Ana Sayfa Hakkımızda Hizmetler Ödüller Ekip Yayınlar Kariyer İletişim TÜRKÇEENGLISH Devin Patent — İstanbul
Veri Koruma/Yayınlar

Kişisel Verileri Koruma Kurulu Kararları — Ağustos 2026: İlke Kararları, Pazarlama Amaçlı Veri İşleme ve İşyeri Gözetimi

Yayım5 Eylül 2026
Okuma süresi14 dk
← Tüm Yayınlar
KategoriVeri Koruma
Yayım5 Eylül 2026
İçindekiler01Giriş02Tematik Bazda Öne Çıkan Kurul Kararları03Genel Değerlendirme ve Sonuç
Devin Law & IP

Bu konu marka ve patent vekilliğinin dışında kalır. Bu alandaki hukuki hizmetler hukuk büromuz Devin Law & IP tarafından verilir.

devinlaw.com.tr adresine git →
ÖzetSummary

İşbu bilgi notu, Kişisel Verileri Koruma Kurulu'nun 2026 yılı Haziran–Ağustos döneminde Resmî Gazete'de yayımlanan ilke kararları, Kurumun bu dönemde yaptığı kamuoyu duyuruları ve 10 Ağustos 2026 tarihinde Kurum internet sitesinde yayımlanan karar özetleri çerçevesinde, kişisel verilerin korunması alanındaki güncel yaklaşımın ortaya konulması ve bu yaklaşımın farklı sektörler bakımından doğurduğu hukuki sonuçların değerlendirilmesi amacıyla hazırlanmıştır. Kurulun son dönem uygulamasında, veri işleme faaliyetlerinin yalnızca dayanılan işleme şartı yönünden değil; açık rızanın alınma biçimi, aydınlatma ile açık rızanın ayrıştırılması, işleme faaliyetinin ölçülülüğü ve ilgili kişi başvurularının sonuçlandırılma usulü itibarıyla da kapsamlı bir incelemeye tabi tutulduğu görülmektedir.

Seçilen kararlar, tematik başlıklar altında tasnif edilerek, Kurulun yerleşik yaklaşımını ortaya koyacak şekilde ele alınmıştır. İşbu çalışmanın amacı, veri işleme süreçlerinin planlanması sırasında yalnızca 6698 sayılı Kişisel Verilerin Korunması Kanunu hükümlerinin değil, aynı zamanda Kurulun güncel ve istikrarlı uygulamasının da dikkate alınmasına katkı sağlamak; bu suretle olası uyum risklerinin öngörülebilmesine ve önleyici bir hukuki bakış açısının geliştirilmesini desteklemektir.

01
Giriş

Bu bilgi notu kapsamında, Kurumun 10 Ağustos 2026 tarihinde yayımladığı kırk sekiz karar özeti ile 2026 yılında Resmî Gazete'de yayımlanan ilke kararları arasından; uygulamada sık karşılaşılan veri işleme pratiklerine ışık tutan, emsal nitelik taşıyan ve farklı sektörler bakımından yol gösterici olduğu değerlendirilen kararlar seçilmiştir. Dönemin öne çıkan gelişmeleri; mesai takibi amacıyla biyometrik veri işlenmesine ilişkin ilke kararı ve bu karara ilişkin görüş taleplerini yanıtlayan 27 Ağustos 2026 tarihli kamuoyu duyurusu, kaza mağdurlarının kişisel verilerinin hasar danışmanlık şirketleri tarafından işlenmesine ilişkin ilke kararı, kamu tüzel kişilerinin internet ortamında kişisel veri paylaşımına ilişkin ilke kararı ve sadakat kartı ilke kararında öngörülen uyum süresinin 28 Şubat 2027 tarihine uzatılmasıdır. Karar özetleri bakımından ise pazarlama amaçlı veri işleme, açık rızanın hizmetin ön şartı hâline getirilmesi, işyerinde kamera ile gözetim ve ilgili kişi başvurularının usulüne uygun sonuçlandırılması konuları ağırlık taşımaktadır. Çalışmada izlenen metodoloji çerçevesinde; ilgili Kurul kararları öncelikle kısa özet ve doğrudan alıntılarla ortaya konulmuş, akabinde bu kararların uygulamadaki karşılığı ve ortaya koyduğu temel ilkeler değerlendirilmiştir.

