hem de Avrupa veri koruma otoritelerinin kararlarından etkilenmektedir.

Kanun, GDPR ile benzer amaç ve temel kavramları benimsemekte, kişisel verilerin korunmasına ilişkin temel prensipler açısından oldukça benzer düzenlemeler içermektedir. Bununla birlikte Kanun’un genel itibariyle GDPR’a nazaran daha sınırlı, kontrolcü ve daha az detaylı bir yapıya sahiptir.

Avrupa veri koruma hukuku gelişmeleri ve yaklaşımları Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından takip edilmektedir.

2024 yılında yürürlüğe giren 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun (“Değişiklik”), Türkiye’de kişisel verilerin korunması hukukunun GDPR standartlarına yakınlaştırılması bakımından bugüne kadarki en önemli adımlardan biri olmuştur. Değişiklik Kanunu ile özel nitelikli kişisel verilerin işlenmesi, yurt dışına veri aktarımı, idari yaptırımlar ve idari para cezalarına karşı yapılacak başvurular bakımından önemli değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Değişiklik ile paralel olarak Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik de hazırlanmış ve 10 Temmuz 2024 tarihli Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. 

Kurul’un 2025 yılı ve 2026 başındaki karar ve duyuruları, özellikle uygulamada karşılaşılan problemli konuları ele almaktadır. Bunların başında aydınlatma yükümlülüğü, açık rıza, ticari elektronik ileti onayı ve pazarlama izinlerinin birbirine karıştırılması gelmektedir. Kurul, ürün ve hizmet sunumu sırasında ilgili kişilere SMS ile doğrulama kodu gönderilmesine ilişkin ilke kararında, ödeme, üyelik, kayıt açma veya fatura oluşturma gibi işlemler sırasında gönderilen SMS kodlarının amacının ilgili kişilere açıkça bildirilmesi gerektiğini; üyelik sözleşmesi onayı, kişisel veri işleme izni ve ticari elektronik ileti onayı gibi farklı hukuki işlemlerin tek bir eylemle alınmasına yönelik uygulamalara son verilmesi gerektiğini vurgulamıştır. Bu yaklaşım, açık rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olması gerektiği yönündeki temel ilkenin uygulamadaki somut yansımasıdır.

Benzer şekilde, 2026 başında mobil uygulamalar üzerinden gönderilen anlık bildirimlere ilişkin yayımlanan kamuoyu duyurusunda da operasyonel bildirimler ile reklam, kampanya ve pazarlama amaçlı bildirimlerin tek bir onay altında birleştirilmesinin hukuka uygun olmayacağı belirtilmiştir. Sipariş durumu, kargo takibi veya hizmetin ifasıyla doğrudan bağlantılı bildirimler ile kampanya ve reklam bildirimleri farklı amaçlara hizmet etmektedir. Bu nedenle, kullanıcıların hizmetten yararlanabilmek için pazarlama bildirimlerini kabul etmek zorunda bırakılması, açık rızanın özgür irade unsurunu zedeleyebilecektir. Bu doğrultuda veri sorumlularının, özellikle dijital platformlar ve mobil uygulamalar bakımından, tercih yönetimi mekanizmalarını “parçalı açık rıza” ve “belirlilik” ilkelerine uygun şekilde tasarlamaları gerekmektedir.

Kurul’un turizm ve otelcilik sektöründe konaklama hizmeti alan kişilerin T.C. kimlik belgesi fotokopisinin kaydedilmesine ilişkin ilke kararı da 2025 yılındaki önemli diğer gelişmelerden biridir. Kurul, konaklama hizmeti bakımından kimlik bilgilerinin kaydedilmesinin mevzuattan kaynaklanan yükümlülükler çerçevesinde hukuka uygun olabileceğini kabul etmekle birlikte, kimlik belgesinin fotokopisinin alınarak kayda geçirilmesinin gereğinden fazla veri işlenmesi sonucunu doğurduğunu ve bu uygulamanın hukuki dayanağının bulunmadığını değerlendirmiştir. Bu karar, veri minimizasyonu, işleme amacıyla bağlantılılık ve ölçülülük ilkelerinin günlük ticari uygulamalarda da sıkı şekilde gözetilmesi gerektiğini göstermektedir.

