KVKK 2026 gelişmeleri: ilke kararları ve veri operasyonuna etkisi

2026, Kişisel Verileri Koruma Kurumu’nun veri sorumlularından beklentisini somutlaştırdığı bir yıl oldu. İki ilke kararı, bir dizi kamuoyu duyurusu, bir webinar ve yenilenen rehberler, uyumun artık belge dosyasında değil, verinin fiilen bulunduğu sistemlerde ölçüleceğini gösteriyor. Bu yazı, kvkk.gov.tr üzerinde yayımlanan 2026 gelişmelerini sıralar ve her birinin bir veri sorumlusunun günlük operasyonunda neyi değiştirdiğini açıklar.

Bu yazı hukuki tavsiye değildir; her kararın kuruma özgü yorumu hukuk biriminizle doğrulanmalıdır.

2026’da Kurum’un gündemi neden farklı

Kurum’un önceki yıllardaki üretimi ağırlıklı olarak rehberler ve karar özetleriydi. 2026’da ise iki ilke kararı, işyerindeki iki yaygın uygulamayı doğrudan hedef aldı: mesai takibi için biyometrik veri kullanımı ve kurumsal e-posta ile iletişim kanallarının denetlenmesi. Her iki konu da neredeyse her orta ve büyük ölçekli kurumda mevcut bir sistemle, bir sözleşme maddesiyle ve bir arşivle ilişkilidir.

Bunun yanında Kurum, 10 Eylül 2026 tarihli “Seçilmiş Güncel Gelişmeler” başlıklı bir derleme yayımladı; 13 Ekim 2026 tarihli “Kişisel Verilerin Korunmasında Güncel Gelişmeler: 2026 İlke Kararları ve Kamuoyu Duyuruları” webinarını duyurdu; “Klinik Araştırmalarda Kişisel Verilerin Korunması Çalıştayı” ve “Yapay Zekâ Çağında Kişisel Veri Korunması” sempozyumu gibi etkinlikleri gündemine aldı. Ekim 2026’da Kurum birden fazla veri ihlali bildirimini kamuoyuyla paylaştı.

Bu tablo, uyum ekipleri için tek bir mesaja indirgenebilir: Kurum, ilkeleri belirli iş süreçlerine uyguluyor ve bu süreçlerde biriken verinin nasıl yönetildiğini sorguluyor. Soru “politikanız var mı” olmaktan çıkıp “veri nerede, kim erişiyor, ne kadar süre saklıyorsunuz ve bunu kanıtlayabiliyor musunuz” hâline geliyor.

Mesai takibi amacıyla biyometrik veri: 2026/921 sayılı İlke Kararı

Kurum’un 27 Ağustos 2026 tarihli kamuoyu duyurusu, 29 Nisan 2026 tarihli ve 2026/921 sayılı “Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı”na ilişkin görüş taleplerine yanıt niteliğindedir. Karar 2 Haziran 2026’da Resmî Gazete’de yayımlanmıştır. Duyurunun özü nettir: yalnızca mesai takibi amacıyla biyometrik veri işlenmesi hiçbir işleme şartına dayanmamaktadır ve açık rıza alınmış olsa bile ölçülülük sağlanmamaktadır.

Duyuru iki teknik yanılgıyı da düzeltir. Birincisi, parmak izi, damar izi ve avuç içi verisinin biyometrik olduğu; ikincisi, bu verinin koda çevrilerek (şablon veya hash olarak) saklanmasının biyometrik niteliği ortadan kaldırmadığıdır. Pek çok kurumda “cihaz ham görüntüyü saklamıyor, sadece bir kod üretiyor” açıklaması bu nedenle artık yeterli bir savunma değildir.

Karar sınırlıdır: yalnızca mesai takibi amaçlı işlemeleri kapsar. Yüksek güvenlik riski taşıyan tesislerde kritik alan erişimi için sınırlı ve ölçülü kullanım mümkün olarak belirtilmiştir. Yani bir veri merkezinin sunucu odasına giriş kontrolü ile bir ofisin giriş-çıkış saati takibi aynı değerlendirmeye tabi değildir.

Veri operasyonu açısından bu kararın ilk sonucu bir keşif sorusudur: biyometrik şablonlar, cihaz logları ve bunların dışa aktarılmış kopyaları (çoğunlukla CSV ya da Excel olarak bir İK klasöründe) nerede durmaktadır? İkinci sonuç bir imha sorusudur: amacı ortadan kalkan bu kayıtların silinmesi veya anonimleştirilmesi gerekir ve bunun yapıldığı kanıtlanmalıdır.

Kurumsal e-posta ve iletişim kanallarının denetimi: 2026/2035 sayılı İlke Kararı

Kurulun 16 Eylül 2026 tarihli ve 2026/2035 sayılı İlke Kararı, işverenlerin çalışanlara tahsis ettiği kurumsal e-posta hesapları başta olmak üzere işin yürütülmesi amacıyla kullanılan iletişim kanallarının denetlenmesinde uyulması gereken usul ve esasları belirler. Karar, denetimi işverenin yönetim hakkı ile çalışanın özel hayat ve haberleşme hürriyeti arasında “adil bir denge” gerektiren bir veri işleme faaliyeti olarak tanımlar.

