RÖPORTAJ: KVKK Başkanı Prof. Dr. Faruk BİLİR
Hukuk ve Bilişim Dergisi’nin Kişisel Verilerin Korunması Özel Sayısı olan 25. Sayı’sında KVKK Başkanı Prof. Dr. Sn. Faruk BİLİR Hocamız ile röportaja yer verdik. Nisan’da 8 yılını dolduracak kişisel verilerin korunması, 8 yıldır teknoloji ve hukuk dünyasının en çok gündemdeki konular arasında geliyor. Biz de KVKK’a özel sayıyı sizler için çıkarmaya karar verdik. Hocamıza sorular ile röportajımızı ilerletiyoruz.
Röportör: Ali ERŞİN (LL.M.) / Hukuk ve Bilişim Dergisi Genel Koor.
1) Kişisel verilerin korunması alanında Kurumunuzun yürüttüğü çalışmalar ve inceleme faaliyetleri yakından takip ediliyor. Bu çerçevede bugüne kadar Kuruma kaç başvuru yapıldı, bunların ne kadar sonuçlandırıldı? Güncel istatistikleri bizimle paylaşır mısınız?
Kurumumuz, Kişisel Verilerin Korunması Kanunu ile verilen yetki ve görevler çerçevesinde inceleme faaliyetlerini titizlikle sürdürmektedir. Bu kapsamda bugüne kadar 58 bin 640 ihbar, şikayet ve başvurudan 56 bin 377’si sonuçlandırıldı. 1917 veri ihlal bildirimi Kurula intikal etti, bunlardan 403’ü kamuoyuna ilan edildi. Yapılan incelemeler sonucunda 1 milyar 297 milyon 282 bin Türk lirası idari para cezası uygulandı.
Diğer taraftan Kanun kapsamında 1350 hukuki görüş verildi. Kişisel verilerin yurt dışına aktarılmasıyla ilgili yeterli nitelikleri taşıyan 13 taahhütname onaylandı. Ayrıca 3857 standart sözleşme Kuruma bildirildi.
Öte yandan kişisel verileri işleyen şirket, kurum ve kuruluşlar ile verisi işlenen kişilere yol gösterici olması bakımından 332 Kurul kararı ve 10 ilke kararı Kurumumuzun resmi internet sayfasında yayımlandı.
2) Vatandaşların kuruma yaptıkları şikayetlerin ortalama sonuçlanma süresi nedir ve artan şikayet yükünü hafifletmek için yapay zekâ destekli bir ön eleme mekanizması kullanılıyor mu?
Daha önce belirttiğim gibi, Kurum olarak bugüne kadar 58 bin 640 ihbar, şikayet ve başvurudan 56 bin 377’sini sonuçlandırdık. Geriye kalan 2263 başvurunun ise inceleme süreci devam ediyor. Matematiksel olarak baktığımızda, Kuruma yapılan başvuruların çok büyük oranda sonuçlandırıldığını görüyoruz. Dolayısıyla bu konuda bir yapay zekâ desteği almamız söz konusu değildir.
Kurumumuza gelen ihbar ve şikayetler öncelikli olarak mevzut kapsamında gerekli usul şartlarını taşıyıp taşımadıkları konusunda ön inceleme ekiplerimiz tarafından değerlendirilmektedir. Ön inceleme ekipleri tarafından usul şartlarını taşımayan ihbar ve şikayetlere dair ilgililer bilgilendirilmektedir. Öte yandan 6698 sayılı Kanun kapsamında değerlendirilmesi muhtemel olmayan ihbar ve şikayetler ise yine ön inceleme ekiplerimiz tarafından belirlenerek Kurul’un dikkatine sunulmak üzere hazırlanmaktadır.
Kurul için her bir başvuru son derece önem taşımaktadır. Ancak başvuruların ortalama sonuçlanma süresi elbette başvurunun kapsamı ve niteliğine göre değişkenlik gösterebilmektedir. Fakat biz Kurul olarak, Kanun’un şikayet üzerine veya resen incelemenin usul ve esaslarını düzenleyen 15’inci maddesinin dördüncü fıkrası gereğince talepleri inceleyerek altmış gün içinde bir cevap veriyoruz.
