7. Hukuka uygun işlemenin ilkeleri

Bir işleme şartı göstermek, kişisel verinin hangi kapsamda ve nasıl kullanılabileceğine ilişkin bütün soruları çözmez. Verinin doğru olması, belirli amaçla sınırlı kullanılması ve gereğinden uzun tutulmaması, aynı faaliyet üzerinde birlikte düşünülmelidir. Bu bölüm genel ilkeleri tek tek açıklarken onların birbirini tamamlayan işlevini de göstermektedir. Son başlıklarda ilkeler, aydınlatma ve güvenlik gibi yükümlülüklerle ilişkilendirilerek tasarımdan günlük uygulamaya uzanan denetimin ölçütleri kurulmaktadır.

7.1. Hukuka ve dürüstlük kurallarına uygunluk

Bir kişisel veri işleme faaliyeti için açık rıza veya Kanunda sayılan başka bir işleme şartı bulunması, incelemeyi başlatır; fakat tek başına bitirmez. İşlemenin ayrıca genel ilkelere, ilgili kişinin haklarına, veri sorumlusunun yükümlülüklerine ve uygulanabilir diğer hukuk kurallarına uygun olması gerekir. Aksi yaklaşım, bir işleme şartını kişisel veriler üzerinde sınırsız tasarruf yetkisine dönüştürür.

6698 sayılı Kanunun 4. maddesi bu sonucu iki basamakla kurar. Birinci fıkra, verilerin ancak Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun işlenebileceğini söyler. İkinci fıkra ise hukuka ve dürüstlük kurallarına uygunluk dâhil beş ilkeye uyulmasını zorunlu tutar. Kanunun 5 ve 6. maddeleri işleme şartlarını ayrıca düzenlediğine göre uygulamada iki soru birbirinden ayrılmalıdır: İşlem hangi hukuki sebebe dayanıyor ve bu sebebe dayanılarak yürütülen somut işlem bütün ilkelere uygun mu?¹

“Hukuka uygunluk”, işleme faaliyetini yalnız 6698 sayılı Kanunun 5 veya 6. maddesindeki şartlarla karşılaştırmak değildir. Anayasal güvenceler, 6698 sayılı Kanunun diğer hükümleri ve işleme faaliyetini düzenleyen sektörel normlar da değerlendirmeye girer. Bununla birlikte her aykırılığı yalnız 4. maddenin “hukuka uygunluk” ibaresi altında toplamak, ihlal edilen özel hükmü ve ona bağlanan sonucu görünmez kılabilir. Öğretide Yücedağ bu nedenle hukuka uygunluk incelemesini öncelikle işleme şartları ve genel ilkelerle ilişkilendirmekte; diğer yükümlülük ihlallerinin kendi hükümleri altında değerlendirilmesini önermektedir. Sağlıklı yöntem, önce özel normu göstermek, sonra bunun işlemeyi bütünüyle nasıl etkilediğini açıklamaktır.²

Dürüstlük kuralı bu sistem içinde yalnız mevzuat metnini tekrar etmez. Türk Medenî Kanununun 2. maddesi, hakların kullanılmasında ve borçların yerine getirilmesinde dürüst davranmayı emreder; hakkın açıkça kötüye kullanılmasını korumaz. Veri koruma hukukunda bu ölçü, veri sorumlusunun ilgili kişinin çıkarlarını ve makul beklentilerini gözetmesini, güveni veya yanılgıyı kendi yararına kullanmamasını ve ilgili kişinin objektif olarak beklemeyeceği sonuçları önlemesini gerektirir. Kurumun 2025 tarihli rehberi ayrıca şeffaflığı, aydınlatmayı ve hukuk kuralının amacına göre mümkün olan en az miktarda veri işlemeyi dürüstlük kuralıyla ilişkilendirir.³

Bu bağlantı, dürüstlük kuralının Türk Medenî Kanunundaki görünümü ile veri koruma hukukundaki “adil işleme” işlevinin bütünüyle aynı olduğu anlamına gelmez. Yücedağ, öğretideki görüş ayrılığını göstererek veri koruma bağlamında ilgili kişinin çıkarları, makul beklentileri, güveninin kötüye kullanılmaması ve yanılgısından yararlanılmaması üzerinde durur. Bu yaklaşım, veri sorumlusunun öznel olarak iyi niyetli olduğunu söylemesini yeterli görmez; işlem, somut bağlamda makul ve güvenilir bir veri sorumlusundan beklenecek davranışa göre değerlendirilir.⁴

Dürüstlük kuralı diğer ilkeleri kapsayıcı biçimde destekler; fakat onların yerine geçmez. Gereksiz veri toplama öncelikle bağlantılılık, sınırlılık ve ölçülülük; veriyi bildirilen amaç dışında kullanma amaçla sınırlılık; yanlış kaydı sürdürme doğruluk; ihtiyaç sona erdiği hâlde saklama ise süreyle sınırlılık bakımından incelenir. Aynı davranış, kişiyi yanıltması veya makul beklentisini boşa çıkarması sebebiyle dürüstlük kuralına da aykırı olabilir. Hangi özel ilkenin nasıl ihlal edildiğini göstermek, “dürüstlüğe aykırılık” biçimindeki genel bir sonuçtan daha denetlenebilir bir hukuki gerekçe sağlar.⁵

Kurulun 8 Ağustos 2024 tarihli ve 2024/1350 sayılı karar özeti, işleme şartı ile dürüstlük denetiminin bağımsızlığını açık biçimde gösterir. Elektronik haberleşme işletmecisinin telefon numarasını hukuki yükümlülük sebebiyle işlemesi mümkün görülmüş; buna rağmen sözleşmenin bitişinden aylar önce başlayarak kısa aralıklarla yirmiden fazla benzer SMS göndermesi, ilgili kişinin makul beklentisini aşan ve hakkı kötüye kullanan bir işleme sayılmıştır. Demek ki hukuki sebep işlemenin varlığına dayanak sağlayabilir; fakat yöntemi, yoğunluğu ve zamanlamayı sınırsızlaştırmaz.⁶

Benzer bir sorun, veri sorumlusunun aslında başka bir işleme şartına dayanan faaliyeti açık rıza görüntüsü altında yürütmesinde ortaya çıkar. Kurulun “Hizmetin Açık Rıza Şartına Bağlanması” başlıklı yayımlanmış karar özetinde, sözleşmenin ifası için gerekli işleme bakımından ayrıca rıza istenmesi ve bu rızanın hizmet koşulu yapılması, ilgili kişiyi yanıltma ve hakkın kötüye kullanılmasıyla ilişkilendirilmiştir. İşlemenin hukuki sebebini doğru adlandırmak bu nedenle yalnız teknik bir kayıt işi değildir; kişinin verisi üzerindeki denetimini hangi koşullarda kullanabileceğini doğru anlamasını sağlar. Açık rızanın özgür irade ve hizmetle ilişkisinin ayrıntıları 9. bölümde ele alınacaktır.⁷

