Doğduğu Gün Eskiyen Kanun: KVKK'nın GDPR Yolculuğu

Av. Hayri Efe Savran – Özuğur & Savran Hukuk ve Danışmanlık Bürosu

Nadir Bey'in yazıhanesindeki çelik dolabın en üst rafında, sırtında el yazısıyla «KVKK UYUM – TAMAMLANDI» yazan lacivert bir klasör durur. 2018 baharında hazırlanmıştır: aydınlatma metinleri, rıza formları, VERBİS kaydının çıktısı, bir de danışmanlık faturası. Nadir Bey o klasörü rafa kaldırdığı gün, şirketine bir zırh giydirdiğini düşünmüştü. Sekiz yıl sonra, Hollandalı bir müşterisinden gelen tek satırlık e-posta o zırhın menteşelerini gıcırdattı: «Are you GDPR compliant?»

Bu sütunda daha önce İsmail'in hayalet tapularının ve Remzi'nin bandrolsüz purolarının peşine düşmüştük. Bu kez iz, elle tutulamayan bir şeyin peşinde: verinin. Ve hikâye, bir kanunun daha doğduğu gün nasıl eskidiğiyle açılıyor.

Dosyayı açarken üç sorunun peşindeyiz:

• Bir kanun, daha yürürlüğe girdiği ay nasıl eskir?

• Sekiz yıl boyunca açılan makas, Türk şirketlerine neye mal oldu?

• Kapağında «tamamlandı» yazan uyum klasörleri neden yeniden açılmak zorunda?

Bir Kanunun Doğum Lekesi

Takvimler 24 Mart 2016'yı gösterdiğinde Türkiye Büyük Millet Meclisi, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nu kabul etti. Metnin ilham kaynağı, Avrupa Birliği'nin 1995 tarihli 95/46/AT sayılı Veri Koruma Direktifi'ydi; yani yirmi bir yaşında bir model.

İşin cilvesi ise şurada: Aynı yılın nisan ayında Avrupa Parlamentosu, o direktifi tarihe gömen Genel Veri Koruma Tüzüğü'nü (GDPR) kabul etti. KVKK, nüfus cüzdanını aldığı hafta, üzerine biçildiği model yürürlükten kaldırılma sürecine girmişti. Kanun, doğduğu gün eskimişti.

Bu doğum lekesi yıllarca kaşındı. GDPR 2018'de uygulanmaya başlayınca makas iyice açıldı: Avrupa'da ciroya endeksli cezalar, kanun seviyesinde açıkça düzenlenmiş unutulma hakkı, veri taşınabilirliği ve etki değerlendirmesi konuşulurken; bizde maktu cezalar, dar bir istisna listesi ve yurt dışına aktarımı fiilen kilitleyen bir dokuzuncu madde vardı. Avrupa ile veri alışverişi yapan her Türk şirketi, iki düzen arasındaki boşlukta kendi köprüsünü kurmak zorunda kaldı.

2024: Kanayan Yaraya İlk Dikiş

İlk ciddi müdahale, 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun'la, yani kamuoyunda Sekizinci Yargı Paketi olarak bilinen düzenlemeyle geldi. Üç cephede neşter vuruldu: Özel nitelikli kişisel verilerin işlenme şartları genişletildi ve özellikle istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanındaki fiilî ihtiyaçlar nihayet hukuki zemine kavuştu. Yurt dışına veri aktarımı, açık rıza esaretinden çıkarılıp yeterlilik kararı, uygun güvenceler ve arızi hâllerden oluşan kademeli bir mimariye bağlandı. Kurul kararlarına karşı yargı yolu ise sulh ceza hâkimliklerinden alınıp idari yargının görev alanına bırakıldı.

Ancak dürüst olalım: 2024 reformu bütüncül değil, kısmi bir onarımdı. Birçok akademik değerlendirmeye göre kanayan yaralar dikildi; iskelet aynı kaldı. Meşru menfaat hâlâ dar yorumlanıyor, cezalar hâlâ maktu, hesap verebilirlik ilkesi hâlâ satır aralarında yaşıyor.