Kurul, yaygın ihlal tespit ettiği alanlarda ilke kararlarıyla sektör geneline yönelik kurallar koymaktadır.
02
Tematik Bazda Öne Çıkan Kurul Kararları
İlke Kararları ve Kamuoyu Duyuruları Bakımından Kurulun Yaklaşımı

Kurul, 2026 yılında ilke kararı aracını yoğun biçimde kullanmıştır. Şubat ayında açık rıza ve aydınlatma metinlerinin ayrı ayrı düzenlenmesi gerektiğine (2026/347), toplu yapılarda borç listelerinin ortak alanlara asılmasına (2026/348) ve sadakat kartı işlemlerinde doğrulama mekanizmasına (2026/266) ilişkin ilke kararlarını, Nisan–Temmuz döneminde mesai takibinde biyometrik veri (2026/921), kaza mağdurlarının verileri (2026/1095) ve kamu tüzel kişilerinin internet paylaşımları (2026/1301) hakkındaki ilke kararları izlemiştir. İlke kararları, Kanun'un 15 inci maddesinin altıncı fıkrası uyarınca ihlalin yaygın olduğunun tespit edilmesi hâlinde alınmakta ve veri sorumluları bakımından doğrudan bağlayıcı uyum yükümlülükleri doğurmaktadır.

Kurulun yerleşik yaklaşımı: Kurul, yaygın ihlal tespit ettiği alanlarda tek tek şikâyetleri beklemek yerine ilke kararıyla sektör geneline yönelik kurallar koymakta; ilke kararının yayımından sonra gelen görüş taleplerini kamuoyu duyurusuyla yanıtlayarak uygulamayı yönlendirmekte ve sektör taleplerini haklı bulduğunda uyum süresini uzatabilmektedir. İlke kararına aykırı uygulamanın sürdürülmesi hâlinde Kanun'un 18 inci maddesi uyarınca yaptırım uygulanacağı her ilke kararında açıkça belirtilmektedir.

Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi

Kurulun 29 Nisan 2026 tarihli ve 2026/921 sayılı ilke kararı 2 Haziran 2026 tarihli Resmî Gazete'de yayımlanmıştır. Karara ilişkin görüş taleplerini yanıtlayan 27 Ağustos 2026 tarihli kamuoyu duyurusunda Kurum; avuç içi taraması veya parmak izi gibi yöntemlerle elde edilen verilerin "matematiksel bir koda çevrilerek veri tabanında saklanması"nın biyometrik veri niteliğini ortadan kaldırmadığını, işverenlerin çalışma sürelerini belgelendirme yükümlülüğünün biyometrik sistemlerle yerine getirilmesini öngören açık bir kanuni düzenleme bulunmadığını ve bu nedenle "yalnızca mesai takibi amacıyla gerçekleştirilen biyometrik veri işleme faaliyetlerinin Kanun'un 6'ncı maddesinde öngörülen işleme şartlarından herhangi birine dayanmadığı, ayrıca geçerli bir açık rıza bulunsa dahi söz konusu işleme faaliyetinin Kanun'un 4'üncü maddesinde düzenlenen ölçülülük kriterini sağlamayacağı"nı belirtmiştir. Duyuruda, güvenlik riski yüksek tesis ve alanlarda kimlik doğrulama ve kritik alanlara erişim kontrolü amacıyla yapılan biyometrik işlemenin ilke kararının kapsamı dışında kaldığı; ancak bu hâllerde de işlemenin yalnızca gerekli alan ve kişilerle sınırlı, alternatif yöntemlerin yetersiz kaldığı ve somut güvenlik ihtiyacıyla ölçülü olması gerektiği vurgulanmıştır. Bu yaklaşım, 8 Şubat 2024 tarihli ve 2024/197 sayılı kararda bir üniversitenin parmak izi ile devamsızlık takibi uygulamasının ivedilikle durdurulması ve işlenen verilerin imha edilmesi yönünde verilen talimatla tutarlıdır.

