Kişisel Verilerin Korunması Bülteni - 2026 2. Çeyrek

Türkiye’den Güncel Gelişmeler  

2025 Yılı Mali Bilanço Toplamı Nedeniyle VERBİS’e Kayıt Yükümlülüğü Doğan Veri Sorumluları İçin Kayıt Süresi Uzatıldı

Kişisel Verileri Koruma Kurumu (Kurum), 2025 yılı mali bilanço toplamı nedeniyle Veri Sorumluları Sicili’ne (VERBİS) kayıt yükümlülüğü doğan veri sorumluları için kayıt süresinin uzatıldığını duyurdu. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca, yükümlülüğün doğmasını takip eden otuz gün içinde VERBİS’e kaydolunması gerekmekte olup, 2025 yılı kurumlar vergisi beyannamelerinin son verilme tarihi olan 30 Nisan 2026 itibarıyla bu süre işlemeye başlamıştır.

Bu kapsamda, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan ve mali bilanço toplamı 100 milyon TL ve üzerinde olan veri sorumluları ile ana faaliyet konusu özel nitelikli kişisel veri işleme olan ve mali bilanço toplamı 10 milyon TL ve üzerinde bulunan veri sorumluları bakımından VERBİS’e kayıt yükümlülüğü doğmaktadır.

Kişisel Verileri Koruma Kurulu’nun (Kurul) 13.05.2026 tarihli ve 2026/1026 sayılı Kararı ile, otuz günlük kayıt süresinin son haftasının Kurban Bayramı tatiline denk gelmesi nedeniyle kayıt ve bildirim için son tarih 5 Haziran 2026 olarak belirlendi. Bu kapsamdaki veri sorumlularının VERBİS kayıt ve bildirimlerini anılan tarihe kadar tamamlamaları gerekiyordu.

Kurum tarafından yayımlanan kamuoyu duyurusuna buradan ulaşabilirsiniz.

Mesai Takibi Amacıyla Biyometrik Veri İşlenmesine İlişkin İlke Kararı Yayımlandı

Kurul’un “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”, 2 Haziran 2026 tarihli ve 33268 sayılı Resmî Gazete’de yayımlandı. İlke Kararı ile, çalışanların mesai takibi amacıyla biyometrik verilerinin işlenmesi değerlendirildi. Kurul, işverenlerin çalışma sürelerini takip etme yükümlülüğünü kabul etmekle birlikte, bu takibin biyometrik veri işlenerek gerçekleştirilmesini öngören açık bir kanuni düzenlemenin bulunmadığını belirtti. 

Kurul ayrıca, işçi-işveren ilişkisindeki güç dengesizliği nedeniyle çalışanlardan alınan açık rızanın yeterli bir hukuki dayanak oluşturmadığını; geçerli bir açık rıza bulunsa dahi, daha az müdahaleci alternatif yöntemlerin varlığı karşısında mesai takibi amacıyla biyometrik veri işlenmesinin ölçülülük ilkesiyle uyumlu olmayacağını değerlendirdi. Bu nedenle, mesai takibinin şifreli kart, PIN, RFID/NFC kart veya imza çizelgesi gibi alternatif yöntemlerle gerçekleştirilmesi gerektiğine karar verdi.

İlke Kararı’na buradan, bu konudaki duyurumuza buradan ulaşabilirsiniz.

Apartmanlarda Güvenlik Kamerası Kullanımına İlişkin Kamuoyu Duyurusu Yayımlandı

Kurum, 8 Haziran 2026 tarihinde apartman ve sitelerde güvenlik kamerası kullanımına ilişkin bir kamuoyu duyurusu yayımladı. Kurum, güvenlik kameraları aracılığıyla görüntü kaydı alınmasının kişisel veri işleme faaliyeti niteliğinde olduğunu ve kamera sistemlerinin KVKK ile 634 sayılı Kat Mülkiyeti Kanununa uygun şekilde kullanılması gerektiğini belirtti.

Duyuruda; kameraların kişilerin mahremiyetini ihlal etmeyecek şekilde konumlandırılması, yüz tanıma ve ses kaydı özelliklerin kullanılmaması, kayıtların yalnızca gerekli süre boyunca saklanması, yetkisiz erişime karşı korunması ve aydınlatma yükümlülüğünün yerine getirilmesi gerektiği vurgulandı.

Kurum’un duyurusuna buradan ve bu konudaki duyurumuza buradan ulaşabilirsiniz.

İş Yerlerinde Güvenlik Kamerası Kullanımına İlişkin Kamuoyu Duyurusu Yayımlandı

Kurum, 8 Haziran 2026 tarihinde iş yerlerinde güvenlik kamerası kullanımına ilişkin bir kamuoyu duyurusu yayımladı. 

Duyuruda, iş yeri güvenliği ile iş sağlığı ve güvenliğinin sağlanması ve suçların önlenmesi gibi meşru amaçlarla güvenlik kamerası kullanabileceği; ancak kameraların çalışanların devam durumunu, performansını veya genel davranışlarını izlemek amacıyla kullanılmaması gerektiği vurgulandı. Ayrıca, tuvalet, soyunma odası ve dinlenme alanları gibi özel alanlara kamera yerleştirilmemesi, ses kaydının gerekliliği ortaya konulmadan kullanılmaması, kayıtlarının yalnızca gerekli süre boyunca muhafaza edilmesi ve aydınlatma ile veri güvenliği yükümlülüklerinin yerine getirilmesi gerektiği belirtildi. 