3) Ortaya koyduğunuz bu tablo, Kurumun yalnızca yaptırım uygulayan değil, aynı zamanda yol gösteren bir rol üstlendiğini de gösteriyor. Bu doğrultuda, Kurumun kişisel verilerin korunmasına ilişkin yaptığı ikincil düzenlemeler ile rehberlik çalışmalarından da bahseder misiniz?
Kişisel Verilerin Korunması Kanunu, kişisel verilerin korunmasına ilişkin genel çerçeveyi belirlemiştir. Bununla birlikte Kanun, uygulamada meydana gelebilecek soru işaretlerini gidermek, veri sorumlularına yol göstermek ve vatandaşların haklarını daha etkin kullanabilmesini sağlamak amacıyla ikincil düzenlemelerin hayata geçirilmesini öngörmüştür. Buradan hareketle Kurumumuz, yayımladığı 8 yönetmelik ve 3 tebliğ ile bu alandaki uygulama standartlarını netleştirmiştir.
Kişisel verilerin korunması, yalnızca veriyi koruma faaliyeti değildir; aynı zamanda bireyin mahremiyetinin korunmasına da hizmet etmektedir. Dolayısıyla bu alanda yapılan çalışmalar önem teşkil etmektedir.
Bu çerçevede 2025 yılında Kurumumuz tarafından kişisel verilerin korunmasıyla ilgili zirveler, paneller, çalıştaylar, konferanslar ve etkinlikler düzenlenerek veri koruma alanındaki güncel gelişmeler ele alınmıştır. Kamu kurum ve kuruluşları ile özel sektördeki paydaşlara yönelik farkındalık seminerleri gerçekleştirilerek Kanun ve sektörel bazda iyi uygulama örnekleri hakkında bilgilendirmeler yapılmıştır.
Bununla birlikte hem kişisel verileri işleyen şirket ve kuruluşlara hem de verisi işlenen kişilere yol gösterici olması bakımından rehber çalışmalarımız da devam etmektedir. Bu kapsamda 2025 yılı içerisinde 7 rehber, toplamda ise 57 rehber ve doküman yayımlanmıştır.
4) Dijitalleşmenin hız kazandığı günümüzde, kişisel verilerin korunmasına ilişkin rehberlik ihtiyacı özellikle yeni teknolojilerde daha da belirgin hale geliyor. Yapay zekâ teknolojileri artık hayatımızın birçok alanında yer alıyor. Sizce bu teknolojinin toplum üzerindeki etkilerini nasıl değerlendirmeliyiz?
Yapay zekâ teknolojileri, her geçen gün daha fazla alanda kullanılmakta ve günlük yaşamın ayrılmaz bir parçası haline gelmektedir. Bu süreç, yapay zekâya yönelik yaklaşımların da farklılaşmasına neden olmaktadır. Bu teknolojiye ilişkin değerlendirmeler, çoğu zaman iki uç yaklaşım arasında gidip gelmektedir. Bir yanda insan yaşamını dönüştürecek büyük beklentiler, diğer yanda ise endişe verici senaryolar öne çıkmaktadır.
Bu bağlamda, yapay zekânın toplumsal etkilerini anlamlandırabilmek ve bu teknolojiyi doğru biçimde değerlendirebilmek için gerçekçi ve insan merkezli bir yaklaşıma ihtiyaç duyulmaktadır. Bu doğrultuda, yapay zekâ sistemlerinin gelişiminin, toplumsal yararı gözeten bir anlayışla yönlendirilmesi önem taşımaktadır. Yapay zekâ bilinçli, denetlenebilir ve sorumlu bir şekilde kullanıldığında, toplumsal faydaya yönelik çözümler geliştirme ve karar alma süreçlerinde bireyleri destekleme yönüyle önemli katkılar sunabilmektedir. Ancak bu süreçte, mahremiyetin korunması, şeffaflığın sağlanması ve hesap verebilirlik gibi etik ilkeler göz ardı edilmemelidir.
5) Bu hızlı dönüşüm sürecinde, yapay zekâ teknolojilerinin sunduğu imkanlar ile bireylerin mahremiyetinin korunması arasında nasıl bir denge kurulması gerektiğini düşünüyorsunuz?
