13 – 19 Temmuz tarihleri arasında hukuk ve teknolojinin kesişimindeki gelişmeler
TÜRKİYE GÜNDEMİ
Kişisel Veri Suçunda Resen Soruşturma Anayasa’ya Uygun Bulundu
Anayasa Mahkemesi, Türk Ceza Kanunu’nun 139. maddesinde yer alan ve “verileri hukuka aykırı olarak verme veya ele geçirme” suçunu şikâyete bağlı suçların dışında bırakan ibarenin iptali istemini oy birliğiyle reddetti. İtiraz başvurusunda, TCK m. 136 kapsamındaki bu suçun resen soruşturulmasına karşılık daha nitelikli kabul ettiği özel hayatın gizliliğini ihlal suçunun takibinin şikâyete bağlı tutulmasının, korunan hukuki değer bakımından benzer konumdaki kişiler arasında eşitsizlik doğurduğunu; kuralın Anayasa’nın 2., 10. ve 20. maddelerine aykırı olduğunu ileri sürülmüştü.
Mahkeme, ceza muhakemesinde suç şüphesinin öğrenilmesiyle soruşturmanın resen başlatılmasının esas olduğunu, hangi suçların şikâyete bağlı kılınacağını suçun niteliği ve kamu düzeni bakımından taşıdığı önemi gözeterek belirleme konusunda kanun koyucunun takdir yetkisi bulunduğunu belirtti. Kararda, kişisel verilerin hukuka aykırı biçimde verilmesi veya ele geçirilmesinin yalnızca bireysel menfaati değil, toplumun kişisel verilerin korunmasına duyduğu güveni ve kamu düzenini de etkilediği ifade edildi.
Eşitlik incelemesinde ise farklı hukuksal menfaatleri koruyan suç tiplerinin takibinin farklı usul kurallarına bağlanmasının kanun önünde eşitlik ilkesine aykırılık oluşturmadığı, farklı hukuki konumdaki faillerin farklı düzenlemelere tabi tutulmasının eşitsizlik doğurmayacağı sonucuna varıldı. Anayasa Mahkemesi, kuralın Anayasa’nın 2. ve 10. maddelerine aykırı olmadığına 16 Nisan 2026 tarihinde oy birliğiyle karar verdi.
Kaynak: T.C. Resmî Gazete, 14 Temmuz 2026, Sayı: 33310 (AYM E.2026/34, K.2026/81)
İzinsiz Ticari SMS Gönderen Şirkete Ceza
Kişisel Verileri Koruma Kurulu, açık rıza olmaksızın pazarlama amaçlı ticari elektronik ileti gönderdiği ve telefon numarasını hukuka aykırı biçimde işlediği gerekçesiyle bir tasarruf finansman şirketine 1 milyon lira idari para cezası uyguladı. Kayseri’de bir avukat, açık rızası ve bilgisi olmaksızın cep telefonu numarasına pazarlama amaçlı SMS gönderilmesi, ardından sesli aramalar yapılması üzerine, açık rızasının alınmadığı ve aydınlatma yükümlülüğünün yerine getirilmediği gerekçesiyle Kurula şikâyette bulundu.
Şirket savunmasında, telefon numarasının başka bir müşteri tarafından sisteme eklendiğini, şikâyet üzerine ilgili kişiye ait tüm verilerin sistemden kalıcı olarak silindiğini ve SMS panellerinden engellendiğini ileri sürdü.
Kurul, 6698 sayılı Kanun kapsamında açık rızanın veri işleme faaliyetinden önce, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilmiş olması gerektiğini değerlendirdi. Kararda, Elektronik Ticaretin Düzenlenmesi Hakkında Kanun ile İleti Yönetim Sistemi (İYS) düzenlemelerine atıf yapılarak, veri sahibinin onayı bulunmaksızın ticari elektronik ileti gönderilmesinin hukuka aykırı olduğu belirtildi.
Kurul, telefon numarasının üçüncü bir kişi aracılığıyla temin edilerek işlenmesini de hukuka aykırı bularak şirkete 1 milyon lira idari para cezası uygulanmasına karar verdi.