Kurum’un duyurusuna buradan ve bu konudaki duyurumuza buradan ulaşabilirsiniz.

Belediyelerin Turistik Tanıtım Amacıyla Gerçekleştirdiği Canlı Yayınlara İlişkin Kamuoyu Duyurusu Yayımlandı

Kurum, 23 Haziran 2026 tarihinde belediyeler tarafından turistik tanıtım amacıyla cadde, meydan, park ve sahil gibi kamusal alanlara yerleştirilen kameralardan elde edilen görüntülerin internet üzerinden canlı olarak yayımlanmasına ilişkin bir kamuoyu duyurusu yayımladı. Kurum, gerçek kişilerin yüzleri veya araç plakaları gibi kişisel verilerini içeren canlı yayınların, görüntüler kaydedilmese dahi kişisel veri işleme faaliyeti olduğunu belirtti.

Kurum, belediyelerin turizm ve tanıtım faaliyetlerine ilişkin görev ve yetkilerinin bu uygulamalar için tek başına hukuki dayanak oluşturmadığını ve sınırsız sayıda kişinin erişebildiği yayınların ölçülü olmadığını değerlendirdi. Bu nedenle, kişilerin kimliğinin belirlenmesine yol açan mevcut canlı yayınların ivedilikle durdurulması ve tanıtım faaliyetlerinin kişisel veri içermeyen alternatif yöntemlerle yürütülmesi gerektiği belirtildi.  

Kurum tarafından yayımlanan kamuoyu duyurusuna buradan ve bu konudaki duyurumuza buradan ulaşabilirsiniz.

Kaza Mağdurlarının Kişisel Verilerinin İşlenmesine İlişkin İlke Kararı Yayımlandı

Kurul’un “Kaza Mağdurlarının Kişisel Verilerinin İşlenmesine İlişkin İlke Kararı”, 1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete’de yayımlandı. Kurul, İlke Kararı’nda, kaza mağdurlarıyla istekleri dışında iletişime geçilmesi ve kişisel verilerinin hukuka aykırı işlenmesine ilişkin değerlendirmelerde bulundu. 

Kurul, kaza mağdurlarına ait kişisel verilerin yalnızca kaza sonrası süreçlerin yürütülmesi amacıyla ve KVKK’da öngörülen veri işleme şartlarına uygun olarak işlenebileceğini belirtti. Sigorta eksperlerinin bu verileri yalnızca yasal görev ve yetkileri kapsamında kullanabileceği; yetkisiz kişilere aktarılmasının idari ve cezai sorumluluk doğrulabileceği vurgulandı. Ayrıca veri sorumlularının erişimleri asgari yetki ilkesiyle sınırlandırması ve gerekli teknik ve idari tedbirleri alması gerektiği ifade edildi. 

İlke Kararı’na buradan, bu konudaki duyurumuza ise buradan ulaşabilirsiniz.

Kurum, Reality Show Niteliğindeki Programlarda Kişisel Veri İşlenmesine İlişkin Rehber Yayımladı

Kurum, RTÜK iş birliğiyle hazırlığı “Canlı Yayımlanan Reality Show Niteliğindeki Programlarda Kişisel Verilerin İşlenmesine Yönelik Rehber”i 12 Mayıs 2026 tarihinde yayımladı. Rehber’de, programların hazırlık, yayın ve yayın sonrası süreçlerde gerçekleştirilen kişisel veri işleme faaliyetlerinin KVKK kapsamında nasıl değerlendirilmesi gerektiği açıklandı. 

Rehber’de, ifade özgürlüğü kapsamındaki kişisel veri işleme faaliyetlerinin KVKK’dan istisna tutulabileceği; ancak bu istisnanın özel hayatın gizliliğinin veya kişilik haklarının ihlal edildiği ya da işlemenin suç teşkil ettiği durumlarda uygulanmayacağı belirtildi. Bu değerlendirmenin kamu yararı, güncellik, gerçeklik ve içeriğin özü ile sunuluş biçimi arasındaki denge gözetilerek her somut olay özelinde yapılması gerektiğine dikkat çekildi.

Ayrıca, dış yapımlarda yayıncı ile yapımcının birlikte veri sorumlusu olabileceği; programa fiziken veya telefonla katılan kişilerin uygun şekilde aydınlatılması ve kişisel veri işleme şartları, veri güvenliği, aktarım, saklama ve imha yükümlülüklerine uyulması gerektiği açıklandı.

Kurum tarafından yayımlanan Rehber’e buradan ulaşabilirsiniz.

HSK, KVKK ve Rekabet Kurumu Kararlarına İlişkin Davalarda İhtisas Mahkemelerini Belirledi

Hâkimler ve Savcılar Kurulu (HSK), bazı düzenleyici ve denetleyici kurumların kararlarından doğan davalarda görevli ihtisas mahkemelerini belirleyen 20.04.2026 tarihli ve 890 sayılı Kararı’nı, 22 Nisan 2026 tarihli ve 33232 sayılı Resmî Gazete’de yayımladı. Buna göre, 1 Haziran 2026 tarihinden itibaren Kurul kararlarına karşı açılacak davalar Ankara 12, 14 ve 15. İdare Mahkemelerinde; Rekabet Kurumu kararlarından doğan davalar ise Ankara 10, 13 ve 25. İdare Mahkemelerinde görülecek. 

