Temmuz 2026: Veri Koruma Hukuku Gündemi

Temmuz ayında kişisel verilerin korunması alanında, veri işleme süreçlerini daha somut ve uygulamaya dönük şekilde şekillendiren önemli gelişmeler yaşanmıştır.

Yayımlanan düzenlemeler, ilke kararları ve rehberler; veri sorumlularının yükümlülüklerini daha somut ve uygulamaya dönük şekilde ortaya koyarken, yapay zekâ uygulamaları ile özel nitelikli kişisel verilerin işlenmesine ilişkin önemli yenilikleri de beraberinde getirmiştir.

1. Kaza Mağdurlarının Kişisel Verilerinin İşlenmesine İlişkin İlke Kararı

Kişisel Verileri Koruma Kurulu’nun "Kaza Mağdurlarının Kişisel Verilerinin İşlenmesine İlişkin İlke Kararı", 1 Temmuz 2026 tarihli Resmî Gazete'de yayımlanmıştır.¹ İlke Kararı; trafik kazası, iş kazası ve benzeri olayların ardından kaza mağdurlarının rızaları dışında aranması, kişisel verilerinin hukuka aykırı şekilde kullanılması ve mağdurlar adına yetkisiz işlemler tesis edilmesine ilişkin Kurum'a ulaşan çok sayıdaki şikâyet ve ihbar üzerine yayımlanmıştır.

Kurul, sigorta sözleşmelerinden doğan tazminat alacaklarının yalnızca hak sahibi veya vekili tarafından takip edilebileceğini ve üçüncü kişi veya kuruluşlara devredilemeyeceğini belirtmiştir. Hasar danışmanlığı şirketleri ve benzeri oluşumların geçerli bir kişisel veri işleme şartı bulunmaksızın kaza mağdurlarına ait kişisel verileri işlemelerinin hukuka aykırı olduğu belirtilmiştir. Kişisel verilere erişen kişilerin verileri yalnızca görev ve yetkileri kapsamında işleyebileceği, aksi hâlde idari ve cezai sorumluluğun doğacağı vurgulanmıştır.

Kararda ayrıca, veri sorumlularının kişisel verilere erişimi yalnızca görev gereği ihtiyaç duyan kişilerle sınırlandırması, erişimleri kayıt altına alması ve çalışanların veri güvenliği ile gizlilik yükümlülüklerine ilişkin farkındalığını düzenli eğitimlerle desteklemesi gerektiği belirtilmiştir.

2. Özel Nitelikli Kişisel Verilere İlişkin Düzenlemeler

Temmuz ayında, özel nitelikli kişisel verilerin korunmasına ilişkin mevzuatta dikkat çeken iki önemli gelişme yaşanmıştır:

• Kişisel sağlık verilerinin yeniden değerlendirilmesine ilişkin usul ve esasların düzenlenmesi,
• Ceza Muhakemesi Kanunu'nda genetik inceleme sonuçlarının kaydedilmesi, saklanması ve imhasına ilişkin hukuki çerçevenin yeniden belirlenmesi.

2.1. Kişisel Sağlık Verilerinin Yeniden Değerlendirilmesine İlişkin Düzenleme

4 Temmuz 2026 tarihli Resmî Gazete'de yayımlanan düzenleme² ile Kişisel Sağlık Verileri Hakkında Yönetmelik'te değişikliğe gidilmiştir. Yönetmelik'in "Kişisel Sağlık Verilerinin Gizlenmesi, Düzeltilmesi, İmha Edilmesi ve Aktarılması" başlıklı dördüncü bölümüne "Yeniden Değerlendirilmesi" ibaresi eklenmiş; ayrıca "Kişisel sağlık verilerinin yeniden değerlendirilmesi" başlıklı 13/A maddesi de Yönetmelik'e eklenmiştir.

Buna göre, kişiler önceden konulmuş tanılarının güncel sağlık durumları esas alınarak yeniden değerlendirilmesini talep edebilecektir. Yeniden değerlendirme sonucunda, kişinin güncel sağlık durumunda ilgili tanının bulunmadığını gösteren durum bildirir sağlık kurulu raporunun düzenlenmesi hâlinde, ilgili mevzuatta aksine bir hüküm bulunmadığı sürece işe giriş süreçleri başta olmak üzere tüm iş ve işlemlerde bu rapor esas alınacaktır. Böylece, kişinin güncel sağlık durumuyla bağdaşmayan geçmiş tanıların, hukuki sonuç doğurmaya devam etmesinin önüne geçilmesi amaçlanmaktadır.