KVKK, Kanun Kapsamına Girmeyen Halleri Özel Sayı Bülteninde Ele Aldı
Kişisel Verileri Koruma Kurumu, 2026 “15 Temmuz Özel Sayısı” bülteninde “6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun Kapsamına Girmeyen Haller” başlıklı bir değerlendirmeye yer verdi. Yazı, Kanun’un 28. maddesinde düzenlenen ve uygulamada tam ile kısmi istisnalar olarak ayrılan hâlleri konu alıyor.
Maddenin birinci fıkrasındaki tam istisnalarda Kanun hükümleri hiç uygulanmıyor. Bu kapsamda kişisel verilerin gerçek kişilerce münhasıran kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetler çerçevesinde işlenmesi; resmî istatistikle anonim hâle getirilerek araştırma, planlama ve istatistik amaçlarıyla işlenmesi; sanat, tarih, edebiyat, bilim veya ifade özgürlüğü kapsamında işlenmesi ve millî savunma, millî güvenlik, kamu güvenliği ile kamu düzenine yönelik faaliyetler yer alıyor.
İkinci fıkradaki kısmi istisnalarda ise Kanun’un yalnızca üç maddesi devre dışı kalıyor: aydınlatma yükümlülüğünü düzenleyen 10. madde, zararın giderilmesini talep etme hakkı hariç ilgili kişinin haklarını düzenleyen 11. madde ve Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. madde. Bu istisna; suç işlenmesinin önlenmesi veya suç soruşturması, ilgili kişinin kendisi tarafından alenileştirilmiş veriler, yetkili kamu kurumlarının denetim ve düzenleme görevleri ile Devletin ekonomik ve mali çıkarlarının korunması hâllerinde geçerli oluyor. İstisnaların, Kanun’un amacına ve temel ilkelerine uygun ve orantılı olması şartı korunuyor.
Kaynak: Kişisel Verileri Koruma Kurumu, 15 Temmuz Özel Sayısı Bülteni (2026)
GLOBAL RADAR
EDPB’den Blockchain-GDPR Rehberi
Avrupa Veri Koruma Kurulu (EDPB), 8 Temmuz 2026’da yaptığı genel kurul toplantısında, kişisel verilerin blockchain teknolojileri aracılığıyla işlenmesine ilişkin rehberinin (Guidelines 02/2025) kamuoyu istişaresi sonrası nihai versiyonunu kabul etti. Rehber, farklı blockchain mimarilerinin kişisel veri işleme bakımından doğurduğu sonuçları ele alıyor ve veri sorumluları için GDPR uyum çerçevesi sunuyor.
Rehber, blockchain kullanımına karar verilmeden önce aynı amaca daha az müdahaleci bir teknolojiyle ulaşılıp ulaşılamayacağının, DPIA kapsamında gerekçelendirilmesini bekliyor. Kişisel verilerin mümkün olduğunca zincir dışında (off-chain) tutulmasını; açık metin, şifreli veya hash’lenmiş kişisel verinin zincir üzerinde saklanmamasını öneriyor. EDPB, hash’lenmiş verinin de kişisel veri sayıldığını ve teknik imkânsızlığın GDPR yükümlülüklerine uymamak için gerekçe gösterilemeyeceğini vurguluyor.
Silme hakkı dâhil ilgili kişi haklarının blockchain kullanımıyla ortadan kalkmadığı; teknik tasarımın silme veya etkili anonimleştirmeyi mümkün kılması gerektiği belirtiliyor. Rehber ayrıca, rızanın geri alınması fiilen mümkün değilse rızaya dayanılmamasını, smart contract’ların GDPR m. 22 kapsamında otomatik karar verme niteliği taşıyabileceğini ve kuantum bilişim dâhil şifreleme risklerinin işleme yaşam döngüsü boyunca periyodik olarak yeniden değerlendirilmesini öngörüyor.
Kaynak: Guidelines 02/2025 on processing of personal data through blockchain technologies (v2.0)
Meta’nın Rızasız Görsel İşleme Özelliği, “Varsayılan Opt-Out” Tartışmasını Yeniden Açtı
Meta, 7 Temmuz 2026’da tanıttığı Muse Image görsel üreticisinde, kullanıcıların herkese açık Instagram hesaplarını etiketleyerek o hesaptaki fotoğrafları yeni yapay zeka görsellerinde referans almasına imkân tanıyan işlevi, üç gün sonra geri çekti. Tartışmanın hukuki merkezinde, bir kişinin görüntüsünün ve fotoğraflarının, kendisinden açık rıza alınmaksızın üçüncü kişilerce yapay zeka üretimlerinde işlenebilmesi yer aldı.