Bu tarihten önce açılmış ve görülmekte olan davalar mevcut mahkemelerde sonuçlandırılacak; yeni davalar ise belirlenen ihtisas mahkemelerine tevzi edilecek. 

Hakimler ve Savcılar Kurulu kararına buradan ulaşabilirsiniz.

Çocukların Dijital Ortamda Korunmasına Yönelik Değişiklikler Yayımlandı

1 Mayıs 2026 tarihli Resmî Gazete’de yayımlanan 7578 sayılı Sosyal Hizmetler Kanunu ve Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun (Değişiklik Kanunu) ile, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun’da değişiklik yapılarak sosyal ağ sağlayıcılarının 15 yaşını doldurmamış çocuklara hizmet sunmaması ve yaş doğrulama dâhil gerekli tedbirleri alması öngörüldü. Ayrıca, 15 yaşını doldurmuş çocuklara özgü ayrıştırılmış hizmetler ile ebeveyn kontrol araçlarının sunulmasına ve aldatıcı reklamların önlenmesine yönelik yükümlülükler getirildi. 

Değişiklik Kanunu ile oyunlara ilişkin temel kavramlar tanımlanırken oyun platformları bakımından yaş derecelenmesi, ebeveyn kontrol araçları ve belirli şartları sağlayan yurt dışı kaynaklı oyun platformlarının Türkiye’de temsilci bulundurma yükümlülüğü getirildi. İhlaller bakımından idari para cezası, reklam yasağı ve internet trafiği bant genişliğinin daraltılması gibi yaptırımlar öngören hükümler 1 Kasım 2026’da yürürlüğe girecek.  

Değişiklik Kanunu’na buradan ulaşabilirsiniz.           

Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği’nde Önemli Değişiklikler Yapıldı

1 Temmuz 2026 tarihli ve 33297 sayılı Resmî Gazete’de yayımlanan Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliği’nde Değişiklik Yapılmasına Dair Yönetmelik ile, dijital reklamcılık başta olmak üzere ticari reklamlara ilişkin önemli değişiklikler yapıldı. 

1 Ağustos 2026 tarihinde yürürlüğe giren düzenleme ile, tüketicilerin ekonomik davranışlarını önemli ölçüde etkileyebilecek şekilde yapay zekâ kullanılması veya insandan ayırt edilemeyen dijital karakterlere yer verilmesi hâlinde bunun açıkça belirtilmesi zorunlu tutuldu. Gerçek kişilerin yapay zekâ ile oluşturulan dijital kopyalarının bir mal veya hizmeti gerçeğe aykırı şekilde deneyimlediği, kullandığı veya tavsiye ettiği izlenimi veren reklamlar yasaklandı.

Hedefli reklamlarda, reklamın hangi kriterlere göre gösterildiği ve bu kriterlerin nasıl değiştirilebileceği konusunda tüketicilerin kolaylıkla erişebileceği şekilde bilgilendirilmesi öngörüldü. Ayrıca, çocuklara yönelik kişisel verilere dayalı profilleme yoluyla hedefli reklam yapılması yasaklandı. Yönetmelik’te çevresel beyanlar, sosyal medya etkileyicileri, indirimli satışlar ve tüketici değerlendirmeleri gibi konularda da değişiklikler yapıldı.

Yönetmeliğe buradan, bu konudaki duyurumuza buradan ulaşabilirsiniz.

Kişisel Sağlık Verileri Hakkında Yönetmelik’te Değişiklik Yapıldı

4 Temmuz 2026 tarihli ve 33300 sayılı Resmî Gazete’de yayımlanan değişiklikle, kişisel sağlık verilerinin düzeltilmesi ve geçmiş tanıların güncel sağlık durumu esas alınarak yeniden değerlendirilmesine ilişkin süreçler düzenlendi. 

Yeni düzenleme uyarınca, geçmişte konulan tanıların güncel sağlık durumu esas alınarak yeniden değerlendirilmesine imkân tanındı. Mevcut sağlık durumunun önceki tanıyı doğrulamadığının tespiti hâlinde, ilgili mevzuattaki özel hükümler saklı kalmak üzere, başta işe giriş süreçleri olmak üzere tüm süreçlerde güncel sağlık kurulu raporu esas alınacak. 

Ayrıca, bu işlemlerin sağlık hizmeti sunucularının kendi kayıtlarına yansıtılması öngörüldü. Diğer kurum ve kuruluşların veri tabanlarındaki güncellemeler ise kendi mevzuatları çerçevesinde değerlendirilecek.

Yönetmeliğe buradan, bu konudaki duyurumuza buradan ulaşabilirsiniz.

Elektronik Haberleşme Sektöründe Abonelik Süreçlerine İlişkin Önemli Değişiklikler Yapıldı

11 Haziran 2026 tarihli ve 33277 sayılı Resmî Gazete’de yayımlanan ve 25 Haziran 2026’da yürürlüğe giren Elektronik Haberleşme Sektöründe Başvuru Sahibinin Kimliğinin Doğrulanma Süreci Hakkında Yönetmelik’te Değişiklik Yapılmasına Dair Yönetmelik ile elektronik haberleşme aboneliklerindeki kimlik doğrulama süreçlerinde önemli değişiklikler yapıldı. 