Kaza Mağdurlarının Kişisel Verilerinin İşlenmesi

Kurulun 20 Mayıs 2026 tarihli ve 2026/1095 sayılı ilke kararı 1 Temmuz 2026 tarihli Resmî Gazete'de yayımlanmıştır. Kurul, hasar danışmanlık şirketi gibi isimlerle faaliyet gösteren kuruluşların, baro levhasına kayıtlı olmadıkları hâlde iş ve trafik kazası mağdurlarını arayarak tazminat vaadinde bulunduğunu, mağdurların kaza bilgilerine nasıl ulaşıldığı sorusuna tatmin edici cevap verilmediğini ve kimlik, iletişim ve kaza tutanağı gibi verilerin kaza sonrası süreçte farklı kanallardan elde edildiğini tespit etmiştir. Kararda; sigortacılık sektöründe işlenen verilere hukuka aykırı erişim sağlayan ve bu verileri işleme faaliyetinde bulunan hasar danışmanlık şirketleri, eksper ve ekspertiz şirketleri ile avukat ve avukatlık ortaklıklarının herhangi bir işleme şartına dayanmadan veri işlemesi hâlinde ilgili kişilerin Kanun'un 13 üncü maddesi ve devamı uyarınca Kurula şikâyette bulunabileceği; sigorta eksperlerinin görevleri gereği işledikleri verileri yetkisiz üçüncü kişilere aktarmasının Türk Ceza Kanunu'nun 136 ncı maddesi kapsamında suç oluşturabileceği; veri sorumlularının çalışanlarına yönelik eğitim, erişim yetkisi sınırlaması, rol tabanlı erişim kontrolü ve takip mekanizmaları kurması gerektiği hükme bağlanmıştır. Karar, Reklam Kurulunun aynı dönemde "hasar danışmanlık" tanıtımlarını avukatlık tekelinin ihlali olarak yaptırıma bağlayan kararlarıyla birlikte okunduğunda, bu alandaki faaliyetin hem reklam hukuku hem de veri koruma hukuku bakımından denetim altında olduğunu göstermektedir.

Kamu Tüzel Kişilerinin İnternet Ortamında Kişisel Veri Paylaşımı

Kurulun 1 Temmuz 2026 tarihli ve 2026/1301 sayılı ilke kararı 28 Temmuz 2026 tarihli Resmî Gazete'de yayımlanmıştır. Belediyeler, il özel idareleri ve üniversiteler gibi kamu tüzel kişilerinin internet sitelerinde yayımladıkları belgelerde ad, soyad, T.C. kimlik numarası, adres, doğum yeri, sicil numarası, taşınmaz bilgileri ve sınav sonuçları gibi verilere yer verildiğini tespit eden Kurul; internet ortamında paylaşımın Kanun'un 5 inci ve özel nitelikli veriler bakımından 6 ncı maddesindeki şartlardan birine dayanması gerektiğini, geçerli bir şart bulunmayan hâllerde paylaşım yapılmamasını, kanunlarda açıkça öngörülme şartına dayanılan hâllerde dahi amaçla bağlantılı, sınırlı ve ölçülü olma ilkesi gereği gereksiz verilerin imha, maskeleme ve benzeri önlemlerle çıkarılmasını, sınav ve kura sonuçlarının yalnızca ilgili kişinin kendi sonucuna erişebileceği e-Devlet veya çift faktörlü doğrulama gibi yöntemlerle duyurulmasını ve kurum içi yazışmalar, pano ve ilan tahtası gibi vasıtalarla yapılan paylaşımlarda da aynı hususlara riayet edilmesini hükme bağlamıştır.

Sadakat Kartı İlke Kararında Uyum Süresinin Uzatılması

Kurul, 11 Şubat 2026 tarihli ve 2026/266 sayılı ilke kararı ile sadakat kartı sahibinin cep telefonu numarasının veya kart numarasının kasada bildirilmesi suretiyle yapılan alışverişlerde işlemin ilgili kişinin bilgisi ve rızası dâhilinde gerçekleştiğini doğrulayacak mekanizmaların kurulması için veri sorumlularına altı aylık uyum süresi tanımıştı. Sektör temsilcilerinin talepleri üzerine Kurul, 22 Temmuz 2026 tarihli ve 2026/1491 sayılı kararıyla uyum süresini 28 Şubat 2027 tarihine kadar uzatmıştır. Bu karar, perakende sektöründe doğrulama yöntemlerinin teknik ve operasyonel olarak kurulması için ek süre sağlamakla birlikte, yükümlülüğün esasını değiştirmemektedir.