Otel örneği aynı ayrımı işlem düzeyinde kurmayı sağlar. Kurulun 6 Kasım 2025 tarihli ve 2025/2120 sayılı ilke kararında, konaklayan kişinin ad, soyad ve T.C. kimlik numarasının kaydedilmesi kanuni yükümlülük kapsamında değerlendirilmiş; kimlik belgesinin kontrol için istenebilmesi ile fotokopisinin ayrıca kaydedilip saklanması birbirinden ayrılmıştır. İlk işlem için hukuki dayanak bulunması, belgenin bütününün kopyalanmasını meşrulaştırmamıştır. Fotokopi, gereğinden fazla ve ayrıca hukuki dayanaktan yoksun işlem kabul edilmiştir. Örneğin ölçülülük yönü 7.4’te ayrıntılandırılacaktır.⁸

Uygulamada her işleme faaliyeti için beş soruluk bir kontrol yapılabilir: Somut işlem hangi hukuk kuralına veya işleme şartına dayanıyor; bu dayanağın amacı ve sınırı nedir; ilgili kişi bu kullanım biçimini objektif olarak bekleyebilir mi; bilgilendirme ile fiilî uygulama birbiriyle uyumlu mu; veri sorumlusu bir yetkiyi kişinin güvenini veya yanılgısını kullanacak biçimde mi işletiyor? Bu sorular veri toplama anıyla sınırlı değildir. Kullanım, aktarım, başvuruya cevap verme, saklama ve imha aşamalarında da hukuka ve dürüstlük kurallarına uygunluk yeniden sınanır.

Sonuç olarak işleme şartı, hukuka uygun veri işlemenin vazgeçilmez parçalarından yalnız biridir. Genel ilkeler, işleme şartının yanında ve bütün veri yaşam döngüsü boyunca uygulanır. Dürüstlük kuralının pratik değeri de buradadır: veri sorumlusunun biçimsel bir yetki veya rıza görünümünün arkasına saklanmasını önler; somut işlemi kişinin makul beklentileri, şeffaflık ve hakkın amacına uygun kullanım bakımından denetlenebilir hâle getirir.

7.2. Doğruluk ve gerektiğinde güncellik

Doğruluk ile güncellik birbirine yakın, fakat aynı olmayan iki ölçüdür. Doğruluk, kişisel verinin ilgili kişiyle ve işleme amacıyla kurulan ilişkiyi gerçeğe uygun biçimde göstermesini; güncellik ise zaman içinde değişebilen verinin gerektiği anda mevcut durumu yansıtmasını ifade eder. Kanun koyucunun “gerektiğinde” sözcüğünü güncelliğe bağlaması önemlidir: veri doğru olmalı, fakat her veri her an yenilenmek zorunda değildir. Güncelleme gereğinin bulunup bulunmadığı, verinin hangi amaçla ve hangi sonuç için kullanılacağına göre belirlenir.⁹

Bu amaç bağlantısı, geçmişe ait bir kaydı bugünkü duruma uyarlamak ile kaydın tarihsel doğruluğunu korumak arasındaki farkı açıklar. Bir kişinin eski adresi güncel tebligat için kullanıldığında yanıltıcıdır; buna karşılık geçmişte hangi adrese bildirim yapıldığını belgeleyen kayıtta eski adresin bulunması kaydı yanlış kılmaz. Benzer biçimde bir konuşmanın, beyanın veya kanaatin kaydında doğruluk, içeriğin nesnel olarak doğru kabul edilmesinden önce, sözün kim tarafından, ne zaman ve hangi bağlamda söylendiğinin doğru gösterilmesini gerektirir. Bu nedenle düzeltme kimi zaman kaydı silip yeniden yazmakla değil, tarihsel kaydı koruyarak güncel bilgi veya itirazı açıkça eklemekle sağlanabilir.¹⁰

Veri sorumlusunun yükümlülüğü, ilgili kişinin hayatındaki her değişikliği sürekli araştırmak değildir. Kurumun Mart 2026 tarihli kamu uyum rehberi de “gerektiğinde güncel olma”yı, veriyi her daim yenilemekten ziyade ihtiyaç üzerine kullanılacağı zaman güncelliğini denetlemek şeklinde açıklar. Öğretide de kural olarak genel ve kesintisiz bir periyodik doğrulama yükümlülüğü bulunmadığı; buna karşılık yanlış veya eski verinin kişi hakkında karar verilmesinde kullanılması, üçüncü kişilere yayılması ya da ağır sonuç doğurması hâlinde kontrol yükümlülüğünün yoğunlaşacağı belirtilmektedir.¹¹

Bu risk temelli yaklaşım, kaynağı bilinen ve değişiklikleri sisteme taşıyabilen bir veri düzeni kurulmasını gerektirir. Veri doğrudan ilgili kişiden alınmış olsa bile yazım hatası, başkasına ait iletişim bilgisinin verilmesi veya daha sonra değişiklik yaşanması mümkündür. Kurulun 2020/966 sayılı ilke kararı, fatura, ekstre ve rezervasyon gibi belgelerin yanlış kişilere gönderilmesini önlemek için telefon ve e-posta bilgilerinin doğrulanmasına yönelik makul teknik ve idari tedbirler alınmasını istemiştir. Aynı karar, ilgili kişinin bilgisini düzeltebilmesi için kanalların açık tutulmasını da doğruluk yükümlülüğünün parçası sayar.¹²

“Makul tedbir” tek biçimli bir doğrulama işlemi anlamına gelmez. Verinin değişme ihtimali, kullanılacağı işlemin önemi, yanlışlığın kişiye etkisi, verinin kimlerle paylaşılacağı ve düzeltmenin sonradan ne kadar güç olacağı birlikte değerlendirilmelidir. Basit bir tercih kaydıyla kredi notu, sağlık sonucu veya tebligat adresi aynı denetim yoğunluğunu gerektirmez. Doğrulama kodu, çift giriş, güvenilir kaynaktan karşılaştırma, kullanım öncesi teyit, değişiklik bildirimi ve periyodik kontrol bu değerlendirmeye göre seçilebilecek araçlardır; aracın varlığı değil, somut riski azaltmaya elverişliliği önemlidir.¹³

Kurulun 2021/1107 sayılı karar özeti, yanlış finansal verinin neden daha yoğun özen gerektirdiğini gösterir. Bankanın gerçeğe aykırı kredi bilgisini Risk Merkezine aktarması, kişinin finansal işlemlerini ve itibarını etkileyen sonuçlar doğurmuştur. Sonradan manuel düzeltmeler yapılması ve sistemin geliştirilmesi, başlangıçtaki yanlış işleme ile aktarımı geriye dönük olarak hukuka uygun hâle getirmemiştir. Verinin çok sayıda finans kuruluşunca kullanılabilmesi, doğrulama ve yayılmış yanlışın düzeltilmesi yükümlülüğünü ağırlaştırmıştır.¹⁴

