KVKK MEVZUATI ÇERÇEVESİNDE KİŞİSEL VERİLERİ KORUMA KURULU İLKE KARARLARI

BÖLÜM I: KVKK MEVZUAT MİMARİSİ VE GÜNCEL NORMATİF ÇERÇEVE

1.1. 6698 Sayılı Kanun'un Temel İlkeleri ve Omurga Hükümleri

Genel İlkelerin Önceliği (Madde 4): 6698 sayılı Kanun'un 4'üncü maddesi, veri işleme faaliyetlerinin meşruiyet zeminini oluşturan beş evrensel ilkeyi düzenler. Kurul ilke kararlarının neredeyse tamamında ihlalin ilk tespit noktası 4'üncü maddedir. Bir veri işleme faaliyeti 5 veya 6'ncı maddedeki şartlardan birine dayansa dahi 4'üncü maddedeki ilkelere aykırı ise hukuka aykırı hale gelir:

·         Hukuka ve dürüstlük kurallarına uygun olma (m. 4/2-a): İlgili kişinin meşru beklentilerinin aşılmaması, aldatıcı, hileli veya yanıltıcı yöntemlere başvurulmaması.

·         Doğru ve gerektiğinde güncel olma (m. 4/2-b): Veri sorumlusunun aktif özen yükümlülüğü altında verinin doğruluğunu teyit edecek teknik kanalları açık tutması.

·         Belirli, açık ve meşru amaçlar için işlenme (m. 4/2-c): Veri toplama amacının baştan açıkça belirlenmesi, muğlak ifadelere yer verilmemesi.

·         İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma (m. 4/2-ç): Veri minimizasyonu; hedeflenen amaç için gerekli olandan fazla veri toplanmaması.

·         İlgili mevzuatta öngörülen veya işlendikleri amaç için gerekli olan süre kadar muhafaza edilme (m. 4/2-d): Süresiz veri saklama yasağı.

1.2. 7499 Sayılı Kanun Reformu: Özel Nitelikli Kişisel Veriler (Madde 6)

Yeni İşleme Şartları: 12/03/2024 tarihli ve 7499 sayılı Kanun ile 6698 sayılı Kanun'un 6'ncı maddesinde köklü bir paradigma değişikliğine gidilmiş (yürürlük: 01/06/2024), eski kanundaki açık rıza merkezli katı sistem terk edilerek AB GDPR Madde 9 paraleline geçilmiştir. Yeni düzenleme ile; sağlık ve cinsel hayat dışındaki veriler ile sağlık verileri arasındaki ayrım kaldırılmış; istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, bir hakkın tesisi/kullanılması/korunması, ilgili kişinin alenileştirdiği verilere ilişkin alenileştirme iradesi gibi meşru işleme şartları normatif güvenceye kavuşturulmuştur. Ancak biyometrik veri gibi geri döndürülemez verilerde Kurul'un ilke kararlarında vurguladığı 'ölçülülük' ve 'alternatifsizlik' şartları korunmaya devam etmektedir.

1.3. Yurt Dışına Veri Aktarımı Rejimi ve 10 Temmuz 2024 Yönetmeliği (Madde 9)

Üç Kademeli Aktarım Sistemi: 7499 sayılı Kanun ile değiştirilen 9'uncu madde ve bu maddenin uygulamasına dair 10 Temmuz 2024 tarihli Resmî Gazete'de yayımlanan 'Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik', Türkiye'deki bulut bilişim, SaaS altyapıları ve uluslararası veri transferleri için yeni bir dönem başlatmıştır:

·         Yeterlilik Kararı (m. 9/1): Kurul tarafından güvenli ülke veya sektör ilan edilmesi halinde veri aktarımı.