Yapay zekâ uygulamalarının gelişimiyle birlikte kişisel verilerin korunması, sistemin her aşamasında gözetilmesi gereken temel bir unsur haline gelmiştir. Teknoloji ile mahremiyet arasında kurulacak dengeli bir ilişki, yalnızca bireylerin hak ve özgürlüklerinin korunmasına katkı sunmakla kalmayacak; aynı zamanda teknolojiye duyulan toplumsal güvenin güçlenmesini de sağlayacaktır. Bu bağlamda, yapay zekâ sistemlerinin temel hak ve özgürlüklere saygılı, şeffaf, denetlenebilir, insan odaklı ve kişisel verilerin korunmasını gözeten bir yaklaşımla geliştirilmesi ve kullanılması büyük önem taşımaktadır.
6) Bu ilkesel yaklaşım doğrultusunda, Kurumunuzun yapay zekâ ile ilgili yürüttüğü çalışmalardan kısaca bahseder misiniz?
Yapay zekâ; hukuk, bilişim ve etik disiplinlerinin kesişim noktasında yer almakta olup aynı zamanda akademik dünyanın da yoğun ilgi gösterdiği ve katkı sunduğu dinamik bir çalışma alanıdır. Yapay zekâ sistemlerinin beraberinde getirdiği yeni hukuki, teknik ve etik sorular, bu alandaki çalışmalara duyulan ihtiyacı artırmaktadır.
Buradan hareketle Kurum olarak yapay zekâ etik ilkeleri, mahremiyet artırıcı teknolojiler, algoritmik şeffaflık ve yapay zekâ uygulamalarında kişisel verilerin korunmasına ilişkin konularda çeşitli çalışmalar ve etkinlikler gerçekleştirmekteyiz. Bunların yanı sıra “Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Yönelik Tavsiyeler”, “Yapay Zekâ Teknolojilerine Akademik Bakış” ve “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi”ni yayımladık.
Söz konusu çalışmalarla; bir yandan yapay zekâ teknolojileri aracılığıyla kişisel verileri işleyen şirket ve kuruluşlar ile ürün ve hizmet geliştirenlere yol gösterici tavsiyelerde bulunuyor, diğer yandan ise bu tür teknolojilerden yararlanan bireylere ve kurumlara alabilecekleri tedbirler ve bilinçli kullanım noktasında hatırlatmalarda bulunuyoruz.
7) Yapay zekâ etiği konusunda dünyada henüz tam bir konsensüs yok. Türkiye olarak biz, Batı’nın (birey odaklı) ve Doğu’nun (devlet/toplum odaklı) veri yaklaşımı arasında kendimize özgü bir ‘Türk Veri Koruma Modeli’ oluşturuyor muyuz?
Etik ilkeler, hukuk kuralları ile etkileşim içinde olup toplumsal yaşamın dinamizmi ve hızı karşısında doğru uygulamalar geliştirebilmek için hukuk kurallarını destekleyici nitelik taşımaktadır. Bu ilkeler, hukukun temelinde de yer alan değerlerin korunmasında önemli bir etkiye sahiptir. Sizin de ifade ettiğiniz gibi, yapay zekâ etiği konusunda ulusal ve uluslararası kurum ve kuruluşların belirlediği birtakım ilkeler mevcut olsa da, henüz bu hususta küresel çapta kabul gören bir uygulama birliğinden bahsetmek mümkün değildir.
Tabii bu durum, ortaya konulan çalışmalardan yararlanılmayacağı anlamına gelmemektedir. Örneğin; ulusal çerçeveden bakacak olursak, Kamu Görevlileri Etik Kurulu’nun yayımlamış olduğu “Yapay Zekâ Sistemlerinin Kullanımında Kamu Görevlilerinin Uyması Gereken Etik Davranış İlkeleri” bu hususta önemli bir kaynak niteliğindedir.
Veri koruma bakımından ise 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun köklerine baktığımızda, 95/46/EC sayılı Direktif’in mehaz alındığını görmekteyiz. Bilindiği üzere bizim Kanunumuzun yürürlüğe girmesinden iki yıl sonra söz konusu Direktif yürürlükten kaldırılmış ve daha ayrıntılı düzenlemeler içeren Avrupa Birliği Genel Veri Koruma Tüzüğü yani kısa adıyla GDPR yürürlüğe konulmuştur.