Doğruluk yalnız verinin içeriğiyle değil, doğru kişiyle ilişkilendirilmesiyle de ilgilidir. Kurul 2023/78 sayılı kararında, kişiye ait bireysel borç sürecinde onun ortağı olduğu şirkete ait kurumsal telefon numaralarının iletişim bilgisi olarak kullanılmasını ilkeye aykırı bulmuştur. Şubat 2026 tarihli ve 2026/266 sayılı ilke kararı da üçüncü kişinin telefon veya sadakat kartı numarasını kullanarak yaptığı alışverişin kart sahibinin hesabına yazılmasını, hem hukuki sebep hem doğruluk ve güvenlik yönlerinden sorunlu görmüş; işlem türü ve riskine uygun doğrulama mekanizmaları kurulmasını istemiştir. Her iki örnekte sorun, yalnız “yanlış numara” değildir: başkasının işlemi veya borç bilgisi hatalı kişi bağlantısı üzerinden yeni ifşa ve profil sonuçları üretmektedir.¹⁵¹⁶

İlgili kişinin düzeltme hakkı, bu ilkenin uygulanmasını sağlar fakat veri sorumlusunun özen yükümlülüğünün başlangıç şartı değildir. Kanunun 11. maddesi, eksik veya yanlış işlenen verinin düzeltilmesini isteme ve yapılan düzeltmenin verinin aktarıldığı üçüncü kişilere bildirilmesini talep etme haklarını tanır. Veri sorumlusu ise yanlışlığı kendi denetiminde öğrenmiş veya somut risk karşısında makul olarak fark etmesi beklenebilir hâle gelmişse başvuru beklememelidir. Başvuru usulü ve düzeltme hakkının ayrıntıları 18 ve 19. bölümlerde ele alınacaktır.¹⁷

Uygulamada denetim beş bağlantı üzerinden kurulabilir: veri hangi kaynaktan geldi; hangi amaçla ve ne zaman kullanılacak; değişme ihtimali nedir; yanlışlık kişi hakkında hangi kararı, aktarımı veya açıklamayı etkiler; düzeltme ana sistem, türetilmiş kayıtlar ve alıcılar boyunca nasıl yayılacaktır? Bu sorular, tarihsel kaydı yok etmeden güncel durumu görünür kılmayı ve doğrulama yükünü verinin gerçek riskine göre ayarlamayı sağlar. Doğruluk böylece bir defalık veri giriş kontrolü olmaktan çıkar; işleme süresince amaca uygun temsil ve düzeltilebilirlik yükümlülüğüne dönüşür.

7.3. Belirli, açık ve meşru amaçlar; sonradan amaç değişikliği

İşleme amacının önceden belirlenmesi, sonraki bütün hukukilik denetiminin başlangıç noktasıdır. Hangi verinin gerekli olduğu, kime aktarılabileceği, ne kadar saklanacağı ve ilgili kişinin kullanımı makul olarak bekleyip bekleyemeyeceği ancak amaç biliniyorsa değerlendirilebilir. Bu sebeple amaç, veri toplandıktan sonra eldeki veriye uygun bir gerekçe bulunarak kurulamaz; en geç elde etme anında belirlenmiş olmalıdır. Kanunun 4. maddesindeki “belirli, açık ve meşru” nitelemeleri, veri sorumlusunun yalnız bir hedef adı yazmasını değil, işleme faaliyetini sınırlandırmaya elverişli bir hedef ortaya koymasını gerektirir.¹⁸

“Belirli” amaç, kapsamı somut işleme bakımından çizilebilen amaçtır. “Hizmet kalitesini artırmak”, “gelecekteki ihtiyaçlar” veya “benzeri faaliyetler” gibi her kullanımı içine alabilecek ifadeler, hangi veri ve işlemlerin gerekli olduğunu sınamaya yetmez. Buna karşılık belirlilik, her zaman uzun ve teknik bir metin demek değildir. Gerekli ayrıntı; verinin niteliği, işlemenin bağlamı, ilgili kişiler üzerindeki risk ve farklı kullanım ihtimallerine göre belirlenir. Birbiriyle yakından bağlantılı operasyonel adımlar ortak bir amaç altında açıklanabilir; gerçek amaçla yalnız uzaktan ilişkili kullanımlar ise genel bir başlığın içine gizlenemez.¹⁹

“Açık” amaç, veri sorumlusunun iç dünyasında bilinen değil, ilgili kişi ile işlemi denetleyen veya yürütenlerin aynı esaslı anlamı çıkarabileceği şekilde dışa vurulmuş amaçtır. Kanunun 10. maddesi elde etme sırasında işleme ve aktarım amaçlarının bildirilmesini ister. Aydınlatma Tebliği de muğlak ifadeleri ve gelecekte gündeme gelebilecek başka amaçlar için veri işlenebileceği izlenimi veren anlatımı yasaklar. Bu nedenle yalnız “Kanunun 5 ve 6. maddeleri kapsamında” demek de yeterli değildir: amaç ile hukuki sebep ayrı unsurlardır; somut hedef ve o hedef için dayanılan işleme şartı ayrı ayrı gösterilmelidir.²⁰

Amacın “meşru” olması, yalnız Kanunun 5 veya 6. maddesinde bir işleme şartı bulunmasına indirgenemez. Amaç, veri sorumlusunun işi veya sunduğu hizmetle gerçek bir bağlantı kurmalı; veri koruma kurallarının yanı sıra sektörel yasaklar ve diğer uygulanabilir hukuk kurallarıyla da bağdaşmalıdır. Kurulun 2023/787 sayılı kararında özel hastanenin sağlık verilerini reklam amacıyla işlemesi, hastalardan açık rıza alınmış olsa bile sağlık kuruluşlarının reklam yasağı karşısında meşru kabul edilmemiştir. Rıza veya başka bir işleme şartı, hukukun yasakladığı bir amacı meşru hâle getirmez.²¹

Amaç ile hukuki sebebin ayrılması, sonradan kullanımda özellikle önemlidir. Kişisel veriyi ilk hedef dışında kullanmak da başlı başına bir işleme faaliyetidir. Kurulun 2019/78 sayılı karar özeti, petrol piyasası mevzuatı gereği tutulan plaka ve yakıt türü bilgilerinin hatalı yakıt dolumunu önlemek için yeni bir sisteme aktarılmasını yeni işleme saymıştır. Kurul, yeni amaç için ayrıca Kanunun 5. maddesinde bir şart bulunmasını, 4. maddedeki ilkelerin tümüne uyulmasını ve erişilebilir aydınlatma yapılmasını aramış; somut olayda zorunluluk ve denge incelemesi sonunda meşru menfaat şartını kabul etmiştir. Bu karar, amaç değişikliğinin mutlak yasak olmadığını; fakat ilk hukuki dayanağın yeni kullanıma kendiliğinden taşınmadığını gösterir.²²

Her teknik veya operasyonel adım ayrı amaç değildir. Veriyi yedeklemek, yetkili personele göstermek ya da hizmeti tamamlamak için gerekli bir sistemde işlemek, önceden belirlenmiş amacın gerçekleştirilme biçimi olabilir. Buna karşılık işlem yeni bir çıktı, yeni bir kişi grubu, yeni bir karar, yeni bir alıcı veya ilgili kişinin ilk ilişki içinde makul olarak beklemeyeceği yeni bir yarar üretiyorsa bağımsız amaç ihtimali güçlenir. Uygulamada iki soru yardımcıdır: Bu işlem ilk amaç gerçekleşmese yine yapılır mıydı; işlem ilgili kişi bakımından ilk amaçtan farklı bir sonuç veya risk doğuruyor mu? Olumlu cevap, yeni amacın ayrıca tanımlanıp hukuken değerlendirilmesini gerektirir.

