Kişisel verilerin korunmasına yönelik açıklamalarda bulunan Dr. Bilal Tanrıverdi, “Aydınlatma metnini okudum” kutucuğunun şirketlere sorumsuzluk zırhı sağlamadığını vurguladı. Kişisel verilerin korunmasına ilişkin güncel mevzuat ve Kişisel Verileri Koruma Kurulu kararları çerçevesinde vatandaşların hangi durumlarda hangi haklara sahip olduğunu değerlendiren Tanrıverdi, “Amacım, kamuya açık mevzuat ve Kurul kararlarında yer alan, genel olarak bilinen bilgileri vatandaş açısından anlaşılır hâle getirip toparlamak. Bunlar somut bir olaya ilişkin hukuki mütalaa değil; genel bilgilendirmedir. Her olay kendi şartları içerisinde ayrıca değerlendirilmelidir” sözleriyle, açıklamalarının somut bir uyuşmazlığa ilişkin hukuki danışmanlık veya herhangi bir kurum adına yapılmış resmî açıklama niteliğinde olmadığını, kamuya açık mevzuat, Kurul kararları ve genel uygulamada bilinen hususları vatandaşların anlayabileceği bir çerçevede toparladığını ifade etti.
“İLK İŞ DELİLİ VE HESABI GÜVENCEYE ALMAK”
Bir vatandaşın kimlik, iletişim veya finansal bilgilerinin bir platform tarafından sızdırıldığını ya da hukuka aykırı biçimde üçüncü kişilerin eline geçtiğini öğrenmesi hâlinde ilk adımın delilleri korumak olduğunu belirten Tanrıverdi; e-posta, SMS, ekran görüntüsü, şirket bildirimi, şüpheli işlem kaydı ve benzeri belgelerin saklanması gerektiğini söyledi.
Finansal veri söz konusuysa banka veya kart kuruluşuyla hızlı biçimde iletişime geçilmesi, gerektiğinde kartların kapatılması, şifrelerin değiştirilmesi ve hesap hareketlerinin izlenmesi gerektiğini belirten Tanrıverdi, hukuki açıdan da veri sorumlusuna KVKK kapsamında başvuru yapılabileceğini ifade etti.
HUKUKİ SONUÇLAR DOĞURUR
Tanrıverdi, ilgili kişinin hangi verilerinin işlendiğini, bunların hangi amaçla kullanıldığını, kimlere aktarıldığını ve hukuki sebebini sorabileceğini; şartları varsa düzeltme, silme veya yok etme talebinde bulunabileceğini kaydetti. Veri sorumlusunun başvuruyu en geç 30 gün içinde sonuçlandırması gerektiğini hatırlatan Tanrıverdi, cevabın yetersiz kalması veya cevap verilmemesi durumunda Kişisel Verileri Koruma Kuruluna şikâyet yolunun gündeme gelebileceğini söyledi.
Kişisel verilerin hukuka aykırı biçimde ele geçirilmesi, verilmesi veya yayılması gibi durumların ceza hukuku bakımından da sonuç doğurabileceğini belirten Tanrıverdi, somut olayın niteliğine göre Cumhuriyet başsavcılığına veya kolluğa başvurulabileceğini ifade etti.
Tanrıverdi ayrıca veri ihlalinin Kurula 72 saat içinde bildirilmesine ilişkin yükümlülüğün vatandaşa değil, veri sorumlusuna ait olduğuna dikkat çekti.
TAZMİNAT HAKKI VAR, ANCAK OTOMATİK DEĞİL
Kişisel verilerin hukuka aykırı işlenmesi nedeniyle zarar gören kişilerin yalnızca şikâyet yoluyla sınırlı olmadığını belirten Tanrıverdi, genel hükümler çerçevesinde maddi ve manevi tazminat talebinin de gündeme gelebileceğini söyledi.
Kişisel Verileri Koruma Kurulunun tazminata hükmeden bir mahkeme olmadığını vurgulayan Tanrıverdi, tazminat taleplerinin uyuşmazlığın niteliğine göre görevli yargı merciinde ileri sürüldüğünü belirtti.