2.2. Genetik İnceleme Sonuçlarına İlişkin Düzenleme

12. Yargı Paketi³ kapsamında Ceza Muhakemesi Kanunu'nda yapılan değişiklikle, genetik inceleme sonuçlarının kaydedilmesi, saklanması, kullanılması ve imhasına ilişkin usul ve esaslar yeniden belirlenmiştir.

Anayasa Mahkemesi'nin önceki düzenlemeye ilişkin iptal kararının ardından, genetik inceleme sonuçlarının kaydedilmesi, saklanması, kullanılması ve imhasına ilişkin usul ve esaslar Ceza Muhakemesi Kanunu'nda yeniden düzenlenmiştir. Böylece, genetik inceleme sonuçlarının saklanması, imhası ve ilgili kişilere sağlanan güvencelere ilişkin belirsizlikler giderilmiştir.

Kovuşturmaya yer olmadığına karar verilmesi, beraat veya ceza verilmesine yer olmadığı kararının kesinleşmesi hâllerinde kayıtlar derhâl imha edilecek; aksi hâlde ise kararın kesinleşmesinden itibaren yirmi yıl süreyle saklanacak ve bu sürenin sonunda imha edilecektir. Ayrıca, ilgili kişiye belirli şartlar altında kayıtlarının silinmesini talep etme hakkı tanınırken, bu kayıtlara erişim yetkisi de yalnızca yürütülen soruşturma veya kovuşturma kapsamında yetkili makam kararıyla sınırlandırılmıştır.

3. Dijital Reklamcılıkta Yapay Zekâ ve Hedefli Reklamcılık

Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği’nde yapılan ve 1 Ağustos 2026 tarihinde yürürlüğe giren değişikliklerle⁴ reklamlarda yapay zekâ kullanımına ve kişisel verilere dayalı hedefli reklamcılığa ilişkin yeni yükümlülükler getirilmiştir.

Artık, tüketicilerin ekonomik davranışlarını önemli ölçüde etkileyecek şekilde yapay zekâ veya başka bir yazılım kullanılması ya da insandan ayırt edilemeyecek dijital karakterlere yer verilmesi hâlinde, bunun reklamda açık, anlaşılır ve ayırt edilebilir biçimde belirtilmesi zorunludur. Gerçek bir kişinin yapay zekâ kullanılarak oluşturulan dijital kopyasının, gerçeğe aykırı biçimde bir mal veya hizmeti deneyimlediği, kullandığı veya tavsiye ettiği izlenimini veren reklamlar yasaklanmıştır.

Tüketicilerin çevrim içi davranışları, geçmiş tercihleri, konum bilgileri, demografik verileri veya benzeri kişisel verileri analiz edilerek belirli kişi ya da gruplara özel reklam gösterilmesi ise hedefli reklamcılık kapsamında kabul edilmektedir. Bu tür reklamlarda tüketiciye, reklamın kendisine hangi kriterlere göre gösterildiği ve bu kriterleri nasıl değiştirebileceği konusunda doğrudan ve kolay erişilebilir bilgi sunulması gerekmektedir.

Çocuk olduğu bilinen veya makul olarak bilinmesi gereken tüketicilere ise kişisel verilere dayalı profilleme yoluyla hedefli reklam gösterilmesi yasaklanmıştır. Yönetmelik değişiklikleri ayrıca sosyal medya etkileyicileri aracılığıyla yapılan reklamlar, indirimli satışlar ve tüketici değerlendirmeleri bakımından da yeni yükümlülükler getirmiştir.

4. Eğitim Kurumlarında Kişisel Verilerin Korunmasına İlişkin MEB Genelgesi

Millî Eğitim Bakanlığı Bilgi İşlem Genel Müdürlüğü tarafından yayımlanan 29 Haziran 2026 tarihli "Kişisel Verilerin Korunması Kapsamında Alınacak Tedbirler" konulu Genelge ile eğitim kurumlarında işlenen öğrenci, veli, öğretmen ve personel verilerinin korunmasına yönelik alınması gereken idari ve teknik tedbirler açıklanmıştır. Genelge, eğitim kurumlarında kişisel verilerin işlenmesi süreçlerinde ortak bir uygulama yaklaşımının oluşturulmasını amaçlamaktadır.