Kurulun 2019/277 sayılı kararında, müşterinin kendisiyle ilgili banka işlemlerinde iletişim kurulması için verdiği telefon numarasının eşine ulaşmak için kullanılması amaç ilkelerine aykırı bulunmuştur. Numaranın bankanın elinde hukuka uygun biçimde bulunması, onu başka bir müşteri veya ilişki için kullanılabilir hâle getirmemiştir. Dergi aboneliği sırasında alınan telefon numarasının daha sonra bir gıda şirketinin reklamı için kullanılmasına ilişkin 2020/34 sayılı karar da ilk işlemenin hukuka uygunluğu ile sonraki kullanımın hukukiliğini ayırır. Eski sözleşmenin sona ermesi saklama sebebini ortadan kaldırdığı gibi reklam kullanımı da ayrıca hukuki sebep ve amaç değerlendirmesi gerektirmiştir.²³²⁴

Amaç değişirse yalnız hukuki sebebi yeniden adlandırmak yetmez. Aydınlatma Tebliğinin 5/1-b bendi, yeni amaçla işleme başlamadan önce bu amaç için ayrıca aydınlatma yapılmasını emreder. Veri kategorisi, kişi grubu, alıcı, saklama süresi ve güvenlik tedbirleri de yeni amaç bakımından yeniden sınanmalıdır. Yeni amaç için açık rıza düşünülüyorsa rıza ile aydınlatma ayrı işlemler olarak yürütülmeli; rıza, gereksiz veri toplamayı veya başka hukuk kurallarına aykırı amacı örten bir onay belgesine dönüştürülmemelidir.²⁵

Avrupa Birliği hukukundaki yaklaşım Türk hukuku için yararlı bir karşılaştırma sunar, fakat doğrudan uygulanabilir bir izin kuralı değildir. GDPR m.5/1-b, sonraki işlemenin ilk amaçla bağdaşmaz olmamasını ister; m.6/4 ise amaçlar arasındaki bağlantı, verinin toplandığı bağlam, verinin niteliği, kişi üzerindeki muhtemel sonuçlar ve güvenceler üzerinden bir uyumluluk değerlendirmesi kurar. 6698 sayılı Kanunda bu ölçütleri aynı işlev ve sonuçla sıralayan bir hüküm yoktur. Bu unsurlar Türk hukukunda ancak yeni işlemin dürüstlük, amaç, gereklilik, ölçülülük ve hukuki sebep denetimini somutlaştıran yardımcı sorular olarak kullanılabilir; yabancı hukuk kuralı Türk hukukundaki eksik dayanağın yerine geçirilemez.²⁶

Uygulamada amaç yönetimi, soyut bir politika cümlesiyle değil işlem envanteriyle yürütülmelidir. Her faaliyet için amaç, veri ve kişi kategorileri, işlem adımları, hukuki sebep, alıcılar ve saklama süresi eşleştirilmeli; yeni ürün, analiz, paylaşım veya karar modeli bu eşleşmeyi değiştiriyorsa değişiklik kontrolü başlatılmalıdır. Kontrolün çıktısı “eski amaç kapsamında”, “yeni ve ayrıca hukuka uygun amaç” veya “işlenemez” olmalıdır. Böylece amaç, sonradan doldurulan bir form alanı olmaktan çıkar; veri yaşam döngüsünü sınırlayan ve değişikliği görünür kılan bir yönetim ölçüsüne dönüşür.

7.4. Amaçla bağlantı, sınırlılık, gereklilik ve ölçülülük

Kanunun 4/2-ç maddesi, kişisel verilerin işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olmasını zorunlu tutar. Bu ilke çoğu kez “veri minimizasyonu” diye anılsa da yalnız veri alanlarının sayısını azaltmaktan ibaret değildir. İşlenecek veri kategorisini, kullanılacak yöntemi, işleme sıklığını, erişecek kişileri ve verinin açıklanacağı çevreyi belirlenmiş amaç karşısında sınar. Böylece 7.3’te belirlenen amaç, soyut bir beyan olmaktan çıkar; her somut işlem üzerinde uygulanabilen bir sınıra dönüşür.²⁷

Bağlantı, sınırlılık ve ölçülülük birbirinin yerine geçen sözcükler değildir. Bağlantı, seçilen veri ile yöntemin amacı gerçekleştirmeye elverişli ve amaçla gerçek bir ilişki içinde olmasını; sınırlılık, aynı sonuca daha az veri veya daha az müdahaleci bir yöntemle ulaşılabiliyorsa işlemenin bunun ötesine taşmamasını; ölçülülük ise sağlanacak yarar ile ilgili kişinin haklarına müdahalenin ağırlığı arasında makul bir denge kurulmasını gerektirir. Kurulun 2026/921 sayılı ilke kararındaki sınıflandırma da biyometrik işlemenin yöntemin amaca uygunluğu, alternatiflerin tüketilmesi ve müdahalenin boyutu yönlerinden ayrı ayrı değerlendirilmesini istemektedir.²⁸

Bu denetimin ilk adımı, “bu veri yararlı olabilir mi?” sorusu değildir. Yararlı veya ileride işe yarayabilecek çok sayıda bilgi bulunabilir; fakat ilke, belirli amacın gerçekleştirilmesi için hangi verinin ve hangi işlem biçiminin gerçekten gerekli olduğunu açıklamayı gerektirir. Veri sorumlusu bu sebeple her veri alanı bakımından işlevi, daha az veriyle aynı sonuca ulaşılıp ulaşılamayacağını ve ek verinin sağlayacağı marjinal yararın doğuracağı müdahaleyi haklı kılıp kılmadığını göstermelidir. Öğretide, Kanundaki bağlantılılık, sınırlılık ve ölçülülük unsurlarının birlikte, verinin yeterli, ilgili ve gerekli olanla sınırlı tutulmasını sağladığı görüşü ileri sürülmektedir; Kurumun Mart 2026 tarihli rehberi de yalnız amaca yönelik yeterli verinin temin edilmesini ve amaçla makul denge kurulmasını önermektedir.²⁹

İlke yalnız veri kategorisini değil, veriye uygulanan işlemi de sınırlar. Bir kimlik bilgisini görmek ile belgenin görüntüsünü kaydetmek; bir alana giriş saatini tutmak ile biyometrik şablon üretmek; güvenlik için görüntü almak ile konuşmaları da sürekli kaydetmek aynı yoğunlukta müdahaleler değildir. Amaç ilk işlemle karşılanabiliyorsa ikinci işlem ayrıca gerekçelendirilmelidir. Nitekim Kurul, otellerde ad, soyad ve T.C. kimlik numarasının kaydı ile kimlik belgesinin doğrulama amacıyla görülmesini hukuki dayanağı bulunan işlemler olarak ayırmış; belgenin fotokopisinin ayrıca kaydedilmesini gereğinden fazla bulmuştur. Sesli kamera kararında da güvenlik yararı görüntü kaydıyla elde edilebiliyorsa ek ses kaydının müdahaleyi ölçüsüz biçimde ağırlaştıracağını belirtmiştir.³⁰