·         Uygun Güvenceler (m. 9/2): Yeterlilik kararı yoksa; Kurul tarafından ilan edilen Standart Sözleşmelerin (Standard Contractual Clauses - SCC) imzalanması (imza tarihinden itibaren 5 iş günü içinde Kuruma fiziki veya KEP ile bildirim zorunludur), Bağlayıcı Şirket Kuralları (BCR) onayı veya İki Taraflı Taahhütname.

·         İstisnai (Arızi) Aktarım Halleri (m. 9/6): Düzenli ve süreklilik arz etmeyen tekil aktarımlarda açık rıza veya sözleşmenin ifası.

1.4. Veri İmha Rejimi ve Silme/Yok Etme Yönetmeliği (Madde 7)

İmha Yükümlülüğü: Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik uyarınca, veri işleme şartlarının tamamının ortadan kalkması halinde veriler re'sen veya ilgili kişinin talebi üzerine silinir, yok edilir veya anonim hale getirilir. Veri sorumluları periyodik imha sürelerini (en fazla 6 ay) belirleyen bir Kişisel Veri Saklama ve İmha Politikası hazırlamak ve tüm imha işlemlerini asgari 3 yıl süreyle loglayarak saklamak zorundadır.

1.5. Veri Güvenliği Yükümlülüğü ve Kurulun İlke Kararı Alma Yetkisi (Madde 12 ve 15/6)

Normatif Bağlayıcılık: Kanun'un 12'nci maddesi veri sorumlusuna; kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ile muhafazasını sağlamak için 'uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri alma' pozitif mükellefiyeti yükler. Kanun'un 15'inci maddesinin 6'ncı fıkrası ise şikâyet üzerine veya re'sen yapılan incelemelerde ihlalin yaygın olduğunun tespiti halinde Kurul'a 'İlke Kararı' alma ve bunu Resmî Gazete'de yayımlama yetkisi tanımıştır.

BÖLÜM II: TÜM İLKE KARARLARININ AYRINTILI HUKUKİ VE TEKNİK ANALİZİ

2.1. İletişim Bilgilerine Kanuna Aykırı Gönderilen Üçüncü Kişi Verileri (Fatura/Ekstre Doğrulama Kodu)

 Somut Olay ve Şikayet Arka Planı: E-ticaret, seyahat, telekom veya turizm işlemlerinde müşterilerin beyan ettiği telefon numarası veya e-posta adreslerine fatura, rezervasyon belgesi, hesap ekstresi gibi üçüncü kişilere ait hassas bilgilerin teyit edilmeksizin gönderilmesi.

Hukuki Analiz ve Gerekçe: KVKK m. 4/2-b bendi uyarınca verilerin 'doğru ve gerektiğinde güncel olması' zorunludur. Kurul, veri sorumlusunun sadece beyanla yetinemeyeceğini, başkasına ait verinin işlenmesi sonucunu doğuracak işlemlerde aktif özen yükümlülüğü bulunduğunu vurgulamıştır. Kanun'un 12/1 maddesi uyarınca yetkisiz kişilerin erişimini engellemek için veri sorumlusu gerekli tedbirleri almak zorundadır.

Teknik Gereksinimler ve Mimari Tedbirler: 1) İletişim kanalı doğrulama mekanizması (SMS OTP doğrulama kodu, e-posta aktivasyon linki) kurulmalıdır.
2) Müşteri iletişim bilgisini değiştirdiğinde veya sisteme ilk kayıtta onay mekanizması işletilmeden veri akışı başlatılmamalıdır.
3) Hatalı bildirim yapılması durumunda kullanıcıya hatayı raporlama ('Bu e-posta/telefon bana ait değildir') butonu sağlanmalıdır.

 2.2. Araç Kiralama Sektöründe Kara Liste Uygulamaları ve Ortak Veri Sorumluluğu

Somut Olay ve Şikayet Arka Planı: Araç kiralama şirketlerinin SaaS yazılımları üzerinden müşterilerin geçmiş kazaları, ödeme aksaklıkları veya firma yorumlarını 'kara liste' modüllerine işlemesi ve bu listelerin yazılımı kullanan tüm kiralama şirketlerine havuz sistemiyle açılması.