Özellikle, öğrenci ve personele ait fotoğraf ve video içerikleri ile öğrenci listeleri, sınav sonuçları, sağlık bilgileri ve benzeri kişisel verilerin okul internet siteleri, sosyal medya hesapları veya diğer çevrim içi platformlarda kamuya açık şekilde paylaşılmaması gerektiği belirtilmiştir. Ayrıca, eğitim faaliyetleri kapsamında fotoğraf veya video çekimi yapılacak durumlarda önceden bilgilendirme yapılması ve gerekli hâllerde açık rıza süreçlerinin işletilmesi gerektiği ifade edilmiştir. Bunun yanı sıra, okul yöneticileri, öğretmenler ve ilgili personelin Bakanlık bilgi sistemlerine erişimde kullandıkları kullanıcı hesaplarının güvenliğini sağlamaları, yetkisiz üçüncü taraf yazılım, eklenti, bot veya benzeri araçları kullanmamaları ve olası kişisel veri ihlallerini gecikmeksizin ilgili birimlere bildirmeleri gerektiği de düzenlenmiştir.

5. Siber Güvenlik Başkanlığına İlişkin Kanun Değişikliği

31 Temmuz 2026 tarihli Resmî Gazete'de yayımlanan kanun değişikliğiyle⁵, Siber Güvenlik Başkanlığının görev ve yetkilerine ilişkin önemli düzenlemeler yürürlüğe girmiştir. Düzenleme ile siber güvenlik alanında farklı kurumlar tarafından yürütülen görev ve yetkilerin önemli bir bölümü Siber Güvenlik Başkanlığı (“Başkanlık”) bünyesinde toplanırken, bu görevlerin yerine getirilmesinde kullanılan bilgi işlem altyapısı, veri merkezleri, kayıt ve dokümanlar ile bunlara ilişkin hak ve yükümlülükler de Başkanlığa devredilmiştir.

Bilhassa, internet alan adlarına ilişkin strateji ve politikaları belirleme ile bu alanda düzenleme yapma yetkisi Başkanlığa verilmiş; internet altyapısının yönetimi ile iletişimin tespiti ve analizine ilişkin yetkiler de Başkanlık bünyesinde toplanmıştır. Önümüzdeki dönemde siber güvenlik alanındaki uygulamalarda Siber Güvenlik Başkanlığının belirleyici rolünün artacağı muhakkaktır. Bu nedenle, Başkanlık tarafından yayımlanacak ikincil düzenlemelerin ve uygulama esaslarının yakından takip edilmesi önem taşımaktadır.

6. Avrupa Veri Koruma Kurulu (EDPB) Rehberleri

Avrupa Veri Koruma Kurulu; anonimleştirme, üretken yapay zekâ kapsamında web kazıma ve blokzincir teknolojileri aracılığıyla kişisel veri işlenmesine ilişkin üç önemli rehber yayımlamıştır.⁶ Anonimleştirme ile web kazımaya ilişkin rehberler taslak olarak yayımlanarak kamuoyu görüşüne açılmış, blokzincir teknolojilerine ilişkin rehber ise nihai hâliyle kabul edilmiştir.

• Anonimleştirme Rehberi: Taslak rehberde, anonim veri kavramı Avrupa Birliği Adalet Divanı’nın güncel içtihatları ışığında yeniden ele alınmış ve bir verinin gerçekten anonim olup olmadığının tespiti için kullanılabilecek pratik bir çerçeve ortaya konulmuştur.
  Buna göre; verinin anonim sayılabilmesi için tek başına belirli bir kişiyi ayırt etmeye, farklı veri setleriyle ilişkilendirilmeye veya kişi hakkında çıkarım yapılmasına imkân vermemesi gerekmektedir.
• Üretken Yapay Zekâ ve Web Kazıma Rehberi: Taslak rehberde, yapay zekâ modellerinin eğitilmesi amacıyla internetten otomatik veri toplanmasının GDPR kapsamında kişisel veri işleme faaliyeti sayılacağı vurgulanmıştır. İnternette kamuya açık olarak yer alan kişisel verilerin yapay zekâ eğitimi amacıyla kullanılması tek başına hukuka uygun kabul edilmeyecektir. Veri sorumlularının uygun bir hukuki işleme şartına dayanması, şeffaflık yükümlülüğünü yerine getirmesi ve veri minimizasyonu ilkesine uygun hareket etmesi gerekmektedir.
  Dolayısıyla, kişisel verilerin internette kamuya açık olarak yer alması, bu verilerin yapay zekâ modellerinin eğitimi amacıyla hukuki değerlendirme yapılmaksızın kullanılabileceği anlamına gelmemektedir.
• Blokzincir Rehberi: Blokzincir teknolojilerinin GDPR ile uyumlu şekilde kullanılabilmesi için veri koruma ilkelerinin daha tasarım aşamasında dikkate alınması gerekmektedir. Kişisel verilerin blokzincir üzerinde değil zincir dışında saklanması, blokzincir kullanılmadan aynı amaca ulaşılmasının mümkün olup olmadığının önceden değerlendirilmesi ve silme hakkı ile diğer ilgili kişi haklarının etkin şekilde kullanılmasına imkân verecek teknik çözümlerin oluşturulması tavsiye edilmektedir.
  Ayrıca, blokzincir temelli projelerde veri koruma etki değerlendirmesi yapılmasının ve veri koruma gerekliliklerinin tasarım aşamasında dikkate alınması ile varsayılan ayarların kişisel verileri en üst düzeyde koruyacak şekilde belirlenmesi gerektiği vurgulanmaktadır.