Gereklilik, kişisel verinin hiç kullanılmamasının mümkün olup olmadığından başlayarak kademeli biçimde incelenmelidir. Kimliği açığa çıkarmadan sayısal bir sonuç yayımlamak, tam numara yerine maskelenmiş bir tanımlayıcı kullanmak veya belgeyi herkese açık tutmak yerine yalnız ilgili kişiye güvenli erişim sağlamak aynı amacı karşılayabiliyorsa daha ağır yöntem tercih edilmemelidir. Kurulun 2021/1214 sayılı karar özeti, yoklama listesinde kişileri ayırmak için ek tanımlayıcı gerekse dahi bu verinin maskelenmesini; açık biçimde görünmesi zorunlu değilse maskeleme veya anonimleştirme gibi araçların kullanılmasını istemiştir. Bu yaklaşım, veri minimizasyonunun yalnız toplama anında değil gösterme ve erişim biçiminde de uygulanacağını ortaya koyar.³¹

Biyometrik veriler, yöntemin kolay veya hataya dirençli olmasının gereklilik için yeterli olmadığını gösterir. Kurul, 2024/197 sayılı kararında ders yoklaması için parmak izi alınmasını açık rıza bulunsa dahi ölçülülük ilkesiyle bağdaşmaz görmüş; 2026/921 sayılı ilke kararında mesai takibinin kart, PIN, imza, RFID/NFC veya gözetimli giriş gibi daha az müdahaleci yollarla yapılmasını istemiştir. Önceki spor salonu kararları da giriş kontrolünde biyometrik yöntemin zorunlu veya seçimlik sunulmasının aşırı veri işlemeyi kendiliğinden meşrulaştırmadığını göstermektedir.³²

Bununla birlikte bu sonuç, biyometrik işlemenin her amaç ve ortamda mutlak olarak ölçüsüz olduğu şeklinde genellenemez. Kurumun Ağustos 2026 açıklaması, kritik altyapı veya yüksek güvenlik gerektiren alanlarda amacın mesai takibinden çıkarak kimlik doğrulama ve yetkilendirmeye dönüşebileceğini belirtir. Böyle bir durumda dahi veri sorumlusu, işlemi yalnız gerekli kritik alanlar ve kişilerle sınırlandırmalı; alternatif yöntemlerin neden yetersiz kaldığını ve biyometrik yöntemin somut güvenlik ihtiyacıyla ölçülü olduğunu ortaya koymalıdır. Belirleyici olan araç adı değil, amaç, bağlam, alternatifler ve müdahale yoğunluğudur.³³

Aynı kademelilik, çalışan iletişimlerinin denetlenmesinde de geçerlidir. Kurulun 2026/2035 sayılı ilke kararına göre kurumsal hesabın işverene ait olması sınırsız içerik erişimi sağlamaz. Önce daha az müdahaleci denetim yöntemleri değerlendirilmelidir; yazışma içeriğine ise kural olarak somut şüphe veya belirli olayla bağlantılı meşru amaç bulunduğunda ve amaçla sınırlı biçimde başvurulabilir. Trafik veya log kaydıyla karşılanabilecek ihtiyacın bütün yazışmaların genel ve sürekli incelenmesine dönüştürülmesi, teknik erişim imkânı bulunsa bile hukuki erişim yetkisi yaratmaz.³⁴

İnternet ortamında açıklama, aynı verinin kapalı bir sistemde işlenmesine göre daha geniş alıcı çevresi ve daha yüksek yayılma riski doğurur. Kurulun 2026/1301 sayılı ilke kararı, kamu kurumlarının yayımladığı sınav, kura ve benzeri belgelerde yalnız gerekli asgari veriyi kullanmasını; maskeleme, anonimleştirme ve mümkünse kişinin yalnız kendi sonucuna güvenli biçimde erişmesini istemiştir. Bu örnek, ölçülülüğün veri alanı kadar alıcı çevresini, erişim yöntemini ve açıklamanın sonuçlarını da kapsadığını gösterir. Bir veriyi işlemeye yetkili olmak, onu herkesin erişimine açma yetkisini kendiliğinden vermez.³⁵

Uygulamada her faaliyet için altı aşamalı bir kontrol yapılabilir: amaç somutlaştırılır; amacı gerçekleştirmeye elverişli veri ve işlem adımları belirlenir; kişisel veri kullanmayan veya daha az veri kullanan seçenekler karşılaştırılır; veri türü, kişi grubu, erişim yetkisi, işlem sıklığı ve açıklama çevresi asgari düzeye indirilir; kalan müdahale sağlanacak yarar ve risklerle dengelenir; seçimin gerekçesi ile alınan maskeleme, yetkilendirme ve benzeri güvenceler kaydedilir. Saklama süresi bu denetimin zamansal boyutunu oluşturur ve 7.5’te ayrıca ele alınacaktır. Sonuçta ilke, “toplanabilecek en çok veri”yi değil, belirli amaca ulaşmak için gerekçelendirilebilen en dar işleme faaliyetini esas alır.³⁶

7.5. Saklama süresinin sınırlandırılması

Saklama süresinin sınırlandırılması, veri minimizasyonunun zaman içindeki görünümüdür. Kanunun 4/2-d maddesi kişisel verilerin “ilgili mevzuatta öngörülen” veya “işlendikleri amaç için gerekli olan” süre kadar muhafaza edilmesini emreder. İlke, hukuka uygun elde edilmiş bir verinin süresiz tutulabileceği varsayımını reddeder: veri sorumlusu, veriye neden bugün de ihtiyaç duyduğunu açıklayabilmelidir.³⁷

Bu hüküm iki ayrı süre kaynağına işaret eder. İlgili mevzuat belirli bir saklama süresi öngörmüşse veri sorumlusu o özel düzenlemeyi, kapsadığı kayıt ve işlem bakımından uygular. Böyle bir süre yoksa saklama, somut işleme amacının gerektirdiği dönemle sınırlıdır. Kanuni saklama yükümlülüğü verinin o süre boyunca korunmasını gerektirebilir; fakat veriyi her amaçla aktif biçimde kullanma veya geniş bir çalışan çevresine açma yetkisini kendiliğinden doğurmaz. Operasyonel amaç sona ermiş, buna karşılık ispat veya denetim amacıyla saklama sürüyorsa erişim ve kullanım da kalan amaçla sınırlandırılmalıdır.³⁸

Bir saklama süresi yalnız “beş yıl” veya “on yıl” yazılarak belirlenmiş olmaz. Sürenin hangi olaydan başladığı, hangi veri ve kayıt ortamını kapsadığı, hangi olayla sona ereceği ve sona erdiğinde hangi işlemin yapılacağı da gösterilmelidir. Sözleşmenin kurulması, son işlem, üyeliğin iptali, iş ilişkisinin sona ermesi veya uyuşmazlığın kesinleşmesi farklı başlangıç noktalarıdır. Bu olaylar tanımlanmadığında aynı sayı farklı kişiler ve sistemler için belirsiz ya da fiilen süresiz saklamaya dönüşebilir.