Pazarlama Amaçlı Veri İşleme ve Açık Rızanın Unsurları Bakımından Kurul Kararları

Kurulun 10 Ağustos 2026 tarihinde yayımladığı karar özetlerinin önemli bir bölümü, reklam ve pazarlama amacıyla iletişim verilerinin işlenmesine ilişkindir. Kurul; üçüncü kişilerden prim karşılığı temin edilen iletişim numaralarını, sözleşme metni içine gömülmüş açık rıza kutucuklarını, aynı içerikteki iletilerin sık aralıklarla gönderilmesini ve bir hizmetten yararlanmanın ticari ileti için açık rıza verilmesi şartına bağlanmasını ayrı ayrı değerlendirmiştir.

Kurulun yerleşik yaklaşımı: Kanun'un 5 inci maddesindeki bir işleme şartına dayanmaksızın işlenen iletişim verisi, aydınlatma yükümlülüğü ayrıca incelenmeksizin doğrudan 12 nci madde kapsamında veri güvenliği tedbirlerinin alınmaması olarak nitelendirilmekte ve idari para cezasına konu olmaktadır. Geçerli bir işleme şartına dayanan iletiler dahi, ilgili kişinin makul beklentisini aşan sıklıkta gönderildiğinde hakkın kötüye kullanılması ve dürüstlük kuralına aykırılık oluşturmaktadır. Açık rıza, hizmetin ön şartı olarak sunulamaz; sözleşme metni içinde alınan açık rızanın "özgür irade ile verilme" unsuru sakatlanabileceğinden açık rıza metninin sözleşmeden ayrı sunulması gerekmektedir.

Üçüncü Kişilerden Prim Karşılığı Temin Edilen İletişim Numaraları

Kurulun 10 Haziran 2026 tarihli ve 2026/1183 sayılı kararında, bir tasarruf finansman şirketinin "marka elçiliği" programı kapsamında müşterilerinden temin ettiği üçüncü kişilere ait telefon numaralarını pazarlama amaçlı SMS ve arama için kullanması ve veri aktaran müşterilere prim ödemesi incelenmiştir. Şirket, müşterilerin bilgi almak isteyen tanıdıklarını uygulama üzerinden tavsiye edebildiğini ve çağrı merkezince aydınlatma yapıldığını savunmuş; ancak Kurul, ilgili kişinin verisinin "Kanunun 5'inci maddesi kapsamında hukuka uygun açık rızası alınmaksızın dolayısıyla geçerli bir veri işleme şartı mevcut olmaksızın işlendiği"ni tespit ederek veri sorumlusu hakkında 1.000.000 TL idari para cezası uygulamış; geçerli bir işleme şartı bulunmadığından aydınlatma yükümlülüğü bakımından ayrıca inceleme yapılmasına gerek görmemiştir.

Sözleşme İçine Gömülü Açık Rıza ve İleti Sıklığı

Kurulun 8 Ağustos 2024 tarihli ve 2024/1350 sayılı kararında, bir elektronik haberleşme işletmecisinin kampanya süresinin dolduğuna ilişkin aynı içerikteki kısa mesajları birbirine yakın tarihlerde ve bazı günlerde peş peşe göndermesi incelenmiştir. Kurul, iletilerin Elektronik Haberleşme Sektörüne İlişkin Tüketici Hakları Yönetmeliği'nin 11 inci maddesi uyarınca hukuki yükümlülük kapsamında gönderilebileceğini kabul etmekle birlikte, "aynı içerikteki SMS'leri birbirine yakın tarihlerde sıklıkla göndermesi suretiyle İlgili Kişinin makul beklentisi üzerinde bir işleme faaliyetinde bulunarak sahip olduğu hakkı kötüye kullandığı"nı belirterek 100.000 TL idari para cezası uygulamış; on altı sayfalık abonelik sözleşmesinin içinde yer alan açık rıza kutucuklarının "ilgili kişiler bakımından yanıltıcı nitelikte olabileceği ve açık rızanın unsurlarının sakatlanabileceği" gerekçesiyle açık rıza metninin sözleşmeden ayrı sunulmasını hatırlatmıştır.