Yönetmelik ile kimlik doğrulama yöntemleri yeniden düzenlenerek e-Devlet Kapısı, elektronik kimlik belgeleriyle görüntülü, şifre veya parmak izi doğrulaması, yüz yüze başvurularda işleme özgü video doğrulaması ve Göç İdaresi Başkanlığı üzerinden doğrulama gibi alternatif yöntemlere yer verildi. 

Yabancı uyruklu başvuru sahipleri bakımından ise elektronik kimlik doğrulama kabiliyetine sahip kimlik belgesi bulunmayanların Göç İdaresi Başkanlığı üzerinden; belirli yabancı misyon kimlik kartı sahiplerinin ise Dışişleri Bakanlığı aracılığıyla e-Devlet Kapısı üzerinden doğrulanması öngörüldü.

Yönetmeliğe buradan ulaşabilirsiniz.

Nükleer Tesislerde Siber Güvenliğe İlişkin Yeni Yönetmelik Yürürlüğe Girdi

Nükleer Düzenleme Kurumu tarafından hazırlanan Nükleer Tesislerde Siber Güvenliğe İlişkin Yönetmelik, 5 Mayıs 2026 tarihli ve 33244 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girdi. Yönetmelik ile nükleer tesislerde siber güvenliğin planlanması, uygulanması ve yönetimine ilişkin usul ve esaslar düzenlenirken; kuruluşlara siber güvenlik planı hazırlama, kritik dijital varlıkları risk esaslı şekilde yönetme, tedarik zinciri güvenliğini sağlama ve siber olaylara müdahale süreçlerini oluşturma yükümlülükleri getirildi. 

Yönetmelik ayrıca, güvenlik, emniyet veya nükleer güvenceyi etkileyen ya da etkileyebilecek siber olayların derhâl Nükleer Düzenleme Kurumu ile Siber Güvenlik Başkanlığı’na bildirilmesini, olayın tespitini takip eden beş iş günü içinde ise olayın nedenleri, etkileri ve alınan tedbirleri içeren bir raporun Kuruma sunulmasını öngörmektedir. Yönetmelik, yürürlüğe girmesinden önce yetkilendirilen veya yetkilendirme başvurusunda bulunan kuruluşların ise altı ay içinde uyum eylem planlarını hazırlayarak Kuruma sunmasını zorunlu kılmaktadır.

Yönetmeliğe buradan ulaşabilirsiniz.

Kurul, İlk Bağlayıcı Şirket Kuralları Başvurusunu Onayladı

Kurum, 21 Mayıs 2026 tarihinde yayımladığı duyuru ile Sosyo-Plus Bilgi Bilişim Teknolojileri Danışmanlık Hizmetleri A.Ş. tarafından yapılan Bağlayıcı Şirket Kuralları başvurusunu, KVKK m. 9/4, (b) kapsamında değerlendirerek 20 Mayıs 2026 tarihinde Kurul tarafından onaylandığını duyurdu. 

Söz konusu karar, Bağlayıcı Şirket Kurallarının Türkiye’de ilk kez Kurul tarafından onaylanması bakımından önem taşımaktadır. Bağlayıcı Şirket Kuralları, aynı teşebbüs grubu bünyesindeki şirketler arasında gerçekleştirilen yurt dışı veri aktarımları bakımından uygun güvence yöntemlerinden birini oluşturmaktadır.

Kurum’un duyurusuna buradan ulaşabilirsiniz.

Anayasa Mahkemesi, KVKK Kapsamındaki İdari Para Cezalarında Kanunilik İlkesine İlişkin Önemli Bir Karar Verdi

Anayasa Mahkemesi’nin, 27 Ocak 2026 tarihli ve 2020/32193 başvuru numaralı kararı, 16 Haziran 2026 tarihli ve 33282 sayılı Resmî Gazete’de yayımlandı. Karar’da, alenileştirilen kişisel verilerin alenileştirme amacına aykırı kullanıldığı gerekçesiyle uygulanan idari para cezasına ilişkin Kurul Kararı, suçta ve cezada kanunilik ilkesi bakımından değerlendirildi. 

Mahkeme, “alenileştirme amacına uygun kullanım” ölçütünün ve buna aykırılığın yaptırımının KVKK’da açıkça düzenlenmediğini belirterek kanunda açıkça yer almayan bir kritere dayanarak idari para cezası uygulamasının Anayasa’nın 38. maddesinde güvence altına alınan suçta ve cezada kanunilik ilkesini ihlal ettiğine karar verdi. 

İlgili karara buradan, bu konudaki duyurumuza buradan ulaşabilirsiniz.

AWS Local Zone İstanbul Genel Kullanıma Açıldı

Amazon Web Services (AWS), 20 Mayıs 2026 tarihinde İstanbul’daki AWS Local Zone hizmetini genel kullanıma açtığını duyurdu. AWS Local Zone, belirli bulut işlem, ağ ve depolama hizmetlerini Türkiye’de sunarak düşük gecikmeli uygulamaların çalıştırılmasına ve desteklenen iş yüklerine ait verilerin Türkiye’de saklanıp işlenmesine imkân tanımaktadır. Ayrıca Amazon S3 ve Amazon EBS Local Snapshots hizmetleri de Avrupa, Orta Doğu ve Afrika (EMEA) bölgesindeki bir AWS Local Zone’da ilk kez kullanıma sunuldu. 