Hukuki Analiz ve Gerekçe: Söz konusu uygulama KVKK m. 4 (amaçla sınırlı ve ölçülü olma), m. 5 (işleme şartı bulunmaması), m. 8 (hukuka aykırı veri aktarımı) ve m. 11/1-g (otomatik sistemlerle aleyhe profil oluşturulmasına itiraz) maddelerine aykırıdır. Bir şirketin kendi operasyonel riskini yönetmesi meşru menfaat olsa dahi, bu verinin sektör genelinde diğer firmalara aktarılması temel hak ve özgürlükleri ihlal eder. Ayrıca SaaS yazılım şirketi ile kiralama firmaları 'Ortak Veri Sorumlusu' kabul edilmiştir.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Multi-tenant SaaS mimarilerinde veri tabanı düzeyinde katı 'tenant isolation' (veri tabanı izolasyonu) uygulanmalıdır.
2) Yazılımda global/merkezi kara liste veya çapraz tenant sorgulama özellikleri derhal kod seviyesinde kaldırılmalıdır.
3) Her firmanın kendi kayıtları yalnızca kendi kiralamalarıyla sınırlı kalmalı, API veya arayüz üzerinden diğer firmalara açılmamalıdır.

 2.3. Belediyelerin Ödeme ve Borç Sorgulama Hizmetlerinde Çift Faktörlü Doğrulama

Somut Olay ve Şikayet Arka Planı: Belediyelerin online web sitelerinde sunduğu hızlı emlak vergisi ödeme veya borç sorgulama sayfalarında yalnızca vatandaşın T.C. Kimlik Numarası girilerek mülk, adres, sicil ve borç tutarı gibi tüm kişisel verilerin ekranda listelenmesi.

Hukuki Analiz ve Gerekçe: Kanun'un 12'nci maddesi uyarınca yetkisiz erişimi engelleme zorunluluğu bulunmaktadır. T.C. kimlik numarası tek başına gizli bir parola veya kimlik doğrulayıcı niteliği taşımamakta olup üçüncü kişilerce kolaylıkla elde edilebilir. Yalnızca TCKN ile yapılan sorgulamalar veri güvenliği zafiyetidir.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Tek kademeli TCKN sorgulaması terk edilmeli; üyelik ve şifre sistemi kurulmalı veya İki Aşamalı Doğrulama (2FA) uygulanmalıdır.
2) İlk sorgulamadan sonra ilgili kişinin sistemde kayıtlı telefonuna SMS OTP kodu gönderilerek doğrulama sağlanmalıdır.
3) Doğrulama yapılmamış ekranlarda mülk adresi, ada/parsel, borç ayrıntıları maskelenmeli; sadece ödeme yapılacak tutar gösterilmelidir.

 2.4. Ürün/Hizmet Sunumunda SMS Doğrulama Kodu ile Veri İşleme (Pazarlama Hilesi)

Somut Olay ve Şikayet Arka Planı: Mağazalarda alışveriş esnasında kasa görevlilerince 'ödemenin tamamlanması', 'indirim/kampanya uygulanması' veya 'faturanın iletilmesi' bahanesiyle müşterinin cep telefonuna SMS gönderilmesi, ancak bu SMS ile müşteriden gizlice ticari elektronik ileti (pazarlama izni) onayı alınması.

Hukuki Analiz ve Gerekçe: Açık rıza KVKK m. 3 uyarınca 'belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan' bir irade beyanıdır. Fatura veya ödeme bahanesiyle pazarlama onayı alınması iradeyi sakatlar (hileli rıza). Rıza hizmet şartına bağlanamaz (hizmetin ön şartı yapılamaz). Aydınlatma yükümlülüğü (m.10) ile rıza alma işlemi birbirine karıştırılamaz.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Kasa POS yazılımlarında fatura gönderimi, sadakat üyeliği ve ticari ileti onayları ayrı kutucuklar/seçenekler olarak tasarlanmalıdır.
2) SMS metninde kodun ne amaçla istendiği açıkça yazmalıdır: 'Pazarlama iletisi onay kodunuz: 1234'.
3) Katmanlı aydınlatma yapılmalı, kodun verilmemesi halinde de alışverişin tamamlanabileceği kasa görevlisince sözlü teyit edilmelidir.