Açık Rızanın Hizmetin Ön Şartı Hâline Getirilmesi

Kurulun 8 Ağustos 2024 tarihli ve 2024/1361 sayılı kararında, bir özel öğretim kurumunun internet sitesindeki iletişim formunda, hizmet hakkında bilgi almak isteyen kişilerden reklam ve pazarlama amaçlı açık rızanın zorunlu olarak alınması incelenmiş; Kurul, "açık rıza metninde birleştirilen konuların ayrıştırılması ve reklam, promosyon, çeşitli kampanyalara dair ticari elektronik iletilere ilişkin alınacak açık rızanın hizmetin ön şartı olarak zorunlu tutulmaması" yönünde veri sorumlusunu talimatlandırmıştır. Aynı ilke, 21 Eylül 2023 tarihli ve 2023/1610 sayılı kararda bir çevrimiçi yasal şans oyunları platformunun canlı maç yayınını ticari ileti için açık rıza verilmesi şartına bağlaması nedeniyle "özgür irade ile verilme" unsurunun zedelendiği belirtilerek 250.000 TL idari para cezası ve uygulamaya son verilmesi talimatıyla uygulanmıştır.

Hizmet Ortaklığında Veri Sorumlusu Sıfatının Belirlenmesi

Kurulun 15 Ağustos 2024 tarihli ve 2024/1393 sayılı kararında, uçuş sırasında sunulan internet hizmetine erişim için yolcunun soyadı ve koltuk veya bilet numarasının servis sağlayıcının portalına girilmesi ve havayolu sistemlerince doğrulanması incelenmiştir. Kurul, hizmet ve marka ortaklığı sözleşmesine dayanan bu yapıda havayolu şirketi ile internet servis sağlayıcısının "iki ayrı veri sorumlusu olduğu" sonucuna varmış; giriş ekranında veri paylaşımına ilişkin onay kutucuğunun açık rıza şartına bağlanmış olması nedeniyle internet servis sağlayıcısı hakkında 90.000 TL idari para cezası uygulamış, havayolu şirketi hakkında ise işlem yapılmasına gerek görmemiştir. Kurul ayrıca, ilgili kişinin veri sorumlusuna başvurusunda yer vermediği bir iddiayı doğrudan Kurula taşımasının usule uygun olmadığını belirtmiştir.

İşyerinde kamera ile gözetim, meşru menfaat şartı ve aydınlatma yükümlülüğüne ilişkin usuli gereklilikler çerçevesinde denetlenmektedir.
İşyerinde Gözetim ve Biyometrik Veri Bakımından Kurul Kararları

Kurul, işyerinde kamera ile gözetim uygulamalarını meşru menfaat şartı çerçevesinde değerlendirmekte; ancak aydınlatma metninin somut olması, açık rıza ile aydınlatmanın ayrıştırılması ve vekil aracılığıyla yapılan başvurularda özel yetki aranmaması gibi usuli gereklilikleri de aynı kararlarda denetlemektedir.

Kurulun yerleşik yaklaşımı: Hırsızlık olaylarının ardından çalışanların talebiyle kurulan, kapalı devre kayıt yapan ve kayıtları sınırlı süre saklayan kamera sistemi, Kanun'un 5 inci maddesinin ikinci fıkrasının (f) bendindeki meşru menfaat şartına dayanabilir. Buna karşılık aydınlatma metninde işleme şartlarına yalnızca madde numarasıyla genel atıf yapılması Tebliğ'e aykırıdır. Kişisel verilerin korunması mevzuatında vekâletnamede özel yetki aranmasına ilişkin bir düzenleme bulunmadığından, veri sorumluları vekil aracılığıyla yapılan başvurularda özel yetki arayamaz.

Çalışanların Talebiyle Kurulan Kamera Sistemi

Kurulun 28 Mart 2024 tarihli ve 2024/540 sayılı kararında, bir üretim tesisinde çalışanların kişisel eşyalarını muhafaza ettiği ve iş yeleklerini giydiği alana kamera yerleştirilmesi incelenmiştir. Kurul, kameraların yaşanan hırsızlık olaylarının ardından çalışanların imzalı talebiyle kurulduğunu, alanın soyunma odası olarak tasarlanmadığını ve kayıtların altmış günle sınırlı olarak kapalı devre sistemde saklandığını dikkate alarak işlemenin meşru menfaat şartına dayanabileceğini kabul etmiş; ancak aydınlatma metninde yalnızca Kanun'un 5, 6, 8 ve 9 uncu maddelerine genel atıf yapılması, açık rıza ile aydınlatmanın birlikte alınması ve vekâletnamede özel yetki aranması nedeniyle veri sorumlusunu talimatlandırmış ve uyarmıştır.