Özellik, 18 yaş üstü herkese açık hesaplar için varsayılan olarak etkinleştirilmiş; kullanmak istemeyenlerin ayarı elle kapatması öngörülmüştü. Hukuki eleştiriler iki noktada yoğunlaştı: veri işlemenin rıza yerine varsayılan katılıma dayandırılması ve hesap sahibine ne önceden onay ne de sonradan bildirim sağlanması. Bu yapı, kişisel verinin işlenmesinde açık ve önceden alınmış rıza standardını esas alan veri koruma rejimleriyle karşılaştırmalı olarak gündeme getirildi; kişilik hakkı ve deepfake yoluyla oluşturulabilecek gerçek olmayan görüntüler de riskler arasında sayıldı.
Meslek kuruluşları CAA ve SAG-AFTRA, korumanın istisna değil varsayılan olması gerektiğini savunarak açık rıza modeli talep etti. Meta, 10 Temmuz 2026’da işlevin “hedefi ıskaladığını” belirterek yalnızca bu referans alma özelliğini devre dışı bıraktığını, Muse Image’ın görsel üretme ve düzenleme işlevlerinin kullanımda kaldığını duyurdu.
EDPB, Yapay Zeka Eğitiminde Web Scraping Rehber Taslağını Görüşe Açtı
EDPB, 8 Temmuz 2026’da üretken yapay zeka modellerinin eğitimi ve fine-tuning’i için internetten büyük ölçekli ve otomatik kişisel veri toplanmasını ele alan rehber taslağını (Guidelines 03/2026) kamuoyu görüşüne açtı. EDPB, GDPR’ın; scraping, verilerin çıkarılması, saklanması, yapılandırılması veya erişilebilir hâle getirilmesi gibi işleme faaliyetleri içerdiğinde uygulandığını belirtti.
Taslak, ilk olarak rol dağılımına odaklandı: scraping’i yapan taraf her zaman veri sorumlusu olmadı; scraping kriterlerini ve veri setinin oluşturulmasını belirleyen yapay zeka geliştiricisi sorumlu, hizmeti sağlayan taraf ise somut durumda işleyen ya da müşterek sorumlu sayıldı. Şeffaflık bakımından, bireysel bilgilendirmenin orantısız olduğu hâllerde kamuya açık, ayrıntılı bir aydınlatma metni öngörüldü.
Veri minimizasyonu, scraping öncesi tasarım yükümlülüğü olarak ele alındı; robots.txt, ai.txt ve CAPTCHA gibi önlemlerle scraping’e karşı irade gösteren kaynakların dışlanması istendi. Hukuki sebep tarafında meşru menfaat otomatik dayanak sayılmadı, üç aşamalı denge testi arandı. Özel nitelikli veriler için ise GDPR m. 6 yanında ayrıca m. 9/2 istisnası gerekli görüldü. Taslak 30 Ekim 2026’ya kadar görüşe açık kaldı.
LEGALTECH SAHNESİ
Garante’den Character.AI’a 158 Bin Euro İdari Para Cezası
İtalyan Kişisel Verileri Koruma Kurumu (Garante), Character.AI adlı üretken yapay zeka hizmetini işleten ABD merkezli Character Technologies Inc. hakkında 158 bin euro idari para cezasına hükmetti. Karar, kullanıcıların (reşit olmayanlar dâhil) sanal karakterler oluşturup onlarla sohbet edebildiği hizmete ilişkin olarak, Kurumun resen başlattığı soruşturma sonucunda 3 Temmuz 2026’da alındı.
Garante, veri koruma mevzuatına yönelik çeşitli ihlaller tespit etti. Kullanıcılara verilerinin nasıl işlendiğine dair sunulan aydınlatma metninin yetersiz olduğu; bu kapsamdaki bir işleme faaliyeti için hizmet başlatılmadan önce yapılması gereken veri koruma etki değerlendirmesinin geç yapıldığı; AB temsilcisinin atanmasında gecikildiği belirtildi. Kurum ayrıca reşit olmayanların korunmasına ilişkin güvencelerde ve yaş doğrulama prosedürlerinin etkinliğinde eksiklikler saptadı.
