2026’da Kişisel Verileri Koruma Kurulu Kararlarından Öne Çıkanlar

27 Ekim 2026 · Mosturoğlu & Çopuroğlu

2026 yılı, Kişisel Verileri Koruma Kurulu’nun (“Kurul”) özellikle ilke kararları yoluyla uygulamaya yön verdiği bir yıl oldu. Kurul; iş ilişkisinde biyometrik veri kullanımından kurumsal e-postaların denetimine, sadakat kartlarından site yönetimlerinin borç bildirimlerine kadar günlük hayatın pek çok alanına ilişkin genel nitelikte kararlar aldı. Bu yazıda, veri sorumlularının uyum çalışmalarında dikkate alması gereken öne çıkan kararları ve gelişmeleri özetliyoruz.

1. Mesai Takibinde Biyometrik Veri Kullanımı (İlke Kararı 2026/921)

Kurul, 29.04.2026 tarihli ve 2026/921 sayılı ilke kararıyla (RG 02.06.2026, S. 33268) işyerlerinde parmak izi, yüz tanıma, iris veya avuç içi gibi biyometrik yöntemlerle mesai takibi yapılmasını değerlendirdi. Karara göre:

• Biyometrik verilerle mesai takibini öngören açık bir kanun hükmü bulunmadığından, bu işleme “kanunlarda açıkça öngörülme” şartına dayandırılamaz.
• İşçi ile işveren arasındaki güç dengesizliği nedeniyle, iş ilişkisinde alınan açık rıza kural olarak özgür iradeye dayalı kabul edilmez ve tek başına yeterli bir hukuki sebep oluşturmaz.
• Açık rıza geçerli olsa dahi işleme KVKK m. 4’teki genel ilkelere, özellikle ölçülülük ilkesine uygun olmalıdır. PIN veya şifreli kart sistemleri, RFID/NFC kimlik kartları ya da imza çizelgeleri gibi daha az müdahaleci yöntemler mevcut olduğundan biyometrik mesai takibi ölçüsüz bulunmuştur.

Karar herhangi bir geçiş süresi öngörmemektedir. Biyometrik mesai sistemi kullanan işverenlerin bu sistemleri vakit kaybetmeden alternatif yöntemlerle değiştirmesi gerekmektedir.

2. Kurumsal E-posta ve İletişim Kanallarının Denetimi (İlke Kararı 2026/2035)

Kurul, 16.09.2026 tarihli ve 2026/2035 sayılı ilke kararıyla (RG 08.10.2026) işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları ile diğer iş iletişim kanallarını denetlemesine ilişkin usul ve esasları belirledi. Öne çıkan noktalar şunlardır:

• Çalışanlar denetimin hukuki sebebi, amacı, kapsamı, yöntemi, içeriğe hangi hâllerde erişilebileceği ve saklama süreleri hakkında önceden ve somut olarak bilgilendirilmelidir. “Kurumsal e-postalar denetlenebilir” şeklindeki genel bir ifade yeterli görülmemektedir.
• Kurumsal hesapların iş amaçlı ve kişisel kullanımına ilişkin açık kurallar konulmalıdır. Kişisel kullanım yasaklanmış olsa bile denetim ölçülülük ilkesine tabidir.
• İşverenin bir cihaza, oturuma veya ağa teknik olarak erişebilmesi, çalışanın kişisel e-posta, mesajlaşma veya sosyal medya hesaplarına erişme hakkı vermez.
• Denetimde kademeli bir yaklaşım benimsenmeli; içerik incelemesi istisnai olmalı ve kural olarak somut bir şüpheye veya belirli bir olaya bağlanmalıdır. Genel ve sürekli içerik taraması kabul görmemektedir.
• Denetim sonuçlarına erişim sınırlı sayıda yetkiliyle kısıtlanmalı ve erişim kayıtları tutulmalıdır. İş ilişkisinin sona ermesinden sonra eski çalışanın hesabındaki verilerin işlenmesine ilişkin hukuki sebep ayrıca değerlendirilmelidir.

3. Sadakat Kartı Uygulamaları (İlke Kararı 2026/266 ve Süre Uzatımı)

Kurul, 11.02.2026 tarihli ve 2026/266 sayılı ilke kararıyla (RG 28.02.2026, S. 33182) alışveriş sırasında kart sahibinin bilgisi ve onayı olmaksızın, yalnızca telefon numarası veya kart numarası söylenerek yapılan sadakat kartı işlemlerinin KVKK m. 5 kapsamında hukuki dayanaktan yoksun olduğunu ve m. 12’deki veri güvenliği yükümlülüğüne aykırılık oluşturabileceğini değerlendirdi. Sadakat programı yürüten veri sorumlularından, işlemin kart sahibinin bilgisi ve onayıyla yapıldığını doğrulayan mekanizmalar kurmaları istenmiştir.