İstanbul Local Zone; finans, oyun, perakende ve insan kaynakları gibi düşük gecikme ve veri yerleşimi gerektiren kullanım senaryolarını desteklerken, Europe (Frankfurt) Region ile entegre şekilde çalışmaktadır. 

Duyuruya buradan ulaşabilirsiniz.

Dünyadan Gelişmeler

Avrupa Veri Koruma Kurulu, Veri Koruma Etki Değerlendirmesine (DPIA) İlişkin Standart Şablon ve Açıklayıcı Doküman Yayımladı

Avrupa Veri Koruma Kurulu (EDPB), 10 Mart 2026 tarihinde, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) kapsamında gerçekleştirilecek Veri Koruma Etki Değerlendirmeleri (Data Protection Impact Assessment – DPIA) için bir şablon (Template) ve bu şablonun kullanımına ilişkin açıklayıcı bir doküman (Explainer) kabul etti. Söz konusu dokümanlar, 14 Nisan 2026 tarihinde yayımlanarak 9 Haziran 2026 tarihine kadar kamuoyu görüşüne açıldı.

Şablon; veri işleme faaliyetinin tanımlanması, hukuki dayanaklar, gereklilik ve ölçülülük değerlendirmesi, risk analizi ve riskleri azaltmaya yönelik teknik ve idari tedbirler gibi DPIA sürecinin temel aşamalarını kapsıyor. Açıklayıcı dokümanda ise şablonun nasıl doldurulacağı ve süreçte dikkate alınması gereken temel hususlar açıklanmaktadır. 

EDPB tarafından yayımlanan DPIA Şablonu’nun İngilizce metnine buradan ve Açıklayıcı Doküman’ın İngilizce metnine buradan ulaşabilirsiniz.

İspanya Veri Koruma Otoritesi, Çalışanların Kişisel Telefonlarına İzleme Uygulamaları Yüklenmesine İlişkin Karar Verdi

İspanya Veri Koruma Otoritesi (AEPD), çalışanların iş amacıyla kullandıkları şirket veya kişisel telefonlarında dört izleme uygulaması kullanan bir taşımacılık şirketine ilişkin bir karar yayımladı. İnceleme kapsamında, uygulamaların çalışanların faaliyetlerini sürekli izlediği ve iki uygulamanın konum, fiziksel durum bilgileri ile fotoğraf ve video erişim izni içerdiği tespit edildi.

AEPD, şirketin çalışanları kişisel telefonlarını kullanmaya teşvik ettiğini, bu nedenle çalışanlar tarafından verilen rızanın özgür iradeye dayanmadığını ve uygulamalar tarafından işlenen verilerin işin yürütülmesi için gerekli olanın ötesine geçtiğini değerlendirdi. Bu kapsamda şirkete, veri minimizasyonu ilkesi, hukuka uygun veri işleme şartı ve aydınlatma yükümlülüğünün ihlali nedeniyle toplam 200.000 avro tutarında idari para cezası uygulandı.

AEPD tarafından verilen kararın İspanyolca tam metnine buradan ulaşabilirsiniz.

AEPD, Çevrim İçi Sınavlarda Yüz Tanıma Sistemi Kullanılması Nedeniyle Üniversiteye İdari Para Cezası Verdi

AEPD, çevrim içi sınavlarda öğrencilerin kimliklerini doğrulamak amacıyla yüz tanıma teknolojisi kullanan ve sınav süresince görüntü ve ses kaydı üzerinden gözetim gerçekleştiren bir üniversite hakkında karar verdi. AEPD, biyometrik verilerin işlenmesine ilişkin açık rızanın özgür iradeyle verilmediğini ve Veri Koruma Etki Değerlendirmesinin (DPIA) veri işleme faaliyetine başlandıktan sonra gerçekleştirildiğini tespit etti.

AEPD, biyometrik verilerin hukuka aykırı işlenmesi ve DPIA yükümlülüğünün ihlali nedeniyle üniversiteye toplam 200.000 avro idari para cezası uyguladı. 

AEPD tarafından verilen kararın İspanyolca tam metnine buradan ulaşabilirsiniz.

Avrupa Komisyonu, Yapay Zekâ Tarafından Üretilen İçeriklerin Şeffaflığına İlişkin Nihai Davranış Kuralları’nı Yayımladı

Avrupa Komisyonu, 10 Haziran 2026 tarihinde, AB Yapay Zekâ Tüzüğü’nün (Yapay Zekâ Tüzüğü) 50. maddesindeki şeffaflık yükümlülüklerinin uygulanmasını desteklemek amacıyla Yapay Zekâ Tarafından Üretilen İçeriklerin Şeffaflığına İlişkin Davranış Kuralları’nı (Code of Practice on Transparency of AI-Generated Content – Davranış Kuralları) yayımladı.  Davranış Kuralları, yapay zekâ tarafından üretilen veya manipüle edilen içeriklerin işaretlenmesi ve tespit edilebilir hale getirilmesi ile deepfake içeriklerin ve kamu yararını ilgilendiren belirli metinlerin etiketlenmesine yönelik tedbirler içermektedir. 

Avrupa Birliği, nihai metinle yapay zekâ tarafından üretilen içeriklerin etiketlenmesinde kullanılabilecek ortak bir ikon seti de yayımladı. Avrupa Komisyonu ve Yapay Zekâ Kurulu, Davranış Kuralları’nı Yapay Zekâ Tüzüğü’nün 50. maddesine uyumu destekleyen uygun bir gönüllü araç olarak değerlendirdi. 