Tüzüğün yürürlüğe girmesinden sonra ülkemizin çeşitli eylem planlarında 6698 sayılı Kanun’un, Tüzüğün dikkate alınmak suretiyle önceliklendirilen konularda güncellenmesi hedefine yer verilmiş ve yapılan çalışmalar sonucunda Kanun’da yapılan değişiklikler 12 Mart 2024 tarihinde Resmi Gazete’de yayımlanmıştır. 2026–2028 Orta Vadeli Program kapsamında ise, Kişisel Verilerin Korunması Kanunu’nun Avrupa Birliği Genel Veri Koruma Tüzüğü ile uyumlu hale getirilmesi hedeflenmektedir.
Görüldüğü gibi ülkemizin veri koruma konusundaki benimsediği yaklaşım Avrupa Birliği standartları olmakla birlikte, Kanun’u detaylı incelediğimizde ülkemizin dinamiklerinin de göz önünde bulundurulduğunu ve dolayısıyla ülkemize özgü, kapsayıcı bir veri koruma yaklaşımının da ortaya konulduğunu söyleyebilirim.
8) Kişisel verilerin korunmasına ilişkin uygulamaların günlük hayattaki yansımalarını görmek de büyük önem taşıyor. Son dönemde özellikle konaklama tesislerinde misafirlerden T.C. kimlik belgesi fotokopisi talep edilmesine yönelik şikayetlerin arttığı görülüyor. Kurul bu durumu nasıl değerlendirdi ve bu konuda bir ilke kararının yayımlanmasına giden süreç nasıl şekillendi?
Son aylarda Kurumumuza, özellikle konaklama tesislerinde misafirlerden T.C. kimlik belgesi fotokopisi talep edildiğine ilişkin şikayet ve ihbarlar ulaşmıştır. Kişisel verilerin gereksiz şekilde çoğaltılması ve saklanması; hem veri güvenliği hem de bireylerin mahremiyetinin korunması açısından ciddi riskler barındırmaktadır. Bu nedenle söz konusu uygulamaya ilişkin kapsamlı bir inceleme süreci yürüttük.
İnceleme kapsamında mevcut mevzuat ayrıntılı biçimde değerlendirilmiş, uygulamada ortaya çıkan farklılıklar ve tereddütler analiz edilmiştir. Yapılan değerlendirmeler sonucunda; sektörün doğru ve güncel bilgiye erişimini sağlamak, vatandaşlarımızın kişisel verilerini korumak ve uygulamayı açık ve öngörülebilir hale getirmek amacıyla bir ilke kararı yayımlanmasının gerekli olduğu kanaatine varılmıştır.
Yayımlanan ilke kararının, hukuki çerçevenin netleştirilmesi ve sektör uygulamalarının mevzuata uygun şekilde yürütülmesi bakımından önemli bir adım olduğuna inanıyorum.
9) Bu ilke kararıyla birlikte, konaklama tesislerinin kimlik bildirim yükümlülüğü kapsamında hangi verileri hukuka uygun şekilde işleyebileceği de netleşmiş oldu. Bu çerçeveyi kısaca açıklar mısınız?
Kimlik Bildirme Kanunu ve ilgili mevzuat uyarınca, konaklama tesisleri misafirlerin ad, soyad ve T.C. kimlik numarası bilgilerini kaydetmekle yükümlüdür. Bu verilerin işlenmesi; Kişisel Verilerin Korunması Kanunu kapsamında “kanunlarda açıkça öngörülme” ve “hukuki yükümlülüğün yerine getirilmesi için zorunlu olma” hukuki sebeplerine dayanmaktadır.
Bu çerçevede söz konusu kişisel verilerin, mevzuatın öngördüğü sınırlar içerisinde ve amacıyla sınırlı olmak kaydıyla işlenmesi hukuka uygun kabul edilmektedir.