Kararda öngörülen altı aylık uyum süresi, sektörden gelen talepler üzerine Kurul’un 22.07.2026 tarihli ve 2026/1491 sayılı kararıyla (RG 13.08.2026, S. 33339) 28.02.2027 tarihine kadar uzatılmıştır.

4. Aydınlatma Metinleri ile Açık Rıza Metinlerinin Ayrılması (İlke Kararı 2026/347)

18.02.2026 tarihli ve 2026/347 sayılı ilke kararıyla (RG 24.03.2026, S. 33203) Kurul, uygulamada sıkça karşılaşılan bir soruna dikkat çekti: Aydınlatma metinleri ile açık rıza metinleri ayrı ayrı, sade bir dille ve veri sorumlusunun kendi işleme faaliyetlerine özgü olarak hazırlanmalıdır. Başka bir hukuki sebebe dayanılabilen işlemler için açık rıza talep edilmemelidir. Kurul, bu yükümlülüklere uyulmaması hâlinde KVKK m. 18 kapsamında işlem yapılabileceğini belirtmiştir.

Bu kararla uyumlu olarak Kurul, Ocak 2026’da mobil uygulama bildirimlerine ilişkin bir duyuru yayımlamıştır. Duyuruda, kampanya bildirimleri ile sipariş takibi gibi operasyonel bildirimler için tek bir onay alınmasının, kullanıcıyı pazarlama iletisi almaya zorladığı için uygun olmadığı vurgulanmıştır.

5. Site ve Apartmanlarda Borç Bilgilerinin Paylaşılması (İlke Kararı 2026/348)

18.02.2026 tarihli ve 2026/348 sayılı ilke kararıyla (RG 31.03.2026, S. 33210) Kurul, site ve apartman yönetimlerinin aidat borçlarına ilişkin bilgileri paylaşabileceğini, ancak bunun ölçülü ve güvenli biçimde yapılması gerektiğini belirtti. Borçlu listelerinin ortak alanlarda asılması hukuka aykırı bulunmuş; bunun yerine kapalı e-posta grupları veya erişimi sınırlandırılmış mesajlaşma grupları gibi yöntemler önerilmiştir.

6. Kamu Kurumlarının İnternette Kişisel Veri Paylaşması (İlke Kararı 2026/1301)

01.07.2026 tarihli ve 2026/1301 sayılı ilke kararı (RG 28.07.2026, S. 33323), belediyeler, üniversiteler ve il özel idareleri gibi kamu tüzel kişiliğini haiz veri sorumlularını kapsamaktadır. Karara göre bu kurumlar internette kişisel veri yayımlamadan önce geçerli bir hukuki sebebin varlığını kontrol etmeli, mevcut yayınlarını gecikmeksizin gözden geçirerek dayanaksız olanları kaldırmalı veya maskelemeli, amacı sona eren verileri silmeli veya anonim hâle getirmelidir. Sınav ve kura sonuçlarının herkese açık toplu listeler hâlinde yayımlanması yerine, e-Devlet veya iki aşamalı doğrulama gibi güvenli yöntemlerle yalnızca ilgili kişiye gösterilmesi beklenmektedir.

7. SMS ile Doğrulama Kodu Gönderilmesi (İlke Kararı 2025/1072)

2025 yılında yayımlanan ancak etkisi 2026’da da süren 10.06.2025 tarihli ve 2025/1072 sayılı ilke kararında (RG 26.06.2025, S. 32938) Kurul, ödeme, üyelik, rezervasyon veya hesap açılışı gibi süreçlerde SMS ile doğrulama kodu gönderilmesinin kişisel veri işleme faaliyeti olduğunu kabul etti. Aydınlatma yükümlülüğünün işlemden önce yerine getirilmesi gerektiği, açık rıza ile ticari elektronik ileti onayının aynı onay kutusu üzerinden alınamayacağı ve SMS içeriklerinin veri işleme faaliyeti dikkate alınarak düzenlenmesi gerektiği vurgulanmıştır.

8. Avukatlar için Uygulama Rehberi

Kişisel Verileri Koruma Kurumu, Türkiye Barolar Birliği’nin katkısıyla hazırlanan “Avukatların Mesleki Faaliyetlerinde Kişisel Verilerin Korunmasına İlişkin Uygulama Rehberi”ni 22.09.2026 tarihinde yayımladı. Rehber; avukatların hangi hukuki sebeplere dayanarak veri işleyebileceğini, özel nitelikli kişisel verilerin işlenme şartlarını, yurt içine ve yurt dışına aktarımı ve veri güvenliği tedbirlerini ele almaktadır.

Rehberin en çok dikkat çeken kısmı, üretken yapay zekâ araçlarına ilişkin değerlendirmesidir. Rehbere göre müvekkil dosyalarının veya kişisel veri içeren belgelerin bu araçlara yüklenmesi, hizmet sağlayıcının altyapısına ve veri işleme yerlerine bağlı olarak yurt dışına aktarım niteliği taşıyabilir. Bu nedenle avukatların, kullandıkları aracın kullanım koşullarını, verilerin nerede ve ne kadar süre saklandığını ve modelin eğitiminde kullanılıp kullanılmadığını önceden incelemesi; mümkün olduğunca veriyi maskelemesi veya anonimleştirmesi ve özellikle sağlık veya ceza mahkûmiyeti gibi özel nitelikli verileri yüklememesi önerilmektedir. Rehber ayrıca avukatların, Kurul’un 2018/32 sayılı kararı uyarınca VERBİS’e kayıt yükümlülüğünden istisna olduğunu, ancak ilgili kişilere ve Kurum’a talep hâlinde verilerin işlenme amacı ve aktarıldığı alıcılar hakkında eksiksiz bilgi verebilmeleri gerektiğini hatırlatmaktadır.

9. Anayasa Mahkemesi: İdari Para Cezalarında Kanunilik İlkesi

Anayasa Mahkemesi, 27.01.2026 tarihli ve 2020/32193 başvuru numaralı kararında (RG 16.06.2026, S. 33282), bir sigorta şirketine KVKK kapsamında verilen idari para cezasını değerlendirdi. Olayda şirket, ilgili kişinin bir internet sitesinde herkese açık olarak paylaştığı iletişim bilgilerini kullanarak kendisini aramış; Kurul ise alenileştirilen verilerin yalnızca alenileştirme amacıyla uyumlu biçimde işlenebileceği gerekçesiyle şirkete idari para cezası vermişti.

Mahkeme, cezanın şekli anlamda kanuna dayandığını kabul etmekle birlikte, Kanun’da alenileştirme amacına aykırı kullanımı doğrudan bir yaptırıma bağlayan açık bir hüküm bulunmadığını, dolayısıyla uygulanan cezanın öngörülebilir olmayan geniş bir yoruma dayandığını tespit etti ve suç ve cezaların kanuniliği ilkesinin ihlal edildiğine hükmederek yeniden yargılama yapılmasına karar verdi. Karar, KVKK kapsamındaki idari yaptırımlarda ihlal edilen yükümlülüğün ve buna bağlanan yaptırımın açık ve öngörülebilir biçimde ortaya konması gerektiğini vurgulaması bakımından önemlidir.

10. 2026 Yılı İdari Para Cezası Tutarları

KVKK m. 18’de öngörülen idari para cezaları, 2026 yılı için %25,49 oranındaki yeniden değerleme oranı uygulanarak güncellenmiştir:

• Aydınlatma yükümlülüğünün yerine getirilmemesi: 85.437 TL – 1.709.200 TL
• Veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi: 256.357 TL – 17.092.242 TL
• Kurul kararlarının yerine getirilmemesi: 427.263 TL – 17.092.242 TL
• VERBİS’e kayıt ve bildirim yükümlülüğüne aykırılık: 341.809 TL – 17.092.242 TL
• Yurt dışına aktarımda standart sözleşmenin Kurum’a bildirilmemesi: 90.308 TL – 1.806.377 TL

Sonuç ve Değerlendirme

2026 yılındaki kararlar, Kurul’un özellikle iş ilişkisinde açık rızaya dayanılmasına mesafeli yaklaştığını, ölçülülük ilkesini merkeze aldığını ve aydınlatma ile açık rıza süreçlerinin birbirinden ayrılmasına önem verdiğini göstermektedir. Veri sorumlularının; çalışan verilerine ilişkin süreçlerini (biyometrik sistemler ve e-posta denetimi), müşteri onay mekanizmalarını (SMS, sadakat programları, mobil bildirimler) ve aydınlatma ile açık rıza metinlerini bu kararlar ışığında gözden geçirmesini öneririz. Avukatlar ve hukuk büroları açısından ise yapay zekâ araçlarının kullanımına ilişkin bir büro politikası oluşturulması artık bir gereklilik hâline gelmiştir.