Kararın en çok alıntılanacak ayrımı, “teknik olarak erişebilir olma ile hukuken erişebilir olma” arasındaki farktır. Aracın işverene ait olması sınırsız denetim yetkisi vermez. Kurallar açık, anlaşılır ve bilinebilir olmalı; genel bir bildirim yeterli görülmemekte, denetimin amacı, kapsamı, yöntemi ve saklama süresi açıkça anlatılmalıdır. Açık rıza, iş ilişkisinde her durumda öncelikli dayanak olamaz.

Ölçülülük ve kademelilik ilkesi gereği içerik incelemesi yalnız somut şüphe veya olayla sınırlı tutulmalı; “kapsamı belirsiz, genel ve sürekli” içerik incelemelerinden kaçınılmalıdır. Erişim sınırlı personelle yapılmalı, erişim kayıtları tutulmalı ve saklama süresi sınırlı olmalıdır. İş ilişkisi sona erdiğinde veriler süresiz erişilebilir değildir.

Bu karar, operasyon ekipleri için iki ayrı veri kümesini öne çıkarır: canlı posta kutuları ve arşiv dosyaları (PST, OST, MSG). Ayrılan çalışanların posta arşivleri çoğunlukla bir dosya sunucusunda, bir yedek diskinde veya bir SharePoint kütüphanesinde yıllarca kalır ve kimin açabildiği bilinmez. Kararın “erişim kayıtları” ve “süresiz erişilebilir değildir” vurguları doğrudan bu arşivleri hedefler. Konuyu kurumsal e-posta denetimi ilke kararı yazısında ayrıntılı ele alıyoruz.

Webinar, çalıştay ve sempozyum: Kurum’un tartışma gündemi

Kurum’un 13 Ekim 2026 tarihli webinarının başlığı, yılın çerçevesini özetler: “Kişisel Verilerin Korunmasında Güncel Gelişmeler: 2026 İlke Kararları ve Kamuoyu Duyuruları”. Kurum’un ilke kararlarını ve duyurularını bir eğitim etkinliğiyle birlikte sunması, bu kararların uygulamada nasıl okunacağının önemsendiğini gösterir.

“Klinik Araştırmalarda Kişisel Verilerin Korunması Çalıştayı”, sağlık verisinin araştırma amacıyla işlendiği senaryoları gündeme taşır. Bu, özel nitelikli verinin en yoğun biriktiği alanlardan biridir: hasta dosyaları, ICD kodlu tanılar, laboratuvar sonuçları ve bunların araştırma ekipleriyle paylaşılan kopyaları. “Yapay Zekâ Çağında Kişisel Veri Korunması” sempozyumu ise kişisel verinin model eğitimi ve üretken yapay zekâ kullanımında nasıl ele alınacağını tartışmaya açar.

Bu etkinliklerin içeriği üzerine yorum yapmaktan kaçınıyoruz; başlıkları ve varlıkları, Kurum’un gündeminin hangi veri türlerine yöneldiğini anlamak için yeterlidir: biyometri, sağlık, iletişim kayıtları ve yapay zekâya giden veri.

Ekim 2026 ihlal bildirimleri ve “Seçilmiş Güncel Gelişmeler”

Ekim 2026’da Kurum birden fazla veri ihlali bildirimini kamuoyuyla paylaştı. Bu bildirimlerin ortak paydası, ihlalin konusu olan verinin çoğu zaman kurumun kendi envanterinde olmayan bir kopyada bulunmasıdır: eski bir dışa aktarım, bir test veritabanı, bir ortak klasördeki yedek. İhlal bildirimi yükümlülüğü, hangi verinin etkilendiğini hızla söyleyebilmeyi gerektirir; bu da ihlal anında değil, ihlalden önce keşif yapmış olmayı gerektirir.

Kurum’un 10 Eylül 2026 tarihli “Seçilmiş Güncel Gelişmeler” derlemesi, yıl içindeki kararların ve duyuruların bir arada okunabileceği bir kaynaktır. Uyum ekipleri için pratik değeri, kurum içi eğitim ve politika güncellemelerine tek bir referans sunmasıdır.

Rehberler: özel nitelikli veri, üretken yapay zekâ, yurt dışı aktarım, imha

Kurum’un rehberler sayfası, 2026 kararlarını tamamlayan dört temel metni barındırır. “Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber”, sağlık ve biyometrik veri gibi kategorilerde beklenen teknik ve idari tedbirleri anlatır. “Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi”, kişisel verinin dış yapay zekâ servislerine gönderilmesinin risklerini ele alır. “Kişisel Verilerin Yurt Dışına Aktarılması Rehberi”, verinin yurt dışındaki bir sistemde bulunmasının getirdiği yükümlülükleri açıklar. “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi” sayfası ise saklama süresi dolan verinin akıbetini düzenler.