7. Kamu Kurumlarına Dair Gelişmeler

Kamu kurumlarının internet sitelerinde kişisel veri paylaşımına ilişkin İlke Kararı

Kişisel Verileri Koruma Kurulu'nun 1 Temmuz 2026 tarihli "Kamu Tüzel Kişiliğini Haiz Veri Sorumluları Tarafından Kişisel Verilerin İnternet Ortamında Paylaşılması Hakkında İlke Kararı"⁷ ile ile kurumların internet sitelerinde kişisel veri içeren belgelerin yayımlanmasına ilişkin uyulması gereken temel ilkeler ortaya konulmuştur.

Kurul; internet sitelerinde sınav sonuçları, personel listeleri, ihale ve başvuru belgeleri gibi birçok dokümanda gereğinden fazla kişisel veriye yer verildiğini tespit ederek bu tür paylaşımların geçerli bir veri işleme şartına dayanması gerektiğini vurgulamıştır. Paylaşılması zorunlu olmayan kişisel verilerin maskelenmesi veya çıkarılması, içeriklerin yayında kalma süresinin belirlenmesi ve özellikle sınav ile kura sonuçları gibi duyurularda erişimin mümkün olduğunca ilgili kişilerle sınırlandırılması gerektiği belirtilmiştir.

Kamu kurumları için KVKK Uyum Rehberi

İnternet ortamında kişisel veri paylaşımına ilişkin İlke Kararı'nın yanı sıra Kurum, kamu kurumlarına yönelik kapsamlı bir KVKK Uyum Rehberi de yayımlamıştır.⁸ Rehberde, kamu kurumlarının veri işleme, veri paylaşımı ve veri güvenliğine ilişkin yükümlülükleri ile uygulamada dikkat edilmesi gereken hususlar örnekler üzerinden açıklanmaktadır. Özellikle, uygulamada önem taşıyan bir husus olarak, kamu kurumları arasındaki veri paylaşımının yalnızca kurumlar arasında imzalanan bir protokole dayandırılamayacağı ve her somut olay bakımından ayrıca hukuki değerlendirme yapılması gerektiği belirtilmiştir.

8. Diğer Gelişmeler

KVKK'dan üçüncü kişilerden elde edilen iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasına ilişkin kamuoyu duyurusu⁹

Kişisel Verileri Koruma Kurumu, üçüncü kişilerden temin edilen telefon numarası, e-posta adresi ve benzeri iletişim bilgilerinin reklam ve pazarlama amacıyla kullanılmasının tek başına hukuka uygun olmadığını vurgulamıştır. Reklam ve pazarlama faaliyetleri kapsamında kişisel veri işlenmeden önce her somut olay bakımından geçerli bir kişisel veri işleme şartının bulunup bulunmadığının değerlendirilmesi gerektiği belirtilmiş; açık rızaya dayanılan durumlarda ise ilgili kişilerin öncelikle usulüne uygun şekilde aydınlatılması ve açık rızalarının ayrı bir irade beyanıyla alınması gerektiği hatırlatılmıştır.

Anayasa Mahkemesi'nden TCK m. 136 kararı¹⁰

Anayasa Mahkemesi, kişisel verileri hukuka aykırı olarak verme veya ele geçirme suçunun şikâyete bağlı olmaksızın resen soruşturulmasını öngören TCK m. 136 hükmünün Anayasa'ya aykırı olduğu iddiasıyla yapılan başvuruyu reddetmiştir. Mahkeme, yalnızca mağdurun bireysel menfaatlerini değil, toplumun kişisel verilerin korunmasına duyduğu güveni ve kamu düzenini de ilgilendirdiğini belirterek soruşturmanın şikâyete bağlı olmaksızın yürütülmesinin Anayasa'ya aykırı olmadığı sonucuna ulaşmıştır. Karar, kişisel verilerin hukuka aykırı olarak yayılması veya ele geçirilmesi suçunun yalnızca bireysel menfaatleri değil, kamu düzenini de ilgilendiren bir suç olarak değerlendirilmeye devam edeceğini ortaya koymaktadır.

