Ne oldu: AB üye devletleri GDPR değişikliklerinde pozisyonunu belirledi

AB üye devletleri, 21 Ekim 2026'da Avrupa Veri Koruma Tüzüğü'nü (GDPR) değiştirecek Dijital Omnibus paketine ilişkin Konsey müzakere pozisyonunu kabul etti. Kararı Brüksel'de, üye devletlerin AB büyükelçilerinden oluşan Daimi Temsilciler Komitesi (COREPER) verdi. Konsey aynı gün bir basın duyurusu yayımladı ve üzerinde uzlaşılan metni 22 Ekim 2026 tarihli 14756/26 sayılı Konsey belgesi olarak kamuya açtı.

Dijital Omnibus, Avrupa Komisyonu'nun AB dijital mevzuatını sadeleştirme paketi. GDPR'ı, e-Gizlilik Direktifi'ndeki çerez kuralını, AB'nin veri paylaşımı mevzuatını ve siber olay bildirim kurallarını değiştiriyor. Dosya 2025/0360(COD) numaralı usulde görülüyor ve Komisyon'un 19 Kasım 2025 tarihli COM(2025) 837 sayılı teklifine dayanıyor. Paket, daha önce kabul edilen ve Yapay Zekâ Tüzüğü'nün takvimini değiştiren yapay zekâ omnibusundan ayrı (bkz. yüksek risk takviminin ertelenmesine ilişkin notumuz).

Konsey metni henüz yürürlükte bir kural değil. Üye devletlerin, kendi pozisyonunu henüz belirlemeyen Avrupa Parlamentosu ile yürüteceği müzakerelere götüreceği yetki metni. Nihai metin AB Resmî Gazetesi'nde yayımlanana kadar GDPR ve e-Gizlilik Direktifi olduğu gibi uygulanıyor.

Konsey'in GDPR metni yapay zekâ hakkında ne diyor?

Konsey, yapay zekâya özgü hukuki dayanağı koruyor, ancak yeniden yazıyor. Komisyon'un önerdiği 88c maddesi, Konsey metninde "Yapay zekânın geliştirilmesi ve işletilmesi bağlamında işleme" başlıklı 88 bis maddesine dönüşüyor.

  • Birinci fıkra: Yapay zekâ sistemi veya modelinin geliştirilmesi ve işletilmesi bağlamında kişisel veriler, 6(1)(f) maddesi uyarınca veri sorumlusunun veya üçüncü kişinin meşru menfaatine dayanılarak işlenebilir. Meşru menfaat, kişinin hakları ağır basmadığı sürece rıza almadan veri işlemeye imkân veren GDPR işleme şartı.
  • İkinci fıkra: Bu hüküm, veri sorumlusunun 6. maddedeki uygun işleme şartını seçme yükümlülüğünü etkilemez.
  • Üçüncü fıkra: Hangi şarta dayanılırsa dayanılsın yapay zekâ bağlamındaki işleme, "21. madde kapsamındaki itiraz hakkı dâhil" uygun teknik ve idari tedbirlere ve güvencelere tabidir.

Komisyon taslağına göre iki fark öne çıkıyor. Kişinin hakları ağır bastığında, "özellikle ilgili kişi çocuk olduğunda", meşru menfaate dayanılamayacağını söyleyen ifade maddeden çıkarılıp yeni 33a gerekçe paragrafına taşındı. Komisyon'un öngördüğü "koşulsuz itiraz hakkı" ise metinden çıkarıldı. Konsey bunun yerine 21. maddedeki genel itiraz hakkına atıf yapıyor. Meşru menfaate dayanan işlemelerde bu hak (21/1), veri sorumlusu zorlayıcı meşru gerekçeler ortaya koyarsa işlemenin sürmesine engel olmuyor.

33a gerekçe paragrafı, bir yapay zekâ sistemini geliştirmenin veya işletmenin "tek başına meşru menfaat oluşturmadığını" da vurguluyor. 6(1)(f) maddesi, işlemenin amacına bakılarak her olayda ayrıca değerlendirilecek.

Özel nitelikli veriler (sağlık, din, biyometrik veri gibi 9. maddede sayılan veriler) bakımından Konsey, 9(2)(k) maddesindeki yeni istisnayı daraltıyor. İstisna yalnızca yapay zekâ sistemi veya modeli geliştirilirken ve teknik olarak işletilirken, veri sorumlusunun amaçlamadığı "artık verilerin arızi olarak işlenmesini" kapsıyor. Veri sorumlusu bu verilerin toplanmasını önlemeye çalışmalı ve fark ettiğinde gecikmeksizin silmeli. Silme teknik olarak imkânsızsa veya açıkça orantısız çaba gerektiriyorsa, verilerin çıktı üretmek, başka amaçlarla işlenmek veya paylaşılmak üzere kullanılmasını engellemeli.

GDPR'da başka neler değişiyor?

Konsey, Komisyon teklifinin en çok eleştirilen kısmını, kişisel verinin yeni tanımını reddediyor ve yerine takma adlandırılmış verilere ilişkin daha dar bir kural koyuyor.

Kişisel veri tanımı aynı kalıyor

Komisyon, kişiyi tanımlayamayan bir kuruluş bakımından bilginin kişisel veri sayılmayacağını öngören cümleleri 4(1). maddeye eklemek istiyordu. Konsey bu cümleleri çıkardı. Bunun yerine yeni 25a maddesi takma adlandırmayı düzenliyor. Takma adlandırma, ad ve diğer tanımlayıcıları değiştirerek verinin, ayrı tutulan ek bilgi olmadan kişiyle ilişkilendirilemez hâle getirilmesi demek.

  • Takma adlandırılmış veri, kişiyi tanımlayamayan üçüncü kişi bakımından kişisel veri sayılmıyor (25a/2).
  • Veri, kişiyi tanımlamaya makul olarak yetecek araçlara sahip olan veya bunları elde edebilecek bir başka kişiye aktarılırsa, hem aktarım hem de o kişinin işlemesi kişisel veri işleme sayılıyor (25a/3). Veri işleyen bakımından veri her durumda kişisel veri (25a/4).
  • Belirlenebilirlik, "makul olarak kullanılması muhtemel tüm araçlar" dikkate alınarak değerlendiriliyor (25a/5). Ulusal veri koruma otoritelerinden oluşan Avrupa Veri Koruma Kurulu (EDPB) takma adlandırma ve anonimleştirme konusunda görüş verecek.

Veri ihlali bildirimi: 96 saat ve yalnızca yüksek riskli ihlaller

Konsey metnindeki 33. maddeye göre veri sorumlusu, denetim makamına yalnızca kişiler için "yüksek risk doğurması muhtemel" ihlalleri, öğrendiği andan itibaren "mümkünse en geç 96 saat" içinde bildirecek. Bugün süre 72 saat ve risk doğurması muhtemel olmayan ihlaller dışında her ihlal bildiriliyor. İki değişiklik de Komisyon'dan geliyor; Konsey bunları koruyor ve Tüzük'ün yürürlüğe girmesinden 18 ay sonra uygulanmasını öngörüyor. EDPB, yüksek risk doğurması muhtemel olan ve olmayan ihlallerin listelerini yayımlayacak.

Erişim talepleri ve otomatik kararlar

  • Kötüye kullanılan erişim talepleri: Talep sahibinin "kötüye kullanma niyetinin ispat edilebildiği" durumlarda veri sorumlusu ücret alabilