Kişisel verilerin korunması alanında çalıştığım yıllar boyunca en çok zorlandığım iş, mevzuatın herhangi bir maddesini yorumlamak olmadı. Zor olan, aynı şirket için aynı anda iki kanunu yönetmekti. Türkiye’de faaliyet gösteren ve Avrupa’daki bir kullanıcıya, müşteriye ya da grup şirketine dokunan her yapı, 6698 sayılı Kişisel Verilerin Korunması Kanunu ile Avrupa Birliği Genel Veri Koruma Tüzüğü’nün kesişiminde yaşıyor. Bu kesişim kâğıt üzerinde geniş görünür, çünkü iki metin de aynı ilkelerden türemiştir. Uygulamada ise iki kanun birçok noktada birbirinden farklı şeyler ister ve birine tam olarak uymak, çoğu zaman diğerinden bir ölçüde uzaklaşmak anlamına gelir.
6 Eylül 2026 tarihli Resmî Gazete’nin mükerrer sayısında yayımlanan 2027-2029 dönemi Orta Vadeli Programı bu tabloya bir tarih ekledi. Programın iş ve yatırım ortamına ayrılan bölümünde tek cümlelik bir taahhüt yer alıyor: “6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK)’nun Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) ile uyumlaştırma süreci tamamlanacaktır.” Programın Ek 3’ündeki düzenlemeler tablosunda bu cümlenin karşısında “Kanun/İdari Düzenleme” ibaresi ve 2027 yılının üçüncü çeyreği yazıyor. Tablonun dipnotu bu tarihin ne anlama geldiğini de söylüyor: “Kanun” olarak işaretlenen kalemlerde takvim, TBMM gündemine sunulacak teknik ve idari çalışmaların tamamlanmasını ifade ediyor. Yani 2027 yılının üçüncü çeyreği kanunun yürürlük tarihi olmak zorunda değil, Meclis’e sunulacak metnin hazır olması gereken tarih.
Aynı masada iki kanun
Bu örtüşmenin neden yorucu olduğunu birkaç örnekle anlatmak mümkün. KVKK’nın sistematiğinde açık rıza uzun süre temel hukuki sebep gibi çalıştı. Kanunun metni meşru menfaati de tanır, ancak Türkiye’deki uygulama kültürü tereddüt hâlinde rıza almayı tercih etti. GDPR ise rızayı altı hukuki sebepten yalnızca biri olarak görür ve rızanın özgürce verilmiş olmasını, hizmetin şartı hâline getirilmemesini arar. Türkiye’de güvenli sayılan “her ihtimale karşı rıza al” yaklaşımı, Avrupa’daki bir denetimde rızanın geçerliliğini sorgulatan bir bulguya dönüşebilir. Aynı işleme faaliyeti için Türkiye sütununda rıza, Avrupa sütununda meşru menfaat yazan bir envanter tuttuğum çok oldu.
Yurt dışına aktarım ikinci örnek. 2024 yılına kadar KVKK’nın 9. maddesi altında Avrupa’daki grup şirketine yapılan bir aktarım için pratikte açık rıza dışında işleyen bir yol yoktu. Kurul’un onayladığı taahhütnameler istisna kaldı, yeterli korumaya sahip ülkeler listesi ise hiç yayımlanmadı. Aynı aktarım GDPR tarafında standart sözleşme hükümleriyle yıllardır yerleşik bir usulle yapılıyordu. 12 Mart 2024’te yayımlanan 7499 sayılı Kanun, 9. maddeyi yeterlilik kararı, uygun güvenceler ve arızi hâller üzerine kurulu bir yapıya taşıdı ve iki rejimi belirgin biçimde yaklaştırdı. Fark yine de tamamen kapanmadı. Türkiye’de imzalanan standart sözleşmenin beş iş günü içinde Kurum’a bildirilmesi gerekiyor, Avrupa’da böyle bir bildirim yok. Aynı belge iki ülkede iki farklı usule tabi.
Liste uzar. VERBİS kaydının GDPR’da karşılığı yoktur. GDPR’ın 30. maddesindeki işleme faaliyetleri kaydı ile KVKK tarafındaki kişisel veri işleme envanteri aynı bilgiyi farklı yapılarda ister. GDPR’ın 37. maddesindeki veri koruma görevlisi KVKK’da zorunlu bir kurum olarak bulunmaz. Veri koruma etki değerlendirmesi GDPR’da belirli işlemeler için zorunludur, KVKK’da ise bir yükümlülük olarak yer almaz. Veri taşınabilirliği hakkı GDPR’da vardır, KVKK’nın 11. maddesinde yoktur. İhlal bildiriminde iki taraf da 72 saati esas alır, fakat KVKK tarafında bu süre Kanun’dan ziyade 2019 tarihli bir Kurul kararından gelir. Bu farkların her biri tek başına yönetilebilir. Hepsi birden aynı veri sorumlusunun üzerine bindiğinde ortaya, iki kanunun da tam olarak istediği gibi olmayan melez bir uyum programı çıkar. Yıllardır yönettiğim şey bu melez yapı.