 2.5. Turizm ve Otelcilik Sektöründe T.C. Kimlik Belgesi Fotokopisinin Kaydedilmesi Yasağı

Somut Olay ve Şikayet Arka Planı: Otellerde ve konaklama tesislerinde check-in sırasında misafirlerin T.C. kimlik kartlarının, nüfus cüzdanlarının veya sürücü belgelerinin fotokopisinin çekilmesi veya taranarak dijital arşive kaydedilmesi.

Hukuki Analiz ve Gerekçe: 1774 sayılı Kimlik Bildirme Kanunu ve VUK m. 230-240 uyarınca kimlik tespiti yapmak ve KBS sistemine bildirmek yasal yükümlülüktür (m. 5/2-a, ç). Ancak kimlik belgesinin fotokopisini almak 'ölçülülük' (m. 4/2-ç) ilkesine aykırıdır. Ayrıca eski nüfus cüzdanlarında yer alan 'din' ve 'kan grubu' verileri 6'ncı madde kapsamında özel nitelikli veri olup işlenmesi hukuka aykırıdır.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Resepsiyon tarayıcıları ve fotokopi makineleri kimlik fotokopisi amacıyla kullanılamaz; yazılımlardaki kimlik tarama/arşivleme modülleri iptal edilmelidir.
2) Kimlik ibraz edilerek bilgiler Konaklama Belgesine/yazılıma girilmeli, ardından belge derhal misafire iade edilmelidir.
3) Geçmişte toplanan tüm kimlik fotokopileri ve dijital kimlik taramaları Kanun'un 7'nci maddesi ve Silme/Yok Etme Yönetmeliği uyarınca derhal imha edilmelidir.

 2.6. Sadakat Kartlarında Başkasına Ait Cep Telefonunun Kullanılması ve Doğrulama Zorunluluğu

Somut Olay ve Şikayet Arka Planı: Müşterilerin kasada akrabası, arkadaşı veya tanıdığı birinin telefon numarasını sözlü olarak söyleyerek indirim veya puan kazanması; bu işlem sonucu faturanın kart sahibi adına kesilmesi ve alışveriş profilinin kart sahibinin hesabına yazılması.

Hukuki Analiz ve Gerekçe: Kart sahibinin bilgisi ve rızası olmaksızın numarasının kullanılması KVKK m. 5 işleme şartlarına aykırıdır. Kart sahibinin hesabına üçüncü kişinin yaptığı alışveriş verisinin işlenmesi m. 4/2-b 'doğru ve gerektiğinde güncel olma' ilkesini ihlal eder. Üyelik sözleşmesinde 'kart şahsidir' yazması veri sorumlusunu m. 12 altındaki veri güvenliği yükümlülüğünden kurtarmaz.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Kasalarda salt telefon numarası beyanıyla indirim uygulanması uygulamasına son verilmelidir.
2) SMS tek kullanımlık onay kodu (OTP), mobil uygulama içi QR/barkod taraması veya kasa cihazına kart şifresi girilmesi gibi doğrulama mekanizmaları kurulmalıdır.
3) Sadakat programı için opt-in bazlı güvenli doğrulama mimarisi oluşturulmalıdır.

 2.7. Açık Rıza ve Aydınlatma Metinlerinin Ayrı Ayrı Düzenlenmesi Zorunluluğu

Somut Olay ve Şikayet Arka Planı: Aydınlatma metni ile açık rızanın aynı metin içerisinde iç içe geçirilerek tek bir metin olarak sunulması ve metnin sonuna 'Okudum, onaylıyorum / rıza veriyorum' onay kutucuğu konularak aydınlatmanın bir rıza beyanına dönüştürülmesi.