İlgili şeffaflık yükümlülükleri, 2 Ağustos 2026 tarihinden itibaren piyasaya sunulan yapay zekâ sistemleri bakımından aynı tarihte uygulanmaya başlayacak; bu tarihten önce piyasaya sunulan sistemlerin sağlayıcıları bakımından işaretleme ve tespit yükümlülükleri ise 2 Aralık 2026’dan itibaren uygulanacak. 

Davranış Kuralları’nın İngilizce metnine buradan ve içerik hakkında detaylı bilgiler içeren bir önceki bültenimize ise buradan ulaşabilirsiniz.

Avrupa Komisyonu, Yüksek Riskli Yapay Zekâ Sistemlerine İlişkin Taslak Rehberi Kamuoyu Görüşüne Açtı

Avrupa Komisyonu, 19 Mayıs 2026 tarihinde, Yapay Zekâ Tüzüğü kapsamında yüksek riskli yapay zekâ sistemlerinin sınıflandırılmasına ilişkin taslak bir rehber yayımlayarak kamuoyu görüşüne açtı. Taslak, sağlayıcılar ve uygulayıcıların bir yapay zekâ sisteminin yüksek riskli olup olmadığını değerlendirmelerine yardımcı olmayı amaçlamaktadır.

Taslak rehberde, Yapay Zekâ Tüzüğü’nün 6. maddesinde düzenlenen yüksek risk kategorilerine ilişkin açıklama ve örneklere yer verilmektedir. İlk görüş sürecinin 23 Haziran 2026’da sona ermesinin ardından Komisyon, alınan görüşler ve Yapay Zekâ Kurulunun katkılarını dikkate alarak taslağı güncelledi ve 23 Temmuz 2026’ya kadar ikinci bir hedefli görüş süreci yürüttü. Nihai rehber henüz kabul edilmedi.

Taslak rehberin İngilizce metnine buradan ve ilk taslağın içeriği hakkında detaylı bilgiler içeren makalemize buradan ulaşabilirsiniz.

AB’de AI Omnibus Düzenlemesi Yürürlüğe Girdi

AI Omnibus olarak anılan (AB) 2026/1744 sayılı Tüzük, 27 Temmuz 2026 tarihinde yürürlüğe girdi.  Düzenleme, Zekâ Tüzüğü kapsamındaki temel koruma standartlarını muhafaza ederken, uyum yükümlülüklerini sadeleştirmeyi, hukuki belirliliği artırmayı ve yapay zekâ alanındaki inovasyonu desteklemeyi amaçlamaktadır. 

Düzenleme kapsamında, yüksek riskli yapay zekâ sistemlerine ilişkin bazı yükümlülüklerin uygulanma tarihleri ertelenirken, düzenleyici test ortamlarının kapsamı genişletilmiş, yapay zekâ okuryazarlığı, uygunluk değerlendirme süreçleri ve AB veri tabanına kayıt süreçlerine ilişkin bazı yükümlülükler sadeleştirilmiştir. 

Düzenlemenin İngilizce metnine buradan ve Avrupa Komisyonu’nun düzenlemeye ilişkin açıklamalarına buradan, düzenlemeye ilişkin içerik hakkında detaylı bilgiler içeren broşürümüze buradan ulaşabilirsiniz.

Avrupa Komisyonu, Avrupa Birliği Yaş Doğrulama Çözümünün Kullanıma Hazır Olduğunu Açıkladı 

Avrupa Komisyonu, Dijital Hizmetler Tüzüğü’nün (Digital Services Act – DSA) uygulanmasını ve çocukların çevrim içi ortamda korunmasını desteklemek amacıyla geliştirilen yaş doğrulama çözümünün 15 Nisan 2026 itibarıyla teknik olarak kullanıma hazır hâle geldiğini açıkladı. Çözüm, kullanıcıların kimliklerini, kesin yaşlarını veya diğer kişisel bilgilerini çevrim içi platformlarla paylaşmadan gerekli yaş sınırını karşıladıklarını kanıtlamalarına imkân sağlıyor. 

Açık kaynak kodlu çözüm, Avrupa Dijital Kimlik Cüzdanları ile aynı teknik özelliklere dayanıyor. Komisyon, 29 Nisan 2026 tarihli tavsiye kararıyla üye devletleri çözümü bağımsız bir uygulama olarak veya dijital kimlik cüzdanlarına entegre ederek 2026 yılı sonuna kadar kullanıma sunmaya çağırdı. 

Avrupa Komisyonu’nun konuya ilişkin açıklamasına buradan, tavsiye kararı metnine ise buradan ulaşabilirsiniz.  

ABD Savunma Bakanlığı, Google Dâhil Sekiz Şirketle Yapay Zekâ İş Birliğini Genişletti

Amerika Birleşik Devletleri (ABD) Savunma Bakanlığı, 1 Mayıs 2026 tarihinde, Google dâhil sekiz teknoloji şirketiyle bu şirketlerin yapay zekâ sistemlerinin sınıflandırılmış askerî ağlarda kullanılmasına yönelik anlaşmalar imzalandığını duyurdu. Anlaşmalar kapsamında, yapay zekâ sistemlerinin, hukuka uygun operasyonel amaçlarla IL6 ve IL7 seviyesindeki sınıflandırılmış ağlarda kullanılması öngörülmektedir. 