Kurulun 2018/142 sayılı karar özeti bu önemi açıkça gösterir. Bankacılık Kanunundaki on yıllık saklama yükümlülüğü sebebiyle silme talebi reddedilmiş; Kurul, somut kişi bakımından sürenin bankadaki son işlemden itibaren henüz dolmadığını esas almıştır. 2024/292 sayılı karar özetinde ise Findeks verilerinin üyeliğin iptal edildiği tarihten itibaren on yıl saklanacağı açıklaması yeterli bulunmuştur. Her iki karar da belirli bir sayının yanında başlangıç olayının ve dayanağın gösterilmesini gerektirir; yayımlanmış özetlerden bütün finansal verilere tek bir on yıllık süre sonucu çıkarılamaz.³⁹

Saklama ile aktif kullanım da aynı işlem değildir. İmha Yönetmeliği “silme”yi, veriyi ilgili kullanıcılar için erişilemez ve tekrar kullanılamaz hâle getirme olarak tanımlar; teknik depolama, koruma ve yedeklemeden sorumlu kişi veya birimleri “ilgili kullanıcı” kavramının dışında tutar. Bu ayrım, başka bir hukuki yükümlülük sebebiyle korunması gereken kaydın gündelik iş akışında kullanılmaya devam etmesini zorunlu kılmaz. Arşivleme, erişim yetkisini daraltma ve farklı amaçlar için ayrıştırma, süresi devam eden saklamayı gereksiz aktif kullanıma dönüştürmemek için başvurulabilecek tedbirlerdir.⁴⁰

Kanunun 7. maddesi, işlenmesini gerektiren sebepler ortadan kalktığında verinin resen veya ilgili kişinin talebi üzerine silinmesini, yok edilmesini veya anonim hâle getirilmesini ister. Buradaki eşik yalnız ilk sözleşmenin veya ilişkinin sona ermesi değildir; aynı veri için geçerli bütün işleme sebepleri ayrı ayrı incelenmelidir. Bir amaç sona ererken kanuni saklama yükümlülüğü ya da somut bir hakkın kurulması, kullanılması veya korunması için zorunluluk devam edebilir. Böyle bir durumda veri bütünüyle serbestçe kullanılabilir sayılmaz; kalan veri, erişim ve süre devam eden sebebin gerektirdiği ölçüye indirilir. Sebeplerin tamamı ortadan kalktığında ise imha süreci işletilir.⁴¹

İmha Yönetmeliği bu ilkeyi kurumsal takvime dönüştürür. Sicile kayıtla yükümlü veri sorumluları, envanterle uyumlu bir saklama ve imha politikası hazırlamalı; politikada saklama ve imha sebeplerini, süre tablosunu, sorumluları, tedbirleri ve periyodik imha aralığını göstermelidir. Politika hazırlama yükümlülüğü bulunmayanların saklama ve imha yükümlülüğü de devam eder. Politika hazırlayanlar, yükümlülüğün doğduğu tarihi izleyen ilk periyodik imhada işlem yapar ve bu aralık altı ayı geçemez; politika hazırlama yükümlülüğü bulunmayanlar için Yönetmelik üç aylık süre öngörür. Politika belgesinin varlığı tek başına fiilî uyumu kanıtlamaz.⁴²

İnternette yayımlama, sürenin ayrıca işlem biçimi bakımından belirlenmesini gerektirir. Kurulun 2026/1301 sayılı ilke kararı, kamu kurumlarının kişisel veri içeren paylaşımlarının yayında kalma sürelerini belirlemesini ve süre sonunda kaldırma, silme, yok etme veya anonimleştirme işlemlerini yürütmesini ister. Bir duyurunun kamusal erişimden kaldırılması ile verinin kurumun iç sistemlerinde hukuki bir sebeple saklanması farklı işlemlerdir. Yayımdaki amaç sona erdiğinde iç saklama sebebi devam etse bile herkesin erişimi sürdürülmemelidir; iç saklama sebebi de sona ermişse imha gündeme gelir.⁴³

Otel kimlik fotokopisine ilişkin 2025/2120 sayılı ilke kararı, yeni ve mevcut kayıtlar arasındaki ilişkiyi somutlaştırır. Kurul yalnız gelecekte fotokopi alınmamasını değil, daha önce kaydedilmiş fotokopilerin de Kanunun 7. maddesi ve İmha Yönetmeliği uyarınca imha edilmesini istemiştir. Hukuka uygun dayanağı bulunmayan veya amacı sona eren veriyi yalnız yeni sistemde toplamayı durdurmak yeterli değildir; eski kopyalar, türetilmiş kayıtlar ve ilgili kayıt ortamları da imha sürecinin kapsamına alınmalıdır.⁴⁴

Uygulamada her veri kategorisi için beş unsur birlikte kaydedilmelidir: saklama amacı ve hukuki dayanak; süreyi başlatan olay; varsa kanuni süre, yoksa amaç için gereklilik ölçütü; aktif kullanımın ne zaman ve nasıl daraltılacağı; sürenin sonunda uygulanacak imha yöntemi ve sorumlu birim. Düzenli gözden geçirme, süresi dolduğu hâlde işaretlenmemiş kayıtları ve fiilî uygulamayla politika arasındaki farkları ortaya çıkarır. Yedeklerden silme, imha yöntemleri, talepler ve üçüncü kişilere bildirim 14. bölümde ayrıntılandırılacaktır; burada belirleyici sonuç, saklama süresinin veri yaşam döngüsünün başında gerekçelendirilip izlenmesi gereken bağımsız bir genel ilke olmasıdır.⁴⁵

7.6. İşleme şartı, aydınlatma, güvenlik ve ilkelerin birlikte değerlendirilmesi

Kişisel veri işlemenin hukuka uygunluğu tek bir onay kutusuyla veya tek bir kanun maddesiyle kurulmaz. Somut faaliyet en az dört ayrı soruya cevap vermelidir: İşleme Kanunun 5 veya 6. maddesindeki hangi şarta dayanıyor; amaç, kapsam, yöntem ve süre 4. maddedeki ilkelere uygun mu; ilgili kişi 10. madde ve Aydınlatma Tebliği uyarınca bilgilendirildi mi; 12. maddedeki güvenlik ve denetim tedbirleri alındı mı? Bu sorular aynı faaliyetin farklı yönlerini denetler ve kural olarak birlikte uygulanır.⁴⁶

İşleme şartı, verinin işlenebilmesinin hukuki dayanağını gösterir; genel ilkeler ise bu yetkinin nasıl kullanılacağını sınırlar. Bir sözleşmenin ifası veya hukuki yükümlülük sebebiyle veri işlemek mümkün olsa bile amaç belirsiz, veri miktarı aşırı, kayıt yanlış veya saklama süresi gereksiz uzun olabilir. Tersinden, son derece ölçülü ve güvenli bir sistem kurulmuş olması da Kanunun 5 veya 6. maddesinde dayanak bulunmayan işlemi hukuka uygun hâle getirmez. Bu sebeple “dayanak var mı?” ve “dayanağa uygun işlem nasıl yürütülüyor?” soruları ayrı kaydedilmelidir.⁴⁷