2026: Perde Tam Uyum İçin Açılıyor

Asıl büyük sahne şimdi kuruluyor. 2026 Yılı Cumhurbaşkanlığı Yıllık Programı ile On İkinci Kalkınma Planı, kişisel verilerin korunması alanında AB müktesebatıyla GDPR ile uyumun güçlendirilmesine yönelik mevzuat çalışmalarını politika hedefi olarak ortaya koymakta. GDPR aynasına bakıldığında masadaki başlıklar tahmin edilebilir: unutulma hakkı ile veri taşınabilirliğinin açıkça kodifiye edilmesi, veri koruma etki değerlendirmesi, hesap verebilirlik ilkesinin omurgaya yerleşmesi, cezaların maktu tutarlardan ciroya endeksli nispi modele yaklaşması ve veri koruma görevlisi benzeri kurumsal bir figür. Bunların hangisinin hangi biçimde yasalaşacağını metin netleşince göreceğiz; ama yönün kendisi artık tartışma dışı.

Rakamlar da beklemeyi affetmiyor. Yeniden değerleme oranıyla her yıl güncellenen idari para cezalarında 2026 tarifesi, veri güvenliği yükümlülüklerinin ihlalinde 17 milyon TL'yi aşan bir üst sınıra ulaşmış durumda. Uyumu erteleyen şirket, düne göre çok daha pahalı bir kumar oynuyor.

Uyum Bir Fotoğraf Değil, Film

Nadir Bey'in klasörünün asıl kusuru içeriği değil, kapağıdır. «Tamamlandı» ibaresi, uyumun bir kerelik fotoğraf olduğu yanılgısını taşır; oysa uyum, şirketin damarlarındaki veri akışını sürekli dinlemeyi gerektiren bir filmdir. Yapılacak iş bellidir: veri envanterini bugünün süreçlerine göre güncellemek, yurt dışına giden her akış için aktarım haritası çıkarmak, rıza mimarisini amaç bazında yeniden kurmak, tedarikçi ve veri işleyen sözleşmelerini elden geçirmek, bir ihlal anı için müdahale planını şimdiden yazmak. İyi bir uyum denetimi, dolaptaki klasöre değil, sistemler arasında gece yarısı akan veriye bakar.

Bir uyum klasörünün kapağında «tamamlandı» yazıyorsa, içindekilerin tarihi çoktan geçmiş demektir. Çünkü veri durmaz; duran yalnızca klasörlerdir.

Kaynakça

6698 sayılı Kişisel Verilerin Korunması Kanunu.

7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun.

Directive 95/46/EC.

Regulation (EU) 2016/679 (GDPR).

2026 Yılı Cumhurbaşkanlığı Yıllık Programı.

On İkinci Kalkınma Planı (2024–2028).

Kişisel Verileri Koruma Kurumu, 2026 yılı idari para cezalarına ilişkin duyuru.

İletişim

İnternet sitesindeki içeriklerin tümüyle veya kısmen kopyalanması, çoğaltılması yasaktır. Aksi davranılması halinde hukuki yollara başvuru hakkımız saklıdır. İşbu internet sitesi 1136 Sayılı Avukatlık Kanunu'na uygun olarak faaliyet göstermektedir. İnternet sitesindeki içerikler avukatlık hizmeti olarak değerlendirilemeyeceği gibi, bilgilendirme dışında bir amaç gütmemektedir.

Bilgilerinizi bırakın, size dönüş sağlayalım.

Güzeltepe, Özvatan Sokağı No:20/4, 06690 Çankaya/Ankara

+90 552 524 42 26

All rights reserved. © 2025. Özuğur&Savran Hukuk ve Danışmanlık Bürosu

KVKK Aydınlatma ve Açık Rıza Metni için tıklayınız.

av.edaozugur@gmail.com

av.efesavran@gmail.com

⎯

hukuk@ozugursavran.com