Ancak belirtmek gerekir ki; yasal yükümlülük, yalnızca belirli bilgilerin kaydedilmesini kapsamaktadır. Bu sınırların ötesine geçilerek kimlik belgesinin fotokopisinin alınması ve saklanmasının ise mevzuatta karşılığı bulunmamaktadır. Dolayısıyla kimlik bilgilerinin doğrulanması amacıyla kimlik belgesinin ibraz edilmesi yeterli olacaktır.
10)Peki, Kurul kararından önce alınmış kimlik fotokopileri bakımından konaklama tesislerinin nasıl bir yol izlemesi gerekiyor?
Kanun hükmü gereği, işlenme amacı ortadan kalkan kişisel verilerin saklanması hukuken mümkün değildir. Biz de karar kapsamında bu hususun altını çizerek karar tarihinden önce alınmış kimlik fotokopilerinin Kanun’un 7’nci maddesi uyarınca imha edilmesi gerektiğini açıkça belirttik.
Bu nedenle konaklama amacıyla hizmet alan kişilere ait T.C. Kimlik Belgesi fotokopilerini kayıt altına alan müesseselerin bu nitelikteki belgeleri gecikmeksizin imha etmeleri gerekiyor.
11) Türkiye’de yürütülen bu çalışmaların, Kurumunuzun uluslararası veri koruma alanındaki faaliyetleriyle de örtüştüğünü görüyoruz. Bu kapsamda, Kurumunuzun uluslararası rolünü ve ev sahipliği yaptığı küresel organizasyonların önemini nasıl değerlendiriyorsunuz?
Kurumumuz, kişisel verilerin korunması alanında yalnızca ulusal düzeyde değil, küresel ölçekte yürütülen çalışmalara da katkı sağlamaktadır. Bu doğrultuda 2022 yılında Küresel Mahremiyet Asamblesi’ni İstanbul’da gerçekleştirerek, dünyanın pek çok ülkesinden veri koruma otoritelerini ve bu alandaki uluslararası kuruluşları ülkemizde ağırladık.
Şimdi ise 5–8 Mayıs 2026 tarihlerinde, 80’den fazla veri koruma otoritesini bir araya getiren “34. Avrupa Veri Koruma Otoriteleri Konferansı”nı Kurumumuz ev sahipliğinde ülkemizde gerçekleştireceğiz.
Bu tür organizasyonlar; ülkemizin veri koruma alanındaki kurumsal kapasitesini ve yaklaşımını uluslararası platformlarda görünür kılmasının yanı sıra, iyi uygulamaların paylaşılmasına ve küresel iş birliğinin geliştirilmesine önemli katkılar sunmaktadır.
12) Bu küresel vizyonun bireyler ve toplumlar düzeyinde karşılık bulması ise ancak farkındalık ve eğitimle mümkün. Bu noktada eğitim camiasına yönelik yürüttüğünüz “Güvenli Gelecek İçin Dijital Okuryazarlık Projesi”ne ilişkin değerlendirmelerinizi de alabilir miyiz?
Dijital okuryazarlık, yalnızca teknolojiyi kullanabilme becerisini değil; kişisel verilerin verilerin hangi ortamlarda ve nasıl korunması gerektiğinin farkında olma sorumluluğunu da beraberinde getirmektedir. Bu nedenle dijital okuryazarlığın geliştirilmesi, kişisel verilerin korunması kültürünün toplumsal düzeyde karşılık bulması bakımından büyük önem taşımaktadır.
Kurumumuz tarafından, dijital okuryazarlığın geliştirilmesi ve kişisel veri farkındalığının artırılması amacıyla hayata geçirilen “Güvenli Gelecek İçin Dijital Okuryazarlık Projesi”nin ilk etabını tamamladık.
Proje kapsamında düzenlenen seminerlerde; okul müdür yardımcıları, rehber öğretmenler ve bilişim teknolojileri öğretmenlerine yönelik olarak dijital okuryazarlık ve kişisel verilerin korunması alanlarında bilgilendirmeler yapıldı.
Seminerlerde; bilgiye erişim ve bilginin doğrulanması, dijital etik, dijital ayak izleri, okul ortamında veri güvenliği, dijital mahremiyet ile Kişisel Verilerin Korunması Kanunu ile ilgili temel konular ele alındı.