ABD Savunma Bakanlığı tarafından yayımlanan İngilizce resmî duyuruya buradan ulaşabilirsiniz.

EDPB, Bilimsel Araştırma Amaçlı Kişisel Veri İşlenmesine İlişkin Rehber Taslağını Yayımladı

EDPB, 16 Nisan 2026 tarihinde, bilimsel araştırma amacıyla gerçekleştirilen kişisel veri işleme faaliyetlerine ilişkin Rehber Taslağını (Guidelines 1/2026 on Processing of Personal Data for Scientific Research Purposes) kabul ederek 25 Haziran 2026 tarihine kadar kamuoyu görüşüne açtı. Rehber Taslağı, GDPR’ın bilimsel araştırmalara ilişkin hükümlerinin uygulanmasına açıklık getirmeyi amaçlamaktadır.

Rehber Taslağı’nda; bir faaliyetin bilimsel araştırma sayılmasında dikkate alınacak temel kriterler; bilimsel araştırma amacıyla gerçekleştirilen sonraki veri işleme faaliyetleri, geniş ve dinamik rıza, ilgili kişi hakları ile anonimleştirme ve takma adlandırma (pseudonymisation) gibi koruma tedbirleri ele alınmaktadır. 

EDPB tarafından yayımlanan Rehber Taslağı’nın İngilizce metnine buradan ulaşabilirsiniz.

Fransa Veri Koruma Otoritesi, İnsan Kaynakları Verilerinin Saklama Sürelerine İlişkin Rehber Yayımladı

Fransa Veri Koruma Otoritesi (CNIL), 2 Nisan 2026 tarihinde, “İnsan Kaynakları Süreçlerinde Kişisel Verilerin Saklama Sürelerine İlişkin Referans Rehberi”ni (Référentiel – Durées de conservation des données personnelles – Gestion des ressources humaines) yayımladı. Rehber’de, yaygın insan kaynakları faaliyetleri bakımından Fransız mevzuatında öngörülen zorunlu süreler ile CNIL tarafından önerilen aktif kullanım ve ara arşivleme sürelerine yer verildi.  

Rehber’de, örneğin işe alınmayan adaylara ait verilerin, olası ayrımcılık davalarında delil olarak kullanılmak üzere pozisyonun doldurulduğu tarihten itibaren beş yıl süreyle ara arşivde saklanabileceği belirtildi. Aday havuzuna alınan kişilerin verileri ise adayın itiraz etmemesi veya saklamaya rıza göstermesi şartıyla, son temastan itibaren iki yıla kadar aktif olarak tutulabilecek.

CNIL tarafından yayımlanan Fransızca duyuruya buradan ulaşabilirsiniz.

CNIL, Akıllı Gözlüklere İlişkin Gizlilik Risklerine Dikkat Çekerek Eylem Planını Açıkladı

CNIL, 29 Haziran 2026 tarihinde yayımladığı açıklamada, kamera ve mikrofon gibi sensörlerle donatılan ve yapay zekâ sistemleriyle entegre çalışabilen akıllı gözlüklerin kişisel verilerin korunması ve özel hayatın gizliliği bakımından doğurduğu risklere ilişkin değerlendirmelerini yayımlayarak bu cihazların mevzuata uyumuna yönelik bir eylem planı başlattı. CNIL, akıllı gözlüklerin çevredeki kişilerin görüntü ve seslerini fark edilmeksizin kaydedebilmesinin özel hayatın ihlali ve yaygın gözetimin olağanlaşması bakımından önemli riskler doğurduğu belirtti.

CNIL, konuyu EDPB nezdinde Avrupa’daki diğer veri koruma otoriteleriyle ve ilgili diğer kamu otoriteleriyle ele almayı planladığını açıkladı. CNIL ayrıca kullanıcılara, çevredeki kişileri akıllı gözlük kullanımı konusunda bilgilendirme, ihtiyaç duyulmayan özellikleri devre dışı bırakma, mahremiyet beklentisinin yüksek olduğu alanlarda kullanımdan kaçınma ve kişilerin yer aldığı fotoğraf veya videoların kullanımı için rızalarını alma gibi ilk iyi uygulama tavsiyelerini yayımladı.  

CNIL tarafından yayımlanan İngilizce duyuruya buradan ulaşabilirsiniz.

Belçika Veri Koruma Otoritesi, Çağrı Kayıtları ve Çalışan İzleme Uygulamaları Nedeniyle Kamu Su İdaresine İdari Para Cezası Verdi

Belçika Veri Koruma Otoritesi (APD), 12 Mayıs 2026 tarihli kararıyla, kamu su idaresi Société Wallonne des Eaux (SWDE) tarafından kalite kontrolü ve çalışan eğitimi amacıyla gerçekleştirilen çağrı kayıtları ve dinleme faaliyetlerinde çeşitli GDPR ihlalleri tespit etti. Otorite; rutin çağrı kayıtlarının kamu yararına yürütülen göreve dayanabileceğini kabul etmekle birlikte, sistemin test edilmesi amacıyla kaydedilen üç çağrının hukuka aykırı olduğunu, çalışanlar ile arayan kişilerin yeterince bilgilendirilmediğini, kayıtların bir ay içinde silinmesini sağlayacak önlemlerin alınmadığını ve DPIA’nın zamanında hazırlanmadığını belirtti.  

Kararın Fransızca metnine buradan ulaşabilirsiniz.