Özel nitelikli kişisel verilerin işlenmesi de 2025 yılında Kurum’un özellikle üzerinde durduğu alanlardan biri olmuştur. Kanun’da özel nitelikli kişisel veriler; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik veriler olarak sınırlı şekilde sayılmıştır. Değişiklik Kanunu öncesinde özel nitelikli kişisel verilerin işlenmesi bakımından uygulama büyük ölçüde açık rıza ekseninde şekillenmekte; özellikle açık rızanın pratik veya hukuken sağlıklı bir dayanak olmadığı işçi-işveren ilişkileri, sağlık verisi işleme süreçleri ve kanuni yükümlülüklerden kaynaklanan işleme faaliyetleri bakımından önemli sorunlar yaşanmaktaydı.

Değişiklik ile özel nitelikli kişisel verilerin işlenme şartları genişletilmiş, sağlık ve cinsel hayata ilişkin veriler ile diğer özel nitelikli kişisel veriler arasındaki önceki ayrım kaldırılmıştır. Böylece tüm özel nitelikli kişisel veriler bakımından uygulanabilecek daha geniş bir hukuki sebep seti oluşturulmuştur. İlgili kişinin açık rızası halen geçerli bir işleme şartı olmakla birlikte; kanunda sayılan hukuki sebeplerin mevcut olduğu durumlarda açık rıza almaksızın veri işlenmesi öncelikli uygulama haline gelmiştir. Buna göre, (sağlık verileri ve cinsel hayata ilişkin kişisel veriler de dahil) tüm özel nitelikteki kişisel veriler, aşağıdaki hukuki nedenlerin bulunması durumunda işlenebilecektir:

• (i) İlgili kişinin açık rızasının olması,
• (ii) Kanunlarda açıkça öngörülmüş olması,
• (iii) Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• (iv) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• (v) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• (vi) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• (vii) İstihdam, iş ve sosyal güvenlik veya sosyal hizmetler alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• (viii) Siyasi parti, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kar amacı gütmeyen kuruluş ya da oluşumların, tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması.

2025 yılında yayımlanan Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber, bu değişikliklerin uygulamadaki karşılığını biraz daha detaylandırmıştır. Rehber’de açık rıza ile diğer işleme şartları arasında hiyerarşik bir fark bulunmadığı; ancak açık rıza dışında uygun bir işleme şartı mevcutsa, veri sorumlusunun ayrıca açık rızaya başvurmaması gerektiği vurgulanmıştır. Bu yaklaşım, uygulamada sık görülen “her ihtimale karşı açık rıza alma” pratiğinin hukuka ve dürüstlük kuralına aykırılık riski yaratabileceğini göstermektedir. Dolayısıyla veri sorumlularının her bir özel nitelikli kişisel veri işleme faaliyeti bakımından somut hukuki sebebi ayrı ayrı tespit etmesi, açık rızayı yalnızca gerçekten gerekli olduğu hallerde kullanması ve aydınlatma metinlerini bu hukuki sebebe uygun şekilde kurgulaması gerekmektedir.

Bu kapsamda veri sorumlularının mevcut uyum dokümanlarını yalnızca şeklen güncellemesi yeterli olmayacaktır. Özel nitelikli kişisel veri işleme süreçleri bakımından kişisel veri işleme envanterlerinin, aydınlatma metinlerinin, açık rıza metinlerinin, saklama ve imha politikalarının ve veri güvenliği tedbirlerinin yeniden değerlendirilmesi gerekmektedir. Özellikle istihdam süreçlerinde iş sağlığı ve güvenliği yükümlülükleri kapsamında işlenen sağlık verileri, çalışanların ceza mahkûmiyeti veya güvenlik tedbiri bilgileri, sendika üyeliği verileri, biyometrik erişim sistemleri ve sağlık sektöründeki veri işleme faaliyetleri bakımından açık rıza dışındaki hukuki sebeplerin uygulanabilirliği dikkatle analiz edilmelidir.