Hukuki Analiz ve Gerekçe: Aydınlatma yükümlülüğü (m.10) veri sorumlusunun tek taraflı hukuki borcudur ve herhangi bir onaya tabi değildir. İlgili kişiden aydınlatmaya ilişkin rıza/onay istenemez (yalnızca 'okudum ve anladım' beyanı alınabilir). Açık rıza (m.3 ve m.5) ise bağımsız bir irade beyanıdır. İkisinin birleştirilmesi açık rızanın unsurlarından olan 'özgür irade' ve 'belirli bir konuya ilişkin olma' şartlarını sakatlar.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Aydınlatma Metni ve Açık Rıza Metni web, mobil ve matbu formlarda kesinlikle iki ayrı başlık ve ayrı içerik olarak sunulmalıdır.
2) Aynı sayfada yer alacaksa (Tek Sayfa Tasarımı); üstte Aydınlatma Metni ('Okudum ve anladım'), altta Açık Rıza Metni (ayrı ayrı 'Açık rıza veriyorum [ ] / vermiyorum [ ]' kutucukları) yer almalıdır.
3) Karar ekindeki Resmi 'İyi Uygulama Şablonu' esas alınmalı, 'Kötü Uygulama Şablonu'ndaki hatalardan kaçınılmalıdır.

 2.8. Toplu Yapılarda (Apartman/Site) Borç Bilgilerinin Ortak Alanlara Asılması Yasağı

Somut Olay ve Şikayet Arka Planı: Apartman ve sitelerde aidat, avans veya demirbaş borcu bulunan sakinlerin ad, soyad, daire no, borç miktarı ve gecikme sürelerini içeren listelerin bina girişlerine, asansör kabinlerine veya ilan panolarına asılarak ifşa edilmesi.

Hukuki Analiz ve Gerekçe: 634 sayılı Kat Mülkiyeti Kanunu yöneticilere hesap verme ve giderleri denetleme hakkı tanır; ancak bu hak borçluların kamuya veya üçüncü kişilere ifşa edilmesini meşru kılmaz. Asansör ve koridorlar kuryelerin, misafirlerin ve yabancıların da erişebildiği ortak alanlardır. Bu listelerin asılması KVKK m. 4 (ölçülülük), m. 5 ve m. 12 (yetkisiz üçüncü kişilere ifşayı önleme) hükümlerini doğrudan ihlal eder.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Ortak alanlardaki tüm fiziki borç listeleri ivedilikle sökülmeli ve kaldırılmalıdır.
2) Bilgilendirmeler kapalı zarf, kişiye özel e-posta, SMS veya yalnızca yetkili kat maliklerinin şifreyle girebildiği kapalı site yönetim portalları üzerinden yapılmalıdır.
3) Genel mali denetim raporlarında isimler maskelenmeli (örn: Daire 12 - 1.500 TL) veya yalnızca toplam alacak-borç bilançoları sunulmalıdır.

 2.9. Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Yasağı

Somut Olay ve Şikayet Arka Planı: İşyerlerinde personel devam kontrolü (PDKS) amacıyla çalışanların parmak izi, yüz tanıma veya avuç içi damar izi gibi biyometrik verilerinin taranması ve mesai takibinde kullanılması.

Hukuki Analiz ve Gerekçe: KVKK m. 6 uyarınca biyometrik veri özel nitelikli kişisel veridir. İş Kanunu m. 67 ve 75 işverene çalışma sürelerini belgeleme görevi yükler ancak bunun biyometrik veriyle yapılmasını öngören açık bir kanun hükmü yoktur. İşçi-işveren arasındaki güç dengesizliği nedeniyle iş ilişkisinde açık rıza 'özgür iradeye' dayanmaz. Kart, şifre veya imza gibi daha az müdahaleci alternatifler varken biyometrik veri işlenmesi KVKK m. 4 'ölçülülük' ilkesine kesin aykırıdır (AYM ve Danıştay içtihatları doğrultusunda rıza olsa dahi hukuka aykırıdır).