Eğitim Kurumlarında Kamera Kaydı ve Ses Kaydı İddiası

Kurulun 2024/1361 sayılı kararında, bir özel öğretim kurumunun güvenlik kameralarıyla ses ve görüntü kaydı aldığı iddiası da incelenmiş; Millî Eğitim Bakanlığı Özel Öğretim Kurumları Yönetmeliği'nin 11 inci maddesi uyarınca görüntü kaydının hukuki yükümlülük kapsamında olduğu, ses kaydı alındığını gösteren belge bulunmadığı, şikâyete konu ses kaydının ise bir çalışan tarafından alındığının anlaşıldığı belirtilmiştir. Kurul, çalışanın eylemi bakımından Türk Ceza Kanunu kapsamında suç duyurusunda bulunulabileceği konusunda ilgili kişiyi bilgilendirmiştir.

İlgili Kişi Hakları ve Başvuru Usulü Bakımından Kurul Kararları

Karar özetlerinin bir diğer ortak noktası, veri sorumlusuna başvuru ve Kurula şikâyet usulüne ilişkin tespitlerdir. Kurul; başvuruya sözlü dönüş yapılmasını, başvurunun yanlış birime yönlendirilerek geç cevaplanmasını ve Kanun'un yanlış yorumlanması suretiyle başvurunun reddedilmesini, sonuç itibarıyla ihlal bulunmayan dosyalarda dahi hatırlatma veya uyarı konusu yapmaktadır.

Kurulun yerleşik yaklaşımı: Kanun'un 11 inci maddesindeki bilgi talep etme hakkı, kişisel verilere erişim hakkını da kapsar; ilgili kişinin taraf olduğu görüşme kaydına erişim talebi, karşı tarafın müşteri sırrı niteliğindeki verileri maskelenerek karşılanmalıdır. Kanunlarda açıkça öngörülme şartına dayanan işleme faaliyetlerinde, mevzuatta öngörülen saklama süresi dolmadan silme talebi kabul edilmez. Basın arşivindeki haberler Kanun'un 28 inci maddesinin birinci fıkrasının (c) bendi kapsamında istisna oluşturduğundan, unutulma hakkı talebi öncelikle arama motorları nezdinde ileri sürülmelidir.

Banka Çalışanının Görüşme Kaydına Erişim Talebi

Kurulun 18 Nisan 2024 tarihli ve 2024/592 sayılı kararında, bir bankanın çalışanının kendisine hakaret eden müşteriyle yaptığı görüşmenin kaydına erişim talebini Sır Niteliğindeki Bilgilerin Paylaşılması Hakkında Yönetmelik'e dayanarak reddetmesi incelenmiştir. Kurul, talebin müşteri sırrına değil ilgili kişinin kendi verisine ilişkin olduğunu, Anayasa'nın 20 nci maddesi ve Kanun'un 11 inci maddesi uyarınca erişim hakkının bulunduğunu belirterek bankayı "üçüncü kişinin müşteri sırrı niteliğindeki bankacılık işlem verilerini maskeleyerek" kaydı ilgili kişiye sağlaması yönünde talimatlandırmış; bankanın Kanun'a ilişkin yanlış tespit ve değerlendirmeleri nedeniyle azami dikkat ve özen göstermesi gerektiğini hatırlatmıştır.

Abonelik Sözleşmesinin Kimlik Belgesi Gerekçesiyle Feshi

Kurulun 22 Şubat 2024 tarihli ve 2024/282 sayılı kararında, bir telekomünikasyon şirketinin abonelik sözleşmesini kimlik belgesi eksikliği gerekçesiyle feshetmesi kapsamında yürütülen veri işleme faaliyetleri incelenmiş; Kurul, tespit edilen aykırılık nedeniyle 350.000 TL idari para cezası uygulamış, sözleşmenin "Gizlilik" bölümünde açık rıza verildiği izlenimi uyandıran cümlelerin çıkarılmasını ve açık rızanın sözleşme ve aydınlatma metninden ayrıştırılarak alınmasını, ıslak imzalı sözleşme örneğinin ve verilerin aktarıldığı grup şirketleri listesinin ilgili kişiye verilmesini talimatlandırmıştır.