Romanya Veri Koruma Otoritesi, Yetkisiz Hesap Özeti Paylaşımı Nedeniyle ING Bank’a İdari Para Cezası Verdi

Romanya Veri Koruma Otoritesi (ANSPDCP), Mart 2026’da tamamladığı inceleme sonucunda, ING Bank NV Amsterdam – Bükreş Şubesi hakkında GDPR’ın 32. maddesindeki veri güvenliği yükümlülüklerini ihlal ettiğine karar vererek banka hakkında 4.000 avro tutarında idari para cezası uyguladı.

İnceleme kapsamında, bir banka çalışanının ilgili kişiye ait ad, adres, IBAN ve hesap hareketlerini hesap özetini yetkisiz üçüncü bir kişiye teslim ettiği anlaşıldı. Otorite, bankanın kişisel verilerin gizliliğini sağlayacak uygun teknik ve organizasyonel tedbirleri uygulamadığını değerlendirdi. Bunun yanında, bankaya veri işleme faaliyetlerini GDPR ile uyumlu hâle getirmesi, gerekli tedbirleri alması ve kişisel veri işleyen çalışanlarına düzenli eğitim vermesi yönünde talimat verildi.

Karar’ın Romence metnine buradan ulaşabilirsiniz.

İtalya Veri Koruma Otoritesi, Poste Italiane ve Postepay’e 12,5 Milyon Avro İdari Para Cezası Verdi

İtalya Veri Koruma Otoritesi, 17 Nisan 2026 tarihli kararıyla, BancoPosta ve Postepay mobil uygulamaları üzerinden milyonlarca kullanıcının kişisel verilerinin hukuka aykırı işlenmesi nedeniyle Poste Italiane’ye 6.624.000,00 avro ve Postepay’e 5.877.000,00 avro idari para cezası verdi. Otorite, kullanıcıların mobil cihazlarında yüklü ve çalışan diğer uygulamalara ilişkin verilerin dolandırıcılığın önlenmesi amacıyla izlenmesini ölçülülük ilkesine aykırı ve aşırı müdahaleci bir uygulama olarak değerlendirdi. 

Kararda ayrıca, kullanıcıların yeterince aydınlatılmaması, uygun bir veri koruma etki değerlendirmesinin yapılmaması, yeterli veri güvenliği ve saklama tedbirlerinin bulunmaması ile veri işleyenin görevlendirilmesine ilişkin eksiklikler nedeniyle de GDPR ihlalleri tespit edildi. Karar hakkında Roma Mahkemesi’nin 17.07.2026 tarihli kararı ile ihtiyati tedbir kararı verilmiştir. 

Kararın güncel durumu hakkında gerekli bilgiye buradan ulaşabilirsiniz.

EDPB, Ortak Veri İhlali Bildirim Şablonunu Kabul Etti

EDPB, 8-9 Haziran 2026 tarihinde gerçekleştirilen Genel Kurul toplantısında, GDPR’ın 33. maddesi kapsamındaki veri ihlali bildirimlerinde kullanılmak üzere ortak bir Veri İhlali Bildirim Şablonu’nu kabul etti. Şablon, veri sorumluları ile veri koruma otoritelerinin bildirim süreçlerini uyumlaştırmayı ve kolaylaştırmayı amaçlamaktadır.

Şablon, veri ihlali bildirimlerinde yer alması gereken bilgileri standartlaştırarak veri sorumlularının bildirimlerini zamanında gerçekleştirmeleri ve veri koruma otoritelerinin bildirimleri değerlendirmesini kolaylaştırmayı amaçlamaktadır. Ayrıca, önceden belirlenmiş seçenekler ve doldurma talimatları sayesinde özellikle veri koruma görevlisi veya özel olarak görevlendirilmiş hukuk birimi bulunmayan küçük kuruluşlar bakımından zaman ve maliyet tasarrufu sağlanması hedeflenmektedir. Şablon, 5 Ağustos 2026 tarihine kadar kamuoyu görüşüne açık tutuldu.

EDPB tarafından yayımlanan bildirim şablonunun İngilizce metnine buradan ulaşabilirsiniz.

ICO, Depolama ve Erişim Teknolojilerine İlişkin Nihai Rehberini Yayımladı

Birleşik Krallık Bilgi Komiserliği Ofisi (ICO), 29 Nisan 2026 tarihinde, çerezler, izleme pikselleri, cihaz parmak izi (device fingerprinting) ve benzeri depolama ve erişim teknolojilerine ilişkin nihai rehberini yayımladı. Rehberde, bu teknolojilerin kullanımında Elektronik Haberleşmede Gizlilik Düzenlemeleri (Privacy and Electronic Communications Regulations – PECR) kapsamında uyulması gereken kurallar ile kişisel veri işlenmesi halinde Birleşik Krallık Genel Veri Koruma Tüzüğü’nün (UK GDPR) nasıl uygulanacağı açıklandı. Rehber’de ayrıca Data (Use and Access) Act 2025 ile getirilen değişikliklere yer verildi. 

ICO, çevrimiçi izleme ekosisteminde şeffaflığın artırılması ve bireylerin kişisel verileri üzerindeki kontrollerinin güçlendirilmesine yönelik denetim ve uygulama faaliyetlerinin devam edeceğini de belirtti.

ICO tarafından yayımlanan ilgili duyuruya buradan ulaşabilirsiniz.

Bülteni pdf formatında indirmek için tıklayınız.