Teknik Gereksinimler ve Mimari Tedbirler: 1) Tüm biyometrik PDKS terminalleri (parmak izi okuyucular, yüz tanıma kameraları, avuç içi tarayıcılar) mesai takibinden derhal çıkarılmalıdır.
2) Manyetik RFID kart, NFC kart, şifre/PIN tabanlı sistemler veya mobil karekod gibi alternatif yöntemlere geçilmelidir.
3) Sistemlerde ve veri tabanlarında kayıtlı tüm biyometrik şablonlar (template/hash) ve biyometrik ham veriler geri döndürülemez biçimde derhal imha edilmelidir.

 2.10. Kaza Mağdurlarının Kişisel Verilerinin Hukuka Aykırı İşlenmesi (Hasar Aracılığı)

Somut Olay ve Şikayet Arka Planı: Trafik veya iş kazası geçiren kişilerin kaza tespit tutanakları, kimlik ve sağlık verilerine hasar danışmanlık şirketleri veya avukatlarca hukuka aykırı erişilmesi ve mağdurların vekalet alma amacıyla telefonla aranması.

Hukuki Analiz ve Gerekçe: Bu faaliyet KVKK m. 5 ve m. 12 ihlalinin ötesinde TCK m. 136 'Verileri hukuka aykırı olarak verme veya ele geçirme' suçunu oluşturur. Ayrıca 1136 sayılı Avukatlık Kanunu m. 35, 48 (aracılık yasağı) ve 5684 sayılı Sigortacılık Kanunu Ek Madde 6 (tazminat alacağının devredilemeyeceği) hükümlerine aykırıdır.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Sigorta şirketleri ve eksperlik bürolarında 'Asgari Yetki' (Least Privilege) ve Rol Tabanlı Erişim Kontrolü (RBAC) zorunlu kılınmalıdır.
2) Kaza tutanakları ve mağdur iletişim verilerine erişimler saniye bazlı loglanmalı ve anomali tespit sistemleri (DLP) kurulmalıdır.
3) Dosyaların yetkisiz üçüncü şahıslara veya aracılara sızdırılmasını önleyecek teknik güvenlik duvarları devreye alınmalıdır.

 2.11. Kamu Tüzel Kişilerince İnternet Ortamında Kişisel Veri Paylaşılması ve Sınav Sonuçları

Somut Olay ve Şikayet Arka Planı: Kamu kurumlarının internet sitelerinde sınav sonuçları, KPSS puan sıralamaları, personel alım listeleri, taşınmaz ihale tutanakları veya kura sonuçlarında vatandaşların T.C. kimlik numarası, anne-baba adı, telefon ve doğum yılı gibi verilerini içeren PDF/Excel listelerini herkese açık yayımlaması.

Hukuki Analiz ve Gerekçe: Kamu görevinin yerine getirilmesi veri işleme şartı oluştursa dahi KVKK m. 4/2-ç (ölçülülük ve sınırlılık) ilkesi internette kontrolsüz yayını engeller. Ayrıca Kanun'un 7'nci maddesi ve Silme/Yok Etme Yönetmeliği uyarınca amacı sona eren yayınların yayından kaldırılması ve imhası yasal zorunluluktur.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Herkese açık sorgusuz PDF liste yayınına derhal son verilmelidir.
2) Sonuçlar e-Devlet Kapısı entegrasyonu veya iki faktörlü kimlik doğrulama ile yalnızca ilgili kişinin kendi sonucunu görebileceği kapalı ekranlarda sunulmalıdır.
3) Kamuoyu denetimi için liste yayını zorunlu ise TCKN'nin ilk 7 hanesi, ad ve soyadın baş harfleri dışındaki tüm karakterler maskelenmelidir (Örn: A*** B***, 1234567****).
4) Yasal ilan süresi dolan içerikler web sitelerinden ve sunucu önbelleklerinden otomatik olarak silinmelidir.