9. Değerlendirmelerimiz

Temmuz ayındaki gelişmeler birlikte değerlendirildiğinde, bir önceki bültenimizde¹¹ de işaret ettiğimiz üzere veri koruma hukukunda teknolojik gelişmelere uyum sağlayan daha somut ve uygulamaya dönük bir yaklaşımın güçlenerek devam ettiği görülmektedir. Özellikle yapay zekâ destekli reklamcılık, genetik verilerin işlenmesi ve kamu kurumlarında kişisel verilerin paylaşımına ilişkin düzenlemeler, veri sorumlularından yalnızca Kanun'da öngörülen yükümlülüklere şeklen uymalarının değil; veri işleme süreçlerini risk temelli bir yaklaşımla tasarlamalarının ve uygulamalarının beklendiğini ortaya koymaktadır.

Avrupa Veri Koruma Kurulu tarafından yayımlanan rehberler, yapay zekâ, anonimleştirme ve blokzincir gibi teknolojilerin veri koruma hukuku bakımından yeni değerlendirmeleri zorunlu kıldığını ortaya koymaktadır. Bu rehberler Türkiye için bağlayıcı olmasa da kişisel verilerin korunmasına ilişkin uluslararası eğilimlerin anlaşılması ve gelecekteki iç hukuk düzenlemelerinin ve Kurul kararlarının öngörülebilmesi bakımından önemli bir referans niteliği taşımaktadır.

Önümüzdeki dönemde, veri koruma hukukunun yalnızca mevzuat değişiklikleriyle değil, Kurul kararları, yargı içtihatları ve teknolojik gelişmeler doğrultusunda şekillenmeye devam edeceğini öngörmekteyiz.

Bu nedenle veri sorumlularının uyum çalışmalarını yalnızca mevcut yükümlülükler çerçevesinde değil, değişen uygulama ve teknolojik gelişmeleri de dikkate alacak şekilde düzenli olarak gözden geçirmeleri; özellikle yapay zekâ uygulamaları, veri güvenliği ve özel nitelikli kişisel verilerin işlenmesine ilişkin süreçlerini güncel tutmaları büyük önem arz etmektedir.

Footnotes

1. Kişisel Verileri Koruma Kurulu'nun 20.05.2026 tarihli ve 2026/1095 sayılı Kaza Mağdurlarının Kişisel Verilerinin İşlenmesine İlişkin İlke Kararı: https://www.resmigazete.gov.tr/eskiler/2026/07/20260701-15.pdf

2. Kişisel Sağlık Verileri Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik: https://www.resmigazete.gov.tr/eskiler/2026/07/20260704-9.htm

3. 12. Yargı Paketi kapsamında yapılan değişikliklere ilişkin hazırladığımız bilgi notuna buradan ulaşabilirsiniz.

4. Değişiklik Yapılmasına Dair Yönetmelik: https://www.resmigazete.gov.tr/eskiler/2026/07/20260701-9.htm

5. Kanun Değişikliği: https://www.resmigazete.gov.tr/eskiler/2026/07/20260731-2.htm

6. 8 Temmuz 2026 tarihinde EDPB tarafından yayımlanan rehberler: https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en

7. 01.07.2026 tarihli ve 2026/1301 sayılı İlke Karar: https://www.resmigazete.gov.tr/eskiler/2026/07/20260728-6.pdf

8. Kamu Kurumları KVKK Uyum Rehberi: https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/MTZhNjc1YWFhNmVjOGY.pdf

9. Kurum Duyurusu: https://www.kvkk.gov.tr/Icerik/8830/ucuncu-kisilerden-elde-edilen-kisisel-verilerin-reklam-ve-pazarlama-amacli-kullanilmasina-iliskin-kamuoyu-duyurusu

10. AYM Kararı: https://www.resmigazete.gov.tr/eskiler/2026/07/20260714-9.pdf

11. Haziran 2026: Veri Koruma Hukuku Gündemi isimli yazımıza buradan ulaşabilirsiniz.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.