Bu rehberlerin ortak varsayımı, kurumun hangi verinin nerede olduğunu bildiğidir. Oysa uygulamada bu varsayım nadiren doğrudur. Özel nitelikli veri rehberinin tedbirleri, kurumun bu verinin hangi klasörde, hangi tabloda ve hangi arşivde olduğunu bilmediği durumda uygulanamaz.

Her gelişmenin veri operasyonuna etkisi

Gelişme	Hedeflenen veri	Operasyonel soru
2026/921 (biyometrik mesai takibi)	Parmak izi/damar/avuç içi şablonları, cihaz logları, dışa aktarımlar	Nerede, kim erişiyor, imha edildi mi?
2026/2035 (e-posta denetimi)	Canlı posta, PST/OST/MSG arşivleri, ayrılan çalışan kutuları	Kim açabiliyor, erişim kaydı var mı, saklama süresi uygulanıyor mu?
Ekim 2026 ihlal bildirimleri	Envanterde olmayan kopyalar, test/yedek verisi	Etkilenen veri saatler içinde listelenebilir mi?
Özel nitelikli veri rehberi	Sağlık (ICD), biyometri, ceza/mahkûmiyet	Geniş paylaşımda mı, kamuya açık link var mı?
Üretken yapay zekâ rehberi	Dış AI servisine giden içerik	Zenginleştirme kurum içinde mi yapılıyor?
Silme/yok etme/anonimleştirme	Saklama süresi dolan tüm veri	Redakte kopya ve aslın imhası kanıtlı mı?

Tablo, 2026 gündeminin ortak paydasını gösterir: her gelişme bir keşif, bir erişim ve bir kanıt sorusuna indirgenir.

Seratus bu açıkları nasıl kapatır

Açık 1: Biyometrik kayıtların kopyaları bilinmiyor. Mesai cihazlarından alınan dışa aktarımlar, İK klasörlerinde ve e-posta eklerinde dolaşır. Seratus’un ajansız keşfi SMB/NFS paylaşımlarını, Microsoft 365 kütüphanelerini ve PST/OST/MSG arşivlerini salt okunur bağlantıyla tarar; özel nitelikli veri sınıfındaki bulguları güven yüzdesi ve maskeli örnekle gösterir. “Özel nitelikli veri geniş paylaşımda” açığı KVKK hazırlık puanında ayrı bir madde olarak listelenir.

Açık 2: Ayrılan çalışanların posta arşivlerine kimin eriştiği bilinmiyor. Seratus e-posta arşivlerini canlı posta kutusuna bağlanmadan tarar; dosyanın bulunduğu paylaşımın ACL’lerini ve paylaşım linklerini erişim ve maruziyet grafiğine işler. Yetim ve ayrılmış kullanıcı erişimleri, çözülemeyen SID’ler ve “kuruluştaki herkes” paylaşımları öne çıkarılır.

Açık 3: Saklama süresi dolan veri sistemde kalıyor. Seratus’un saklama takvimi, sınıflandırma etiketlerini saklama ve imha süreçlerine bağlar. Süresi dolan veri “açıklar” listesine düşer; imha, redakte kopya üretilip aslın imha edilmesiyle ve tekillik denetimiyle ölçülen kaliteyle yürütülür.

Açık 4: İhlal anında etkilenen veri listelenemiyor. Gerçek keşiften kurulan VERBİS envanteri ve kaynak bazlı detay raporları, hangi sistemde hangi veri kategorisinin bulunduğunu önceden söyler. İhlal kayıtları aynı konsolda tutulur.

Açık 5: Yapay zekâ zenginleştirmesi veriyi dışarı çıkarıyor. Seratus özel, yerinde LLM ile belge türü ve başvuru özeti zenginleştirmesini kurum içinde yapar; dış AI servisine veri gitmez ve air-gap kurulumda çalışır.

Açık 6: Yapılan işin kanıtı yok. Her iyileştirme eylemi sorumluya atanır, ayrı onay yetkisiyle onaylanır ve kim, ne zaman, neden bilgisiyle denetim kaydına yazılır. KVKK hazırlık özeti ve denetim raporu PDF, Excel veya CSV olarak dışa aktarılır.

Sonuç

2026 gelişmeleri birbirinden bağımsız görünse de aynı yöne işaret eder: Kurum, ilkelerin belirli iş süreçlerinde nasıl uygulandığını ve bunun nasıl kanıtlandığını soruyor. Biyometrik şablonlar, posta arşivleri, sağlık kayıtları ve saklama süresi dolan veri için verilecek doğru yanıt bir politika metni değil, güncel bir keşif, görünür bir erişim haritası ve denetlenebilir bir eylem kaydıdır. Seratus bu üç bileşeni tek konsolda, kurumun kendi altyapısında sunar.