Hakkın Tesisi Şartı ve Kredi Kayıt Verilerinin Saklanması

Kurulun 8 Ağustos 2024 tarihli ve 2024/1359 sayılı kararında, bir sigorta şirketinin kazaya karışan üçüncü kişinin IBAN bilgisini poliçe sahibinin hasar bildirimi sırasında elde edip değer kaybı ödemesinde kullanması, Karayolları Motorlu Araçlar Zorunlu Mali Sorumluluk Sigortası Genel Şartları uyarınca hukuka uygun ve "bir hakkın tesisi, kullanılması veya korunması" şartı kapsamında bulunmuştur. Kredi Kayıt Bürosu'na ilişkin 2024/444 ve 2024/292 sayılı kararlarda ise kapatılan borç bilgisinin Risk Merkezi nezdinde bankacılık mevzuatı uyarınca on yıl süreyle işlenmeye devam edeceği belirtilerek silme talepleri hakkında işlem yapılmasına gerek görülmemiştir.

Basın Arşivi ve Unutulma Hakkı

Kurulun 28 Aralık 2023 tarihli ve 2023/2185 sayılı kararında, bir gazetenin arşivinde yer alan haberdeki kişisel verilerin imha edilmesi talebi incelenmiş; haberin basın hürriyeti kapsamında Kanun'un 28 inci maddesinin birinci fıkrasının (c) bendi uyarınca istisna oluşturduğu belirtilmiş ve ilgili kişilerin adlarıyla yapılan aramalarda verilerin görüntülenmesine son verilmesi talebinin "arama motorları tarafından unutulma hakkı kapsamında değerlendirilmesi" gerektiği, bu nedenle başvuru yolunun öncelikle arama motorları nezdinde tüketilmesi gerektiği hükme bağlanmıştır.

Yurt dışında yerleşik veri sorumluları bakımından Kanun'un yer bakımından uygulama alanı etki ilkesi üzerinden yorumlanmaktadır.
Kanunun Uygulama Alanı ve Veri İhlali Bildirimleri Bakımından Kurul Kararları

Karar özetleri arasında Kanun'un kişi ve yer bakımından uygulama alanına ilişkin iki karar ile veri ihlali bildirimlerine ilişkin çok sayıda karar yer almaktadır. Kurul, infaz mercilerinin infaz işlemleri kapsamındaki veri işlemesini Kanun'un dışında tutmakta; yurt dışında yerleşik veri sorumluları bakımından ise "etki ilkesi"ni uygulamaktadır.

Kurulun yerleşik yaklaşımı: Kanun'un 28 inci maddesinin birinci fıkrasının (d) bendi uyarınca infaz mercilerinin infaz işlemlerine ilişkin veri işlemesi Kanun kapsamı dışındadır. Yurt dışında yerleşik bir veri sorumlusu nezdinde yaşanan veri ihlali, ancak Türkiye'de yerleşik ilgili kişileri etkilemesi ve bu kişilerin ürün ve hizmetlerden Türkiye'de faydalanması hâlinde bildirim yükümlülüğü doğurur. Etkilenen kişi sayısı sınırlı, veri kategorileri kurumsal iletişim bilgileriyle sınırlı ve ihlalin olumsuz sonuç doğurma olasılığı düşükse Kurul bu aşamada işlem yapmamaktadır.

Ceza İnfaz Kurumlarında Veri İşleme

Kurulun 19 Aralık 2024 tarihli ve 2024/2158 sayılı kararında, bir ceza infaz kurumunun tahsilat ve reddiyat makbuzlarında hükümlünün ve para yatıran yakınının kimlik bilgilerine açıkça yer vermesi resen incelenmiş; bu işlemenin infaz işlemleri kapsamında bir infaz mercii tarafından gerçekleştirildiği dikkate alınarak Kanun'un 28 inci maddesinin birinci fıkrasının (d) bendi uyarınca Kanun hükümlerinin uygulanamayacağına ve yapılacak işlem bulunmadığına karar verilmiştir.