Garante, soruşturma sırasında şirketin aldığı önlemleri kayda geçirmekle birlikte, çocukların erişebildiği üretken yapay zeka tabanlı bir eğlence hizmetinin taşıdığı riskleri gözeterek ek tedbirler emretti. Şirketin yaş doğrulama sistemlerinin düzgün çalışmasını sağlaması, engellenen küçüklerin yeniden kayıt olmasını önleyen mekanizmaların etkinliğini güvence altına alması ve reşit olmayanların profillerini varsayılan olarak gizli moda ayarlaması istendi. Şirket, aldığı önlemleri kararın tebliğinden itibaren 120 gün içinde Kuruma bildirecek.
ABD Federal Mahkemesinden AI İle Hazırlanan Dilekçeye Yaptırım
ABD Michigan Doğu Bölge Mahkemesi, bir sosyal güvenlik davasında sunulan özet karar talebindeki maddi olgu çarpıtmaları nedeniyle davacı avukatı ve bürosu hakkında Federal Hukuk Muhakemesi Kuralları m. 11 (Rule 11) uyarınca yaptırıma hükmetti. Mahkeme, 13 Temmuz 2026 tarihli kararında dilekçedeki ifadelerin idari dosyayla desteklenmediğini tespit etti; örneğin hekimin “konuşmasında belirgin bir bozukluk fark etmedim” notunun dilekçeye tam aksi biçimde yansıtıldığını belirtti.
Avukat sorumluluğu kabul edip ifadeleri geri çekti ve hataların, idari dosyayla yeniden doğrulanmamış önceki çalışma ve özetlere dayanmaktan kaynaklandığını açıkladı; büronun hacimli tıbbi kayıtları özetlemek için zaman zaman yapay zeka kullandığını kabul etti. Mahkeme, avukatın daha önceki bir kararda var olmayan içtihatları atıf gösterme konusunda yapay zeka kaynaklı riske karşı uyarılmış olduğunu hatırlattı ve çarpıtmaların iradî olduğu sonucuna vardı.
Mahkeme, parasal ceza yerine caydırıcılık için etik ve yapay zekanın etik kullanımına ilişkin sürekli hukuk eğitimi derslerinin tamamlanmasını; ayrıca Rule 11(c)(1) uyarınca büronun sorumlu tutulması gereğince, aynı bölgedeki derdest dilekçelerin benzer hatalar bakımından gözden geçirilmesini emretti.
APİLEX LEGAL’DEN OKUMA ÖNERİSİ
Apilex Legal, hukuk alanında nitelikli içerik üretimini destekleyen bir platform olarak farklı disiplinlerden hukukçuları aynı çatı altında buluşturuyor. Güncel meselelerin çoklu bakış açılarıyla ele alındığı, akademisyenlerin ve uygulayıcıların bilgi ve deneyimlerini paylaşabildiği erişilebilir bir içerik alanı sunuyor. Bültenimizin bu bölümünde her hafta Apilex Legal’de yayımlanan bir makaleyi öne çıkarıyor olacağız.
“Lex Sportiva” Kavramı ve Ulusal Hukuk Sistemleriyle Çatışması
Av. Furkan ÖZBEK
“…Teoride kusursuz görünen bu uluslarüstü spor düzeni, pratikte devletlerin egemenlik hakları ve kendi vatandaşlarını korumak amacıyla koyduğu “emredici hukuk kuralları” ile sık sık kafa kafaya çarpışır. Ortada iki farklı norm grubu vardır: Bir tarafta ulusal iş hukuku, ceza yasaları ve anayasal güvenceler; diğer tarafta ise spor kuruluşlarının oyunun kurallarını belirleyen talimatları; örneğin, yabancılık unsuru taşıyan bir antrenör ile futbol kulübü arasındaki sözleşmesel uyuşmazlık, sadece FIFA oyuncu statüsü kurallarına göre mi çözülecektir, yoksa tarafların bulunduğu ülkenin emredici iş kanunu hükümleri mi devreye girecektir?…”
🔗 Makalenin tamamına buradan ulaşabilirsiniz.