 2.12. Sadakat Kart İlke Kararı Uyum Süresinin Uzatılması

Somut Olay ve Şikayet Arka Planı: 11.02.2026 tarihli ve 2026/266 sayılı Sadakat Kart İlke Kararı ile veri sorumlularına tanınan 6 aylık teknik uyum süresinin (28.08.2026) sektörün yoğun altyapı geliştirme ve POS entegrasyon talepleri doğrultusunda uzatılması.

Hukuki Analiz ve Gerekçe: Kanun'un 15'inci maddesinin 6'ncı fıkrası ve 12'nci maddesi çerçevesinde, teknik önlemlerin ülke genelinde sağlıklı devreye alınabilmesi ve sektörün hukuki/teknik uyumu tamamlayabilmesi amacıyla düzenleyici işlem yapılmıştır.

Teknik Gereksinimler ve Mimari Tedbirler: 1) Perakendeciler ve yazılım sağlayıcıları kasa yazılımlarına SMS OTP entegrasyonu, sadakat mobil uygulama QR kodu veya şifreli doğrulama sistemlerini en geç 28.02.2027 tarihine kadar tamamlamalıdır.
2) Bu tarihe kadar geçiş planları ve aşamalı testler sonuçlandırılmalıdır.

 2.13. Kurumsal E-Posta ve İş İletişim Kanallarının İşverence Denetlenmesi Usul ve Esasları

Somut Olay ve Şikayet Arka Planı: İşverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesaplarını, şirket içi anlık mesajlaşma yazılımlarını (Teams, Slack vb.) ve toplantı kayıtlarını denetlemesi, çalışanların yazışmalarını ve trafik loglarını incelemesi.

Hukuki Analiz ve Gerekçe: İletişim araçlarının mülkiyetinin işverende olması sınırsız izleme hakkı vermez. Anayasa m. 20 (Özel Hayat), m. 22 (Haberleşme Hürriyeti) ve AİHM kararları uyarınca: 1) Önceden açık, net ve usulüne uygun aydınlatma yapılmalıdır (gizli izleme yasaktır). 2) İş ilişkisindeki bağımlılık nedeniyle açık rıza kural olarak dayanak yapılamaz; meşru menfaate (m. 5/2-f) veya savunma hakkına (m. 5/2-e) dayanılmalıdır. 3) Kademelilik ilkesi esastır: Önce teknik filtreleme, ardından trafik/log verisi incelemesi yapılmalı; içerik denetimi somut bir şüphe ve iddia ile sınırlı olarak en son çare olmalıdır.

Teknik Gereksinimler ve Mimari Tedbirler: 1) BT/Sistem yetkisi hukuki yetki anlamına gelmez; e-posta incelemesi sadece yetkilendirilmiş dar bir komisyonca tutanakla yapılmalıdır.
2) İçerik denetiminde özel hayat yazışmaları ayıklanmalı, üçüncü kişi verileri korunmalıdır.
3) İş akdi sonlanan çalışanın e-posta hesabı derhal kapatılmalı; iş sürekliliği için yalnızca sınırlı süreli (örn. 1-3 ay) otomatik yönlendirme/cevap tanımlanmalı ve sürenin sonunda hesap tamamen imha edilmelidir.

