Kişisel verilerin korunmasına ilişkin mevzuatın Avrupa Birliği standartlarıyla uyumlaştırılması için yeni takvim

Türkiye’nin kişisel verilerin korunmasına ilişkin mevzuatını Avrupa Birliği’nin Genel Veri Koruma Tüzüğü’yle (GDPR) uyumlu hâle getirme çalışmaları için 2027 yılı hedef olarak belirlendi. Konu, 27 Ekim 2026 tarihinde Resmî Gazete’de yayımlanan 2027 Yılı Cumhurbaşkanlığı Yıllık Programı ve daha önce açıklanan 2027–2029 Orta Vadeli Program kapsamında gündeme geldi. Programlarda yer alan hedefler, Türkiye’nin kişisel verilerin korunması alanındaki düzenlemelerini Avrupa Birliği standartlarına yaklaştırma çalışmalarının devam edeceğini gösteriyor.

KVKK’nın GDPR ile uyumlaştırılması, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun Avrupa Birliği veri koruma standartlarıyla daha uyumlu hâle getirilmesini ifade ediyor. Ancak bu süreç, KVKK’nın yürürlükten kalkacağı veya Türkiye’de doğrudan GDPR hükümlerinin uygulanmaya başlayacağı anlamına gelmiyor. Burada söz konusu olan, mevcut mevzuatın ve uygulamaların belirlenen hedef doğrultusunda gözden geçirilmesi.

2027 Hedefi Cumhurbaşkanlığı Yıllık Programı’nda Yer Aldı

Aktarılan bilgilere göre 2027 Yılı Cumhurbaşkanlığı Yıllık Programı’nda, Kişisel Verilerin Korunması Kanunu’nun GDPR başta olmak üzere Avrupa Birliği müktesebatına uyumuna yönelik çalışmaların tamamlanmasını öngören bir tedbir bulunuyor. Tedbirin numarası ve sorumlu kurumuna ilişkin bilgiler (Tedbir 359.2, Adalet Bakanlığı) henüz resmî metin üzerinden doğrulanamadığından, bu ayrıntıların Yıllık Program’ın tam metninden kontrol edilmesi gerekiyor.

Söz konusu hedefin yıllık programa alınması, uyum çalışmalarının kamu politikası kapsamında takip edilecek faaliyetler arasına girdiğini gösteriyor. Yıllık Program’da yer alan tedbirler, üçer aylık dönemler hâlinde izlenerek değerlendiriliyor.

6 Eylül 2026’da yayımlanan 2027–2029 Orta Vadeli Program’da da uyum süreci için 2027 yılının üçüncü çeyreği hedef gösteriliyor. Ancak bu tarihin de programın resmî metni üzerinden teyit edilmesi gerekiyor. Bir önceki 2026–2028 Orta Vadeli Program’da ise çalışmaların 2026’nın üçüncü çeyreğinde tamamlanması öngörülüyordu. Yeni takvim, hedeflenen tarihin bir yıl ileriye alındığına işaret ediyor.

Öte yandan hangi kanun maddelerinin nasıl değiştirileceğini ortaya koyan kapsamlı bir kanun teklifi veya nihai ikincil düzenlemeler henüz kamuoyuyla paylaşılmış değil. Dolayısıyla 2027 için belirlenen hedef, mevcut KVKK yükümlülüklerinin şimdiden değiştiği anlamına gelmiyor.

KVKK ile GDPR Arasındaki Temel Farklar Neler?

KVKK ve GDPR, kişisel verilerin hukuka uygun, şeffaf ve belirli amaçlar doğrultusunda işlenmesi konusunda benzer ilkelere dayanıyor. Her iki düzenleme de veri minimizasyonu, amaçla sınırlılık, doğruluk ve veri güvenliği gibi esasları öne çıkarıyor. Kişisel veri sahiplerinin verilere erişme, düzeltme ve silme hakları da iki mevzuatın ortak noktaları arasında bulunuyor.

Bununla birlikte iki düzenleme arasında kapsam ve uygulama bakımından önemli farklılıklar var. GDPR, Avrupa Birliği dışında faaliyet gösteren bir kuruluşun belirli koşullarda AB’de bulunan kişilere ait verileri işlemesi durumunda da uygulanabiliyor. KVKK ise Türkiye’deki veri işleme faaliyetlerini ve Türkiye ile bağlantılı kişisel veri işleme süreçlerini esas alıyor.