Sonuç olarak, 2025 yılı ve 2026 başındaki gelişmeler, Kurul’un son karar ve duyuruları, veri sorumlularının artık yalnızca genel nitelikli aydınlatma metinleri ve standart açık rıza formlarıyla yetinemeyeceğini; her veri işleme faaliyetinin amacı, hukuki sebebi, ilgili kişi üzerindeki etkisi, veri minimizasyonu ve tercih yönetimi mekanizmaları bakımından ayrı ayrı değerlendirilmesi gerektiğini ortaya koymaktadır. Özellikle özel nitelikli kişisel veriler bakımından uyum çalışmalarının belge bazlı değil, süreç bazlı şekilde yürütülmesi 2026 yılı bakımından da veri sorumlularının en önemli gündem maddelerinden biri olmaya devam etmesi beklenmektedir.

Kişisel Verilerin Yurt Dışına Aktarımı

Değişiklik öncesi dönemde Kanun uyarınca kişisel veriler çoğunlukla veri sahibinin açık rızası ile yurtdışına aktarılabilmekteydi çünkü mevzuatta yer alan diğer hukuki nedenlerin uygulama alanı ya mevcut değil ya da uygulanabilir değildi. Kanun’un yayım tarihi olan 2016’dan bu yana Kurul tarafından, yeterli koruma sağlayan ülkelerin bir listesinin halen belirlenmemiş olması, uygulamada yurtdışına kişisel veri aktarımı hususunu oldukça dar ve zorlu bir alana sıkıştırmaktaydı ve açık rıza alınması yurtdışına kişisel veri aktarımı konusunda uygulanabilecek tek yöntem olarak kalmasına sebebiyet vermekteydi. 

Ticari ilişkileri de olumsuz yönde etkileyen bu konuya ilişkin önemli adımlar da Değişiklik ile birlikte 1 Haziran 2024 tarihinde yürürlüğe girmiştir.

Değişiklik ile yurtdışına veri aktarımı açısından üç aşamalı bir değerlendirme sistemi öngörülmüştür. Bu çerçevede, yürürlüğe giren değişiklikler ile kişisel verilerin, Kanun’daki hukuki işleme sebeplerinden birinin varlığı halinde, Kurul tarafından verilecek yeterlilik kararının bulunması durumunda yeterlilik kararının kapsamına uygun olarak yurt dışına aktarılabileceği , yeterlilik kararının bulunmadığı hallerde ise, yine Kanun’daki işleme şartlarından birinin varlığına ek olarak, ilgili kişinin aktarım yapılacak ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla uygun güvencelerden birinin sağlanması gerekmektedir.

Uygun güvencelerin de sağlanamadığı hallerde ise ancak arızi olmak kaydıyla sınırlı istisnalara başvurulabilecektir.

Değişiklik ile birlikte uygun güvenceler; kamu kurum ve kuruluşları veya uluslararası kuruluşlar arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmalar, bağlayıcı şirket kuralları, standart sözleşmeler ve Kurul tarafından izin verilen taahhütnameler olarak düzenlenmiştir. Bu yönüyle Kanun, yurt dışına aktarım rejimini açık rıza merkezli bir yapıdan çıkararak, GDPR’a daha yakın, kurumsal güvence mekanizmalarına dayalı bir yapıya taşımıştır.

2025 yılı, bu yeni yurt dışına veri aktarım sistematiğinin uygulamadaki ilk tam yılı olması bakımından önem taşımaktadır. Kurum’un 2025 Yılı Faaliyet Raporu’na göre, yıl içinde Kurum’a 2.497 standart sözleşme bildirimi yapılmıştır. Buna karşılık, taahhütname mekanizması bakımından 2025 yılında Kurum’a 90 başvuru yapılmış; bunlardan 13’ü bakımından aktarıma izin verilmiş, 76’sı bakımından izin verilmemiş, 1 başvurunun incelemesi ise yıl sonu itibarıyla devam etmiştir. Bu tablo, taahhütname mekanizmasının daha sınırlı ve sıkı değerlendirmeye tabi bir yöntem olmaya devam ettiğini; standart sözleşmelerin ise uygulamada en pratik ve yaygın uygun güvence aracı haline geldiğini göstermektedir.