Aydınlatma da bir işleme şartı değildir. İlgili kişiye veri sorumlusunun kimliği, amaç, alıcılar, toplama yöntemi, hukuki sebep ve haklar hakkında bilgi verilmesi, işlemi görünür ve denetlenebilir kılar; fakat bildirilen işlem hukuka aykırıysa bildirim bu aykırılığı gidermez. Buna karşılık açık rıza veya başka bir işleme şartının bulunması da aydınlatma yükümlülüğünü ortadan kaldırmaz. Aydınlatma Tebliği, rızaya veya diğer şartlara dayanan her işlemde aydınlatma yapılmasını ve dayanılan 5 veya 6. madde şartının açıkça belirtilmesini ister.⁴⁸

Açık rıza ile aydınlatmanın ayrılması bu yapının özel önem taşıyan sonucudur. Aydınlatma veri sorumlusunun yerine getirmesi gereken bir yükümlülüktür; ilgili kişinin işlemeyi kabul ettiği anlamına gelmez. Açık rıza ise yalnız ona dayanan işlem bakımından ilgili kişinin belirli, bilgilendirilmiş ve özgür iradesini gösterir. Kurulun 2026/347 sayılı ilke kararı, iki metnin iç içe geçirilmesini, aydınlatma için onay istenmesini ve “Kanunun 5 ve 6. maddeleri kapsamında” gibi muğlak hukuki sebep anlatımlarını hukuka aykırı uygulamalar arasında saymıştır. Başka bir şart varsa ilgili kişiye gereksiz bir rıza metni sunmak, dayanağı belirsizleştirip geri almanın sonucu konusunda yanıltabilir.⁴⁹

Veri güvenliği de hukukilik denetiminin yerine geçmez. Şifreleme, yetkilendirme veya erişim kaydı, ölçüsüz toplanmış ya da dayanağı bulunmayan veriyi hukuka uygun kılmaz. Buna karşılık hukuki sebebi ve amacı bulunan veri de yeterli tedbir alınmadan işlenemez. Kanunun 12. maddesi veri sorumlusuna hukuka aykırı işlemeyi ve erişimi önleme, veriyi muhafaza etme, denetim yapma ve amaç dışı kullanımı engelleme yükümlülükleri getirir. Böylece ilke ve işleme şartları “hangi işlemin meşru sınırı içinde kalacağını”, güvenlik tedbirleri ise bu sınırın organizasyon ve sistemlerde nasıl korunacağını tamamlayıcı biçimde belirler.⁵⁰

Yükümlülüklerin birlikte uygulanması, belgelerin birbiriyle ve fiilî uygulamayla tutarlı olmasını gerektirir. Envanterde hukuki yükümlülük denilen bir işlem aydınlatmada açık rızaya; politikada üç yıllık görünen saklama fiilen süresiz arşive; yalnız yetkili personele açık olduğu belirtilen sistem herkesin erişimine dönüşmemelidir. Belge tutarlılığı tek başına yeterli değildir: doğru yazılmış bir metin, yanlış kurulmuş yetkiyi veya amaç dışı kullanımı düzeltmez. Denetim, veri akışının elde etme, kullanma, erişim, aktarım, saklama ve imha adımlarında aynı amaç ve dayanakla yürüyüp yürümediğine bakmalıdır.

Kurulun 2026/2035 sayılı çalışan iletişimi ilke kararı bu bütünleşik incelemeyi açıkça kurar. Kurul, e-posta ve diğer iletişim kanallarının denetlenmesini aynı anda işleme şartlarına, genel ilkelere, aydınlatma ve güvenlik yükümlülüklerine tabi tutmuş; işverene ait teknik araçların sınırsız hukuki yetki vermediğini belirtmiştir. Somut amaç ve hukuki sebep gösterilmeli, çalışan önceden ve yeterli açıklıkta bilgilendirilmeli, daha az müdahaleci yöntemler değerlendirilmeli ve içerik erişimi yetkili kişilerle sınırlandırılmalıdır. Bu unsurlardan birinin varlığı diğer eksikleri kapatmaz.⁵¹

Kurulun 2025/1072 sayılı ilke kararı ise dijital arayüzde işlemlerin birbirine karıştırılmasının sonucunu gösterir. Tek bir SMS doğrulama koduyla üyelik sözleşmesini onaylama, kişisel veri işleme izni alma ve ticari ileti onayı verme gibi farklı işlemlerin yürütülmesine son verilmesi istenmiştir. Kodun amacı ve sonucu ilk aşamada açıklanmalı; aydınlatma kanalı sağlanmalı; rıza gereken amaçlar için ayrı seçenek sunulmalı ve hizmet rızaya bağlanmamalıdır. Kullanıcı arayüzündeki tek hareket, hukuken farklı irade, bilgi verme ve işleme faaliyetlerini tek işleme dönüştürmez.⁵²

Uygulamada her veri akışı için dört sütunlu bir denetim kaydı tutulabilir. Birinci sütunda veri ve işlem bazında hukuki sebep; ikincide amaç, veri kapsamı, yöntem ve süreye ilişkin genel ilke testi; üçüncüde aydınlatmanın içeriği, zamanı, kanalı ve ispatı; dördüncüde erişim, saklama, aktarım ve denetim tedbirleri yer alır. Ardından kayıtlar fiilî sistem ve sözleşmelerle karşılaştırılır. Bu çalışma sırası, aydınlatma metnini hukukilik belgesi, rızayı bütün amaçları kapsayan yetki veya güvenlik sertifikasını bütün uyumun kanıtı sayma hatasını önler.⁵³

İşleme şartlarının tek tek kapsamı 8. bölümde, açık rızanın oluşumu ve yönetimi 9. bölümde, aydınlatmanın içeriği ve yöntemi 11. bölümde, veri güvenliği tedbirleri 15. bölümde ayrıntılandırılacaktır. Buradaki sonuç, bu kurumların birbirinden kopuk kontrol listeleri olmadığı kadar birbirlerinin yerine de geçmediğidir: hukuka uygun işleme, her birinin kendi işlevini yerine getirdiği ve aynı somut veri akışında tutarlı biçimde birleştiği ölçüde kurulabilir.