Yurt Dışında Yerleşik Veri Sorumlusu ve Etki İlkesi

Kurulun 28 Mart 2025 tarihli ve 2025/601 sayılı kararında, Hong Kong'da kurulu ve Türkiye'de herhangi bir tüzel kişiliği, çalışanı veya teknoloji altyapısı bulunmayan bir otelcilik şirketinin veri ihlali bildirimi incelenmiştir. Kurul, 2019/10 sayılı kararına atıfla Kanun'un yer bakımından uygulama alanını "mülkîlik ilkesi yerine etki ilkesi üzerinden" yorumladığını hatırlatmış; ilgili kişilerin ürün ve hizmetlerden Türkiye'de faydalanmadığı dikkate alınarak şirketin bildirim yükümlülüğü bulunmadığına ve işlem yapılmasına gerek olmadığına karar vermiştir. 22 Mayıs 2025 tarihli ve 2025/881 sayılı kararda ise bir uygulama entegrasyonunun sehven etkinleştirilmesi sonucu 488 çalışanın kurumsal iletişim bilgilerinin üçüncü bir uygulama şirketiyle paylaşılması, ihlalin derhâl tespit edilip senkronizasyonun iptal edilmesi ve çalışanlara son bir yılda eğitim verilmiş olması dikkate alınarak yaptırıma bağlanmamıştır.

03
Genel Değerlendirme ve Sonuç

Kişisel Verileri Koruma Kurulu'nun 2026 yılı yaz döneminde yayımladığı ilke kararları ve karar özetleri, denetimin iki eksende yoğunlaştığını göstermektedir. İlk eksen, yaygın ihlal tespit edilen alanlarda ilke kararı yoluyla sektör geneline yönelik kural koyma pratiğidir: mesai takibinde biyometrik veri, kaza mağdurlarının verilerine erişim, kamu kurumlarının internet paylaşımları ve sadakat kartı işlemleri bu dönemde ilke kararına bağlanmış; Kurum, ilke kararlarının uygulanmasına ilişkin tereddütleri kamuoyu duyurusuyla gidermiş ve haklı bulduğu sektör talepleri üzerine uyum süresini uzatmıştır. İkinci eksen, pazarlama amaçlı veri işlemede açık rızanın unsurlarının sıkı biçimde denetlenmesidir: üçüncü kişilerden temin edilen iletişim numaraları, sözleşme metnine gömülü rıza kutucukları, hizmetin ön şartı hâline getirilen rıza ve makul beklentiyi aşan ileti sıklığı, idari para cezası veya talimat konusu olmuştur.

Uygulama bakımından öne çıkan husus, sonuç itibarıyla ihlal tespit edilmeyen dosyalarda dahi Kurulun başvuru usulüne, aydınlatma metninin somutluğuna ve açık rıza ile aydınlatmanın ayrıştırılmasına ilişkin hatırlatma ve talimatlar vermesidir. Netice itibarıyla; veri sorumlularının biyometrik sistemler, pazarlama izinleri ve çalışan gözetimi konularındaki mevcut uygulamalarını ilke kararları ışığında gözden geçirmesi, açık rıza metinlerini sözleşme ve aydınlatma metinlerinden ayırması ve ilgili kişi başvurularını yazılı, gerekçeli ve süresinde sonuçlandıracak iç süreçleri kurması gerekmektedir.

İlgili yazılar

Veri KorumaKişisel Verileri Koruma Kurulu Kararları — Ekim 2026: Kurumsal E-Posta ve İş İletişim Kanallarının Denetlenmesine İlişkin İlke Kararı ve 7 Ekim 2026 Tarihli İhlal Bildirimleri12 Ekim 2026Veri KorumaKişisel Verileri Koruma Kurulu Kararları — Ekim 2026: İlgili Kişi Başvurularına Cevabın Bildirim Usulü ve 30 Eylül 2026 Tarihli İhlal Bildirimleri5 Ekim 2026Veri KorumaAvukatların KVKK Yükümlülükleri ve Veri İşleyen Kaynaklı İhlaller28 Eylül 2026