Tanrıverdi, “Veri sızdı, dolayısıyla tazminat otomatik olarak kazanılır şeklinde bir sonuç çıkarmak doğru olmaz. Hukuka aykırılık, kişinin uğradığı zarar veya kişilik hakkı ihlali, olayla zarar arasındaki bağ, sızan verilerin niteliği ve yayılma kapsamı somut olayda ayrıca değerlendirilir” dedi.
Türkiye’de bu davaların ne kadarının kazanıldığına ilişkin kapsamlı ve resmî bir başarı oranı vermenin sağlıklı olmayacağını belirten Tanrıverdi, vatandaşların ihlali ve varsa zararlarını mümkün olduğunca iyi belgelemelerinin önem taşıdığını söyledi.
“AYDINLATMA METNİ ŞİRKETE SORUMSUZLUK ZIRHI SAĞLAMAZ”
Dijital üyeliklerde veya alışveriş süreçlerinde sıkça karşılaşılan “Aydınlatma metnini okudum, anladım” kutucuğunun veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmadığını belirten Tanrıverdi, aydınlatmanın şirketin ilgili kişiye bilgi verme yükümlülüğü olduğunu söyledi.
Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli ve 2026/347 sayılı İlke Kararıyla açık rıza metinleri ile aydınlatma metinlerinin ayrı ayrı düzenlenmesi gerektiğini vurguladığını hatırlatan Tanrıverdi, açık rıza gereken durumlarda rızanın belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olması gerektiğini ifade etti.
“AYDINLATILMAK BAŞKA, RIZA GÖSTERMEK BAŞKA”
Geçerli bir açık rıza alınmış olmasının dahi şirketin kişisel verileri korumak için gerekli teknik ve idari tedbirleri alma yükümlülüğünü kaldırmadığını belirten Tanrıverdi, vatandaşların aydınlatma ile rıza arasındaki farkı bilmesi gerektiğini söyledi.
T.C. KİMLİK NUMARASI VE TELEFON HER DURUMDA AYNI DEĞİL
Mağazada, kargoda veya dijital bir platformda T.C. kimlik numarası ve telefon istenmesi konusunda tek bir cevap bulunmadığını belirten Tanrıverdi, bazı işlemlerde kimlik tespitinin mevzuattan kaynaklanan bir zorunluluk olabileceğini söyledi.
Esas ölçütün, istenen verinin işlem için gerçekten gerekli olup olmadığı ve hangi hukuki sebebe dayandığı olduğunu vurgulayan Tanrıverdi, KVKK’daki “amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine dikkat çekti.
Kurulun 2025 tarihli ilke kararında otellerin kimlik bilgilerini mevzuat gereği kaydedebilmesi ile kimlik belgesinin fotokopisini saklamasının birbirinden ayrıldığını hatırlatan Tanrıverdi, kimlik fotokopisinin saklanmasının gereğinden fazla veri işleme olarak değerlendirildiğini belirtti.
Tanrıverdi, ödeme, üyelik veya kayıt sırasında gönderilen SMS doğrulama kodlarının ticari ileti izni gibi farklı amaçlarla tek bir işleme bağlanmasının da Kurulun 2025/1072 sayılı İlke Kararında ele alındığını ifade etti.
Vatandaşların internet bankacılığı şifresi, e-Devlet şifresi, kart PIN’i ve tek kullanımlık doğrulama kodları gibi kimlik doğrulama sırlarını sıradan bir mağaza, platform veya kurye talep ediyor diye paylaşmaması gerektiğini belirten Tanrıverdi, T.C. kimlik numarası veya telefon için ise “Neden istiyorsunuz, hangi hukuki sebebe dayanıyorsunuz ve vermeden hizmeti alabilir miyim?” sorularının sorulmasını önerdi.
KVKK İLE GDPR ARASINDAKİ TEMEL FARK: YAPTIRIM MODELİ
Türkiye’deki KVKK sistemi ile Avrupa Birliği’ndeki GDPR arasında hukuka uygunluk, amaçla sınırlılık, veri minimizasyonu, veri güvenliği ve ilgili kişinin hakları bakımından önemli ortaklıklar bulunduğunu belirten Tanrıverdi, Türkiye’nin özellikle 2024’te özel nitelikli kişisel veriler ve yurt dışına veri aktarımı alanında önemli mevzuat değişiklikleri yaptığını hatırlattı.
Bununla birlikte yaptırım modelinde belirgin bir fark bulunduğunu ifade eden Tanrıverdi, GDPR kapsamında bazı ağır ihlallerde 20 milyon avroya veya işletmenin dünya çapındaki yıllık cirosunun yüzde 4’üne kadar idari para cezası uygulanabildiğini söyledi.
Türkiye’de ise KVKK kapsamındaki idari para cezalarının Türk lirası üzerinden ve yeniden değerleme oranlarına göre güncellendiğini belirten Tanrıverdi, 2026 yılında veri güvenliğine ilişkin yükümlülüklere aykırılık bakımından ceza aralığının 256 bin 357 TL ile 17 milyon 92 bin 242 TL arasında olduğunu kaydetti.
Tanrıverdi, “Türkiye’de veri koruma yok demek de, GDPR ile tamamen aynı seviyedeyiz demek de meseleyi aşırı basitleştirir. Türkiye’nin kanuni ve kurumsal bir çerçevesi var. Asıl tartışılması gereken, uygulamanın etkinliği ve özellikle çok büyük ekonomik aktörler bakımından yaptırımların yeterli caydırıcılığa ulaşıp ulaşmadığıdır” dedi.
“VERİ İHLALİNİ SADECE PARA CEZASIYLA OKUMAMAK GEREKİR”
Son dönemde kamuoyuna yansıyan büyük veri ihlallerinin tek başına “cezalar yetersiz olduğu için bunlar oluyor” şeklinde yorumlanamayacağını belirten Tanrıverdi, siber saldırıların teknik kapasitesinin büyüdüğünü, şirketlerin tuttuğu veri miktarının arttığını ve saldırı yüzeyinin genişlediğini söyledi.
Buna karşılık yaptırımın gerçekten caydırıcı olabilmesi için ihlalin ağırlığı ve şirketin ekonomik büyüklüğüyle orantılı olmasının önem taşıdığını belirten Tanrıverdi, veri güvenliği ihlallerinin yalnızca idari para cezasından ibaret görülmemesi gerektiğini ifade etti.
Tanrıverdi; Kurul müdahaleleri, olası tazminat sorumluluğu, ceza hukuku boyutu, sistemlerin yeniden kurulma maliyeti ve itibar kaybının birlikte değerlendirilmesi gerektiğini söyledi.
MİT KOORDİNESİNDEKİ SON OPERASYONA DİKKAT ÇEKTİ
Tanrıverdi, 16 Eylül 2026’da kamuoyuna yansıyan MİT koordinesindeki siber casusluk operasyonunun kişisel veri güvenliğinin yalnızca mahremiyet meselesi olmadığını gösteren güncel örneklerden biri olduğunu belirtti.
Anadolu Ajansının haberine göre MİT koordinesinde, Siber Güvenlik Başkanlığı ve Jandarma Genel Komutanlığının ortak çalışmasıyla yürütülen operasyonda beş şüpheli gözaltına alındı. Haberde, geçmiş dönemlerde çeşitli kaynaklardan internete sızdırılmış veri setlerinin belirli bir sistem üzerinden sorgulanabildiğine ilişkin tespitlere yer verildi.
Soruşturmanın devam ettiğini hatırlatan Tanrıverdi, kişiler veya kurumlar hakkında kesin bir suçluluk değerlendirmesi yapılmasının doğru olmayacağını belirterek, olayın kişisel veri havuzlarının kötüye kullanımının dolandırıcılık, siber güvenlik ve daha geniş güvenlik riskleri doğurabileceğini gösterdiğini ifade etti.
TANRIVERDİ HANGİ ALANLARDA ÇALIŞIYOR?
Tanrıverdi, uluslararası hukuk, istihbarat hukuku, terörizmle mücadele, siber güvenlik, blockchain, yapay zekâ ve dijital haklar gibi hukuk ile güncel toplumsal meselelerin kesiştiği alanlarda çalışmalarını sürdürüyor.