Yurt dışına veri aktarımı da uyum sürecinin önemli başlıklarından biri. Türkiye’de kişisel verilerin yurt dışına aktarılması, kanunda yapılan son değişikliklerin ardından yeterlilik kararı, uygun güvenceler veya belirli istisnalar kapsamında gerçekleştiriliyor. GDPR tarafında ise yeterlilik kararlarının yanı sıra standart sözleşme maddeleri ve bağlayıcı şirket kuralları gibi mekanizmalar kullanılıyor.

Bu alandaki düzenlemelerin birbirine yaklaştırılması, Türkiye ile Avrupa Birliği arasında veri aktarımı gerçekleştiren kuruluşlar açısından daha öngörülebilir bir çerçeve oluşturabilir. Özellikle iki farklı mevzuata aynı anda uyum sağlamak zorunda olan şirketler için bu konu önem taşıyor.

Şirketler ve Kamu Kurumları İçin Neler Değişebilir?

Uyum çalışmalarının tamamlanmasıyla birlikte veri sorumlularının mevcut süreçlerini yeniden gözden geçirmesi gerekebilir. Aydınlatma metinleri, açık rıza süreçleri, veri işleme envanterleri, saklama politikaları ve yurt dışına veri aktarım prosedürleri bu kapsamda değerlendirilebilecek başlıklar arasında yer alıyor. Özellikle Avrupa Birliği ülkelerinde müşterisi, çalışanı veya iş ortağı bulunan şirketlerin hem KVKK hem de GDPR kapsamındaki yükümlülüklerini takip etmesi önemini koruyor.

Olası düzenlemelerde veri sahibi haklarının kapsamının genişletilmesi, otomatik karar verme ve profilleme süreçlerine ilişkin güvencelerin artırılması, veri taşınabilirliği hakkının daha açık düzenlenmesi ve veri ihlali bildirim sürelerinin netleştirilmesi gibi konular gündeme gelebilir. Ancak bunların tamamı henüz kesinleşmiş değişiklikler değil. Mevcut KVKK ile GDPR arasındaki farklılıklar dikkate alındığında, bu başlıklar uyum sürecinde ele alınabilecek muhtemel çalışma alanları olarak değerlendirilmeli.

Kamu kurumlarının da kişisel veri işleme süreçlerini, dijital hizmetlerini ve kurumlar arası veri paylaşım uygulamalarını olası yeni düzenlemelere göre gözden geçirmesi beklenebilir. Özellikle yapay zekâ sistemlerinin hem kamu hem de özel sektörde daha yaygın kullanılmaya başlanması, kişisel verilerin hangi amaçlarla ve ne kadar süreyle işlendiği konusunu daha da önemli hâle getiriyor.

İşletmelerin Hazırlıklara Şimdiden Başlaması Gerekiyor

2027 yılında tamamlanması hedeflenen çalışmalar yürürlüğe girene kadar mevcut KVKK yükümlülükleri geçerliliğini koruyacak. Bu nedenle işletmelerin yeni düzenlemeleri bekleyerek veri koruma çalışmalarını ertelemesi doğru bir yaklaşım olmayacaktır.

Kuruluşların öncelikle hangi kişisel verileri işlediğini, bu verilerin hangi sistemlerde saklandığını ve kimlerle, hangi ülkelerle paylaşıldığını belirlemesi gerekiyor. Bunun ardından aydınlatma metinleri, sözleşmeler, açık rıza kayıtları, erişim yetkileri ve veri ihlallerine müdahale planları yeniden değerlendirilebilir.

KVKK’nın GDPR ile uyumlaştırılması, yalnızca kişisel verilerin korunmasına ilişkin mevzuat açısından değil, Türkiye’nin Avrupa Birliği ile dijital ticaret ve veri paylaşımı ilişkileri bakımından da önem taşıyor. Çalışmaların tamamlanmasıyla birlikte Türkiye’deki veri koruma kurallarının uluslararası uygulamalarla daha uyumlu ve işletmeler açısından daha öngörülebilir bir yapıya kavuşması hedefleniyor.