İlk etapta 16 ilde gerçekleştirilen bu çalışmalarla, eğitim camiasında dijital farkındalığın güçlendirilmesine katkı sunmayı hedefliyoruz.
13) Hukuk ve Bilişim Dergisi ve benzer KVKK ve bilişim hukuku konusunda yayın yapan kurum ve kuruluşlar hakkındaki fikriniz nedir? Neler önerirsiniz?
Kişisel verilerin korunması ve bilişim hukuku, teknolojik gelişmelerle birlikte sürekli dönüşen, dinamik ve çok disiplinli bir alanı ifade etmektedir. Bu nedenle, söz konusu alanlarda yapılan akademik ve uygulamaya dönük yayınlar; hukuki görüşlerin derinleşmesine, iyi uygulama örneklerinin paylaşılmasına ve ortak bir bilgi birikiminin oluşmasına önemli katkılar sunmaktadır.
Hukuk ve Bilişim Dergisi gibi yayınlar ile bu alanda faaliyet gösteren kuruluşları, hem akademi ile uygulama arasında köprü kurmaları hem de güncel meseleleri çok boyutlu biçimde ele almaları bakımından son derece kıymetli buluyorum. Bu tür çalışmalar ve yapıcı nitelikteki yayınlar, veri koruma kültürünün yaygınlaşmasına ve bu alanın gelişmesine hizmet etmektedir.
Teknolojik gelişmeleri yakından takip eden, insan hakları ve mahremiyet odaklı bir perspektifi merkeze alan; ayrıca paydaşlar arasında etkileşimi artıran çalışmaların, bilişim hukuku ve kişisel verilerin korunması alanına uzun vadede çok değerli katkılar sağlayacağına inanıyorum.
Bu çerçevede bilinçli ve sorumlu bir yayıncılık anlayışıyla hareket eden Hukuk ve Bilişim Dergisi’ne teşekkür ediyorum.
14) Son olarak, 2026 yılına girerken kişisel verilerin korunmasının önemi konusunda neler söylemek istersiniz? Önümüzdeki dönemde veri koruma alanında bizleri neler bekliyor?
Dijitalleşmenin ve veri temelli teknolojilerin hızla geliştiği bir dönemde, kişisel verilerin korunması, yalnızca hukuki bir yükümlülük değil; bireyin mahremiyetini ve itibarını doğrudan ilgilendiren temel bir değer haline gelmiştir. 2026 yılına girerken, bu bilincin hem kurumlar hem de bireyler nezdinde daha da güçlenmesi gerektiğine inanıyorum.
Önümüzdeki dönemde; yapay zekâ başta olmak üzere yeni teknolojilerin daha yaygın biçimde hayatımıza girmesiyle birlikte, veri koruma alanında rehberlik faaliyetlerinin, farkındalık çalışmalarının ve uluslararası iş birliklerinin daha da önem kazanacağını düşünüyorum. Kurum olarak yaklaşımımız; teknolojik ilerlemeye engel oluşturmadan, ancak bireyin mahremiyetini merkeze alan bir anlayışın benimsenmesini sağlamaktır.
Bu bilinçle, önceki yıllarda olduğu gibi 2026 yılında da, vatandaşlarımızın haklarını koruyan, Kanuna uyum konusunda veri sorumlularına yol gösteren ve dijital dünyada güven duygusunu pekiştiren çalışmalarımızı kararlılıkla sürdüreceğiz. Amacımız, gün geçtikçe büyüyen dijital ekosistemde, mahremiyetin korunmasını bir istisna değil, ortak bir kültür haline getirmektir.
Kişisel Verileri Koruma Kurum Başkanı hocamız Sn. Faruk BİLİR’e tüm çalışmaları ve özverileri için hukuk ve teknoloji dünyası adına Dergi olarak tebrik ve teşekkür ederiz.
Röportör: Ali ERŞİN (LL.M.) / Hukuk ve Bilişim Dergisi Genel Koor.
KVKK alanındaki tüm Blog yazılarımız için bağlantıya tıklayınız.
Hukuk ve Bilişim Dergisi’nin diğer tüm sayılarına bağlantıdan ulaşabilirsiniz.