Kurum’un 2025 yılında yayımladığı faaliyet raporunda Kurum’a intikal eden standart sözleşme bildirimlerinden 70’i hakkında resen inceleme başlatıldığı, bunların 21’i sonuçlandırıldığı ve sonuçlandırılan incelemelerin 3’ünde toplam 150.000 TL idari para cezası uygulandığı belirtilmiştir. Söz konusu eksikliklerin ve kesilen cezaların daha çok gerekli usuli süreçlerin yerine getirilmemesinden, Kurula zamanında bildirim yapılmamasından ileri geldiği görülmektedir.

Kurum’un 2026 yılında bir bağlayıcı şirket kuralları başvurusunun Kurul tarafından onaylandığını duyurması ise, özellikle çok uluslu şirket grupları bakımından bağlayıcı şirket kurallarının da daha somut bir aktarım mekanizması olarak kullanılmaya başlanabileceğine işaret etmektedir. Hazırlık ve onay süreçlerinin standart sözleşmelere kıyasla daha uzun ve kapsamlı olması beklense de bağlayıcı şirket kuralları grup içi veri aktarımları bakımından daha kalıcı ve kurumsal bir çözüm sunabilecek nitelikte olabileceği de göz önünde bulundurulmalıdır.

Yeni yurt dışı veri aktarım sistematiğinde açık rıza artık olağan ve düzenli aktarımlar için temel dayanak olmaktan çıkarılmıştır. Açık rızaya dayalı yurt dışı aktarım, yeterlilik kararı bulunmaması ve uygun güvencelerden birinin sağlanamaması halinde, ancak ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi koşuluyla ve ancak arızi aktarım halleri için başvurulabilecek istisnai bir yöntem olarak düzenlenmiştir. Bu nedenle veri sorumlularının, süreklilik arz eden iş süreçleri kapsamındaki yurt dışı veri aktarımlarını açık rızaya dayandırmaya devam etmeleri önemli bir uyum riski yaratacaktır.

Türk hukukunda kişisel veriler bakımından genel ve mutlak bir veri lokalizasyonu yükümlülüğü bulunmamaktadır. Kanun, kişisel verilerin Türkiye’de saklanmasını genel bir kural olarak zorunlu kılmamakta; bunun yerine yurt dışına aktarımı belirli şartlara bağlamaktadır. Buna karşılık, Türk hukukunda bazı sektörlerde açık veri lokalizasyonu veya yurt içinde sistem bulundurma yükümlülükleri mevcuttur. Bankacılık, ödeme ve elektronik para, sermaye piyasaları, elektronik haberleşme ve belirli kamu/kritik altyapı faaliyetleri bakımından sektörel düzenlemeler kapsamında bilgi sistemlerinin, birincil ve ikincil sistemlerin, yedeklerin, log kayıtlarının veya belirli kayıt ve belgelerin Türkiye’de tutulmasına ilişkin özel kurallar bulunmaktadır. Bu sebeple, özellikle regüle sektörlerde faaliyet gösteren şirketlerin, yurt dışına veri aktarımı değerlendirmesini yalnızca Kanun’un 9’uncu maddesi çerçevesinde değil, ilgili siber güvenlik yükümlülükleriyle birlikte yapması gerekmektedir.

Sonuç olarak, 2025 yılı ve 2026 başındaki gelişmeler, Türkiye’de yurt dışına veri aktarımı rejiminin artık daha kurumsal, belgeli ve denetlenebilir bir yapıya dönüştüğünü göstermektedir. Her ne kadar bildirim ve bazı prosedürel yükümlülükler ile hala uygulama süreçte zorluklar yaşansa da, standart sözleşmeler uygulamada ana yöntem haline gelirken, bağlayıcı şirket kuralları ve kamu/uluslararası kuruluş anlaşmaları gibi diğer güvence mekanizmalarının da görünürlüğü artmaktadır.