Kişisel Verileri Koruma Kurulu’nun bir yıllık kararlarını okumak, bulunabilecek en ucuz uyum danışmanlığıdır: Kurul, her dosyada neyi cezalandırdığını açıkça söyler. 2026’nın ilk yarısında beş yaptırım eğilimi öne çıkıyor ve her biri doğrudan somut bir yapılacak işe dönüşüyor.
Eğilim 1: daha az müdahaleci bir alternatif varken biyometri
2026/921 sayılı ilke kararı yılın dönüm noktası: daha az müdahaleci bir alternatif varsa biyometrik mesai takip sistemleri hukuka uygun kabul edilmiyor ve açık rıza da ölçüsüzlüğü gidermiyor. Bu gerekçe, kolaylık amaçlı her biyometrik özellik için geçerli. Yapılacak: biyometrik verinin kullanıldığı her nokta için gereklilik memosu hazırlayın, alternatifleri belgeleyin, rızayı ilk değil ikinci soru olarak ele alın.
Eğilim 2: formalite değil, içeriği olan aydınlatma
Cezalar, var olan ama işlevsiz aydınlatma metinlerine verilmeye devam ediyor: yanlış yerde (kullanım koşullarına gömülü), yanlış dilde, genel geçer amaçlarla yazılmış ya da alıcı gruplarını eksik sayan metinler. Kurul, metni gerçek veri akışlarıyla karşılaştırarak okur. Yapılacak: aydınlatma metnini VERBİS kaydınızdan ve fiilen kullandığınız entegrasyonlardan yola çıkarak yeniden yazın; metin ile VERBİS kaydı çelişiyorsa ikisi de aleyhinize değerlendirilir.
Eğilim 3: bildirilmemiş araçlar üzerinden yurt dışına aktarım
Günümüzün tipik ihlali mimariden kaynaklanıyor: analitik SDK’ları, bulut CRM’ler ve model API’leri, aktarım belgeleri olmadan kişisel veriyi sessizce yurt dışına taşıyor. 2024 sonrası aktarım kuralları (standart sözleşmeler, yeterlilik kararları) uyumu mümkün kıldı; bu da uyumsuzluğu daha az mazur gösterilebilir hale getiriyor. Yapılacak: yalnızca sunucularınızı değil, kullandığınız tüm SaaS araçlarını da kapsayan bir aktarım envanteri çıkarın. En yeni sızıntı kanalını şirket içi yapay zeka politikası yazımızda ele aldık.
Eğilim 4: ihlal bildiriminin zamanlaması
Kurul 72 saatlik süreyi katı uyguluyor, şirket içi gecikmelere pek anlayış göstermiyor. Süre ihlalin öğrenildiği andan işler; öğrenme anı da hukuk biriminin haberdar olduğu zamana göre değil, kurum bütünü esas alınarak belirlenir. Yapılacak: ilk saatin tanımlandığı bir olay müdahale süreci (iki ayrı süreye göre işleyen müdahale planı) kurun ve bildirim kararını tek bir sorumluya bağlayın.
Eğilim 5: alışkanlıkla sürdürülen saklama
Her şeyi süresiz saklamak artık tek başına bir ihlal tespiti konusu: süresi dolmuş müşteri dosyaları, ayrılmış çalışanların verileri, reddedilen adayların özgeçmişleri. Yapılacak: saklama ve imha takvimini doğrudan sistemlere işleyin (otomatik silme, kâğıt üzerindeki politikadan her zaman daha etkilidir) ve silme kayıtlarını delil olarak saklayın.
Cezaları doğru okumak
Ceza aralıkları her yıl yeniden değerleme oranıyla artmaya devam ediyor (2026’da veri güvenliği ihlalinde üst sınır 17.092.242 TL); ancak Kurul’un asıl etkili aracı kararların yayımlanması. Bu büyüklükte bir pazarda şirket adının geçtiği karar doğrudan itibar meselesidir. En ucuz yol en sıradan olanıdır: gereklilik memoları, dürüst aydınlatma metinleri, haritası çıkarılmış aktarımlar, önceden tatbikatı yapılmış olay müdahalesi ve otomatik silme.
Yapay zeka ve teknolojiyle ilgili her Kurul kararını yayımlandıkça KVKK Takip‘e ekliyoruz; uyum programının tamamı için KVKK + GDPR sayfamıza bakın.
Bu yazı yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Temmuz 2026 itibarıyla yayımlanmış kararları yansıtır.