7.7. Hesap verebilirlik ve tasarımdan itibaren korumanın Türk hukukundaki dayanakları

Hesap verebilirlik, veri sorumlusunun yalnız kurallara uymasını değil, uyumun nasıl sağlandığını gösterebilmesini de anlatır. GDPR bu iki unsuru açıkça düzenler: 5. maddenin ikinci fıkrası veri sorumlusunu ilkelere uygunluktan sorumlu tutup uygunluğu gösterebilmesini ister; 24. madde riskle orantılı tedbirlerin uygulanmasını, gözden geçirilmesini ve gerektiğinde güncellenmesini öngörür; 25. madde ise veri koruma ilkelerinin tasarıma ve varsayılan ayarlara yerleştirilmesini ayrıca yükümlülük hâline getirir.⁵⁴

İncelenen 6698 sayılı Kanun hükümleri aynı kavramları GDPR m.5/2, 24 ve 25’teki yapı ve açıklıkta genel bir ilke olarak adlandırmaz. Bu tespit, Türk hukukunda sonucu olmayan bir boşluk bulunduğu anlamına gelmez. Kanunun 12. maddesi gerekli teknik ve idari tedbirlerle birlikte kurum içi denetimi; 16. maddesi ise işleme amacı, veri ve kişi kategorileri, alıcılar, güvenlik tedbirleri ve azami süre hakkında bildirim yapılmasını düzenler. Aydınlatmanın yerine getirildiğine ilişkin ispat yükü ile envanter, saklama ve imha politikası ve imha kayıtları da belirli yükümlülükler bakımından uyumu görünür kılan araçlardır.⁵⁵

Bu nedenle Türk hukukunda iki düzeyi ayırmak gerekir. Birinci düzey, dayanağı doğrudan gösterilebilen kayıt, bildirim, denetim, politika ve ispat yükümlülükleridir. İkinci düzey ise bunları tek bir yönetim anlayışı içinde birleştiren “hesap verebilirlik” yaklaşımıdır. İkinci düzey yorum ve iyi uygulama değeri taşır; fakat açık kanuni dayanak olmadan GDPR’daki her aracı Türk hukukunda genel ve bağımsız bir yükümlülüğe dönüştürmez. Öğretide de hesap verebilirliğin 6698 sayılı Kanunda açıkça zikredilmediği, buna karşılık VERBİS, envanter, politikalar ve denetimin yaklaşımın işlevsel parçaları olduğu belirtilmektedir.⁵⁶

Hesap verebilirliğin uygulamadaki karşılığı belge yığmak değildir. Kayıt, somut veri akışındaki kararı yeniden kurmaya elverişli olmalıdır: hangi veri hangi amaçla ve hukuki sebeple işlendi; neden daha az veri veya daha az müdahaleci yöntem yetmedi; kimler erişti; hangi süre seçildi; değişiklik ne zaman değerlendirildi ve tedbirin etkili olduğu nasıl doğrulandı? Envanter veya politika fiilî sistemden kopuksa ispat değeri zayıflar. Kanunun 12. maddesindeki denetim yükümlülüğü de yalnız belgenin varlığına değil, hükümlerin kurum içinde uygulanmasının sağlanmasına yöneliktir.⁵⁷

Tasarımdan itibaren koruma, veri işleme başladıktan sonra eksiklerin düzeltilmesine indirgenemez. Amaç ve vasıtalar belirlenirken veri kategorileri, varsayılan erişim çevresi, saklama ve silme mekanizması, ilgili kişi haklarının kullanılacağı kanallar ve tedarikçi gereksinimleri birlikte düşünülür. EDPB’nin GDPR m.25’e ilişkin nihai rehberi bu yaklaşımın planlama aşamasında başlayıp mevcut sistemlerde de düzenli etkililik incelemesiyle sürmesini ister. Kurumun Kasım 2025 tarihli Üretken Yapay Zekâ Rehberi de hak kullanma mekanizmalarının tasarım ve geliştirmeden itibaren kurulmasını, veri akışlarının izlenebilirliğini ve tasarımdan/varsayılan olarak mahremiyet yaklaşımlarını tavsiye eder.⁵⁸

Varsayılan ayar, kullanıcının sonradan koruyucu seçeneği bulmasına güvenmeden, belirli amaç için gerekli veri, erişim, kullanım ve süreyle sınırlı başlangıç durumudur. Formdaki isteğe bağlı alanların boş gelmesi, profilin herkese açık olmaması, erişim yetkisinin iş rolüyle sınırlanması ve saklama süresinin sistemde uygulanması bu düşüncenin örnekleridir. Bunlar aynı zamanda 6698 sayılı Kanunun amaçla bağlantı, sınırlılık, ölçülülük ve süre ilkelerini uygulamaya çevirebilir. Ne var ki GDPR m.25’teki bağımsız yükümlülüğün bütün hukuki sonuçları, yalnız benzer işlevden hareketle Türk hukukuna taşınamaz.⁵⁹

Aynı sınır veri koruma etki değerlendirmesi için de geçerlidir. Yüksek riskli bir yeni teknoloji veya kapsamlı izleme faaliyeti öncesinde amaç, gereklilik, ölçülülük, risk ve tedbirlerin yazılı değerlendirilmesi; Kanunun 4. ve 12. maddelerine uyumu destekleyen güçlü bir yöntemdir. Buna karşılık incelenen genel Türk hükümlerinde GDPR m.35’e denk, bütün veri sorumlularına uygulanacak müstakil bir etki değerlendirmesi rejimi bulunmadığı öğretide özellikle vurgulanmaktadır. Rehber tavsiyesi veya belirli bir aktarım aracındaki özel koşul, kanuni düzenleme olmadan genel yükümlülük diye sunulmamalıdır.⁶⁰

Tasarım kararı bir defalık değildir. Yeni amaç, veri kategorisi, alıcı, sağlayıcı, model, arayüz, saklama süresi veya erişim rolü eklendiğinde önceki değerlendirmenin geçerliliği yeniden sınanır. Değişiklik kaydı; kararın sahibini, incelenen seçenekleri, seçimin dayanağını, kalan riski ve gözden geçirme tarihini göstermelidir. Böylece hesap verebilirlik, ihlalden sonra hazırlanmış açıklama olmaktan çıkar; ilkelerin ürün, süreç ve organizasyon kararlarına zamanında etki etmesini sağlar.⁶¹

Uygulamada yeni veya önemli ölçüde değişen her veri akışı için yedi soruluk kısa bir tasarım kaydı yeterli bir başlangıçtır: amaç ve hukuki sebep nedir; gerekli en az veri hangisidir; varsayılan erişim ve görünürlük kimlerle sınırlıdır; süre ve imha tetikleyicisi nedir; ilgili kişi haklarını hangi kanaldan kullanacaktır; başlıca riskler ile seçilen tedbirler nelerdir; tedbirin etkisi ne zaman ve kim tarafından sınanacaktır? Cevaplar envanter, aydınlatma, sözleşme, yetki matrisi ve fiilî sistemle karşılaştırılmalıdır. Bu kayıt, yükümlülüğün kendisi değil, ayrı hükümlere uyumu kuran ve doğrulayan bir çalışma aracıdır.⁶²

Kurumsal roller, eğitim ve denetim programı 17. bölümde; güvenlik tedbirleri 15. bölümde; yaptırım ve sorumluluk sonuçları 20. bölümde ayrıntılandırılacaktır. Buradaki sonuç daha sınırlıdır: 6698 sayılı Kanunda GDPR ile özdeş bir genel hüküm bulunmasa da ilkelere uyumu işlemden önce kurmak, uygulama sırasında izlemek ve ilgili özel yükümlülükler ölçüsünde gösterebilmek için Türk hukukunda kullanılabilecek normatif ve işlevsel dayanaklar vardır.

Bölümün dipnotları

İçindekiler · Ayrıntılı kitap planı