Programın söylediği ve söylemediği
Orta Vadeli Program’daki cümlenin fiili “tamamlanacaktır”. Cümle, uyumu sürmekte olan ve bitirilecek bir iş olarak tarif ediyor. 7499 sayılı Kanun’la başta 6. ve 9. maddeler olmak üzere yapılan değişiklikler bu sürecin ilk yasal adımıydı. Program, kalan mesafeyi kapatacak kanun metninin ve idari düzenlemelerin 2027 yılının üçüncü çeyreğine kadar hazırlanacağını söylüyor. Hangi maddelerin değişeceği, yeni bir kanun mu yoksa kapsamlı bir değişiklik paketi mi geleceği metinde yer almıyor. Avrupa Komisyonu’ndan bir yeterlilik kararı alınması hedefi de metinde yok. Bunları Program’a atfetmek doğru olmaz. Benim okumam, aktarım rejiminin böyle bir değerlendirmeye hazırlanmasının bu taahhüdün doğal devamı olduğu yönünde.
Maddenin yeri de bir şey söylüyor. Taahhüt, iş ve yatırım ortamına ilişkin bölümde Tek Durak Ofis, Yatırım Koordinasyon ve Uzlaştırma Kurulu, tahkimin yaygınlaştırılması ve ihtisas mahkemeleri gibi maddelerle aynı listede duruyor. Programda temel haklara ayrılmış bir başlık yok; taahhüt bir yatırım ortamı maddesi olarak konumlanmış. Aynı Program’ın başka bölümlerinde yapay zekâ mevzuatının AB ile uyum gözetilerek geliştirileceği ve veri yönetişimi için çatı mevzuat hazırlanacağı yazıyor. Dış ticaret bölümünde ise AB’nin veri koruma ve siber güvenlik düzenlemeleri, Türkiye-AB ticaret ilişkisinin bir parçası olarak anılıyor. Bir bütün olarak okuduğumda gördüğüm resim şu: veri koruma bu Program’da Avrupa ile ekonomik bütünleşmenin bir ön koşulu olarak ele alınmış.
Uyum programlarını yeniden kurmak
Bu taahhüdün pratik sonucu açık. Bugüne kadar kurulan uyum programlarının tamamı yeniden ele alınacak. Aydınlatma metinleri, açık rıza akışları, envanterler, saklama ve imha politikaları, yurt dışına aktarım sözleşmeleri, tedarikçi sözleşmelerindeki veri koruma hükümleri ve ihlal müdahale planları, uyumun bittiği iki farklı noktaya göre yazılmıştı. Kanun GDPR’a yaklaştıkça bu belgelerin bir kısmı gereksizleşecek, bir kısmı eksik kalacak, bir kısmının ise dayanağı değişecek. Rızaya dayandırılmış ama aslında meşru menfaatle yürütülebilecek işlemelerin dayanağının yeniden belirlenmesi, tek başına aylar sürecek bir iş.
Ben bunu heyecan verici buluyorum. Yıllardır iki ayrı masa için iki ayrı savunma hazırlayan bir alanın tek bir tutarlı çerçeveye kavuşması, hem şirketler hem de danışmanlar için işin niteliğini değiştirecek. Türkiye’deki bir girişimin Avrupa pazarına açılırken veri koruma dosyasını sıfırdan kurmak yerine mevcut programını genişletmesi mümkün olacak. Avrupalı bir grubun Türkiye iştiraki de grup politikasını yerelleştirmek için bugün harcadığı çabanın önemli bir kısmından kurtulacak.
Sancılı geçiş
Heyecanın yanına bir gerçeği koymak gerekiyor. Uyum kültürünün zaten zayıf olduğu bir coğrafyadayız. VERBİS’e kayıt yükümlülüğünün üzerinden yıllar geçtiği hâlde kayıt dışı kalan veri sorumluları var. Aydınlatma metni web sitesine kopyalanmış bir şablondan ibaret olan çok sayıda şirket var. Böyle bir zeminde kanunun GDPR düzeyine çekilmesi mevcut boşluğu kendiliğinden kapatmaz, hedefi yükseltir. Veri koruma görevlisi, etki değerlendirmesi ve tasarımdan itibaren veri koruma gibi kurumlar yalnızca kanun metnine girdikleri için sahada işlemeye başlamayacak. Geçişin sancılı olacağını şimdiden söylemek kehanet sayılmaz.