BÖLÜM III: ÇAPRAZ DEĞERLENDİRME VE SEKTÖREL RİSK MATRİSİ

Sektörel ve Departmansal Etki Analizi: Kurul'un yayımladığı 13 ilke kararı, sektörlerin operasyonel işleyişinde ve bilişim mimarisinde doğrudan radikal değişiklikler yapılmasını zorunlu kılmıştır. Aşağıdaki matris, veri sorumlularının departman bazında karşılaşacağı uyuşmazlık risklerini ve uygulanması zorunlu teknik kontrolleri özetlemektedir:

 3.2. Yazılım Mimarisi ve Sistem Yöneticileri İçin Teknik Kontrol Listesi

·         Çift Faktörlü Kimlik Doğrulama (2FA / MFA): Vatandaş/müşteri portalı barındıran tüm kamu ve özel sektör sistemlerinde tekil TCKN sorgulamaları derhal 2FA veya e-Devlet Kapısı ile korunmalıdır.

·         Kasa & POS Arayüz Ayrımı: Kasa yazılımlarında 'Aydınlatma', 'Fatura Gönderimi', 'Sadakat Üyeliği' ve 'Pazarlama İzni' tek bir işlemde toplanamaz; bağımsız checkbox/tetikleyici alanlar kodlanmalıdır.

·         Maskeleme Standartları: İnternet veya ortak ekranlarda yayımlanması zorunlu tablolarda TCKN, ad, soyad ve telefon bilgileri regex maskeleme filtrelerinden geçirilmelidir (Örn: TCKN için ilk 2 ve son 2 hane açık, ortası maskeli: 12*******89).

·         Log ve Denetim İzi (Audit Trail): Kurumsal e-posta ve iletişim araçlarında trafik verileri (kim, kime, ne zaman gönderdi) düzenli loglanmalı; içerik denetimi erişimleri sistem yöneticisi bazında kriptografik loglarla güvenceye alınmalıdır.

·         Zamanlı Otomatik İmha Servisleri (Cron Jobs / Worker Engines): Kamu duyuruları, ilan süresi dolan sınav listeleri, otel tarama yedekleri ve işten ayrılan personelin kurumsal posta kutuları için otomatik imha scriptleri tanımlanmalıdır.

BÖLÜM IV: SONUÇ VE STRATEJİK UYUM YOL HARİTASI

Stratejik Değerlendirme: Kişisel Verileri Koruma Kurulu'nun kararları göstermektedir ki, Türk veri koruma hukuku 'şekli uyum' dönemini tamamen geride bırakmış, 'teknik ve fiili uyum' (privacy-by-design & privacy-by-default) dönemine geçmiştir. Matbu formların altına rıza cümlesi eklemek veya 'müşteri kabul etti' savunması arkasına sığınmak idari para cezalarını engellememektedir.

Eylem Planı: Veri sorumlularının acil olarak hayata geçirmesi gereken dört aşamalı yol haritası şunlardır:

·         1. Adım: Veri Envanteri ve Süreç Revizyonu: İşyeri devam kontrolü (PDKS), kasa satış süreçleri, konaklama kayıtları ve e-posta denetim prosedürleri ilke kararları doğrultusunda taranmalı; yasaklanan veri kategorileri (biyometrik mesai, kimlik fotokopisi vb.) süreçlerden derhal çıkarılmalıdır.

·         2. Adım: Aydınlatma ve Rıza Metinlerinin Ayrıştırılması: Web siteleri, mobil uygulamalar ve basılı formlardaki birleşik metinler taranarak Kurul'un yayımladığı 'İyi Uygulama Şablonu' formatına dönüştürülmelidir.

·         3. Adım: Bilişim Sistemleri ve POS Entegrasyonları: Sadakat kartları için 28 Şubat 2027 tarihine kadar SMS OTP/QR altyapısı devreye alınmalı; belediye/kamu web sitelerinde TCKN ile tekil sorgulama derhal kapatılmalıdır.

·         4. Adım: Kurumsal Politika ve Personel Farkındalık Eğitimleri: Özellikle kaza verileri, kurumsal e-posta denetimleri ve mağaza kasa görevlilerinin sözlü beyanları konusunda çalışanlara periyodik eğitim verilmeli, eğitim katılımları belgelendirilmelidir.