Bu nedenle önümüzdeki dönemin asıl yükü Kişisel Verileri Koruma Kurumu‘nun üzerinde olacak. Kurum’un bu geçişte iki işi aynı anda yapması gerekiyor. Birincisi etkin denetim: yeni kuralların şikâyet beklemeden, sektörel ve planlı denetimlerle takip edilmesi. İkincisi eğitim: hangi hükmün ne zaman yürürlüğe gireceğini, mevcut rıza stoklarının ne olacağını, aktarım sözleşmelerinin yeniden imzalanması gerekip gerekmeyeceğini şirketlere zamanında ve anlaşılır biçimde anlatan bir rehberlik programı. Avrupa’da ulusal otoritelerin 2018 öncesindeki iki yıllık geçiş döneminde yaptığı rehberlik çalışması, GDPR’ın uygulanabilir olmasında Tüzük metni kadar pay sahibiydi. Türkiye’nin de buna benzer bir geçiş dönemine ihtiyacı var ve Program’daki 2027 tarihi bu dönemin ne kadar kısa olduğunu gösteriyor.
Takvim kısa, iş büyük
Orta Vadeli Program, KVKK’yı GDPR ile uyumlaştıracak kanun metninin ve idari düzenlemelerin 2027 yılının üçüncü çeyreğine kadar hazırlanacağını söylüyor. İki kanun arasındaki farkları yıllardır elle yöneten biri olarak bunu bekliyordum ve bu iyi bir haber. Aynı zamanda, bugüne kadar kurulan her uyum programının yeniden yazılacağı ve uyum kültürü zayıf bir ortamda bu geçişin sancılı olacağı anlamına geliyor. Taslağın Meclis’e gelmesine kadar şirketlerin önünde yaklaşık bir yıl var; yasalaşma ve yürürlük takvimi ondan sonra belli olacak. Envanteri güncel tutmak, hukuki dayanakları gözden geçirmek ve rızaya yaslanan işlemeleri şimdiden sorgulamak, 2027’de yapılacak işin büyük kısmını bugünden hafifletir. Kurum’un denetim ve eğitim kapasitesi ise bu geçişin kâğıt üzerinde mi yoksa sahada mı yaşanacağını belirleyecek.
Kaynak. 6 Eylül 2026 tarihli ve 33362 (Mükerrer) sayılı Resmî Gazete’de yayımlanan 11752 sayılı Cumhurbaşkanı Kararı ekindeki Orta Vadeli Program (2027-2029); 6698 sayılı Kişisel Verilerin Korunması Kanunu; 12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete’de yayımlanan 7499 sayılı Kanun; (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır ve hukuki görüş niteliği taşımaz. Somut bir olaya ilişkin değerlendirme için hukuki destek alınması önerilir.
Yazar
Bu konu masanızdaysa
Kurucu Akademisi'nde şablonlar ve kontrol listeleri ücretsiz; spesifik bir durum için 30 dakikalık ön görüşme planlayabilirsiniz.
Kurucu AkademisiGörüşme planlayınDaha fazla Vircon İçgörüleri
KVKK'nın Yayımladığı 47 Karar: Rakamlar, Örüntüler ve Şirketler İçin Aksiyon Planı
13 Ağustos 2026"Arkadaşınız Numaranızı Verdi": KVKK Referans Pazarlamasına Çizgiyi Çekti
21 Temmuz 2026KVKK Biyometride Sınırı Çizdi: Mesai Takibi Kapalı, Güvenlik Erişimi Şartlı
27 Ağustos 2026Kredi Kayıt Sektöründen İki Karar ve 47 Karar Özetinin Tam Dizini
23 Ağustos 2026KVKK 2026’da Neyi Cezalandırdı: Beş Yaptırım Örüntüsü ve Her Birinin Arkasındaki Yapılacak İş
7 Ağustos 2026Kurul Ne Zaman İşlem Yapmıyor? Düşük Riskli Beş İhlal Kararı
22 Ağustos 2026İlgili Hizmet Alanlarımız
Gizlilik ve Siber Güvenlik
KVKK ve GDPR uyumu, veri ihlali yönetimi, siber güvenlik.
Hizmet sayfası →ICO'lar & Kripto Para Birimleri Blockchain
Kripto varlık regülasyonu, token arzı, exchange ve custody lisansı.
Hizmet sayfası →Startup Hukuku
Kuruluş, kurucu sözleşmeleri, ESOP, term sheet ve regülasyon.
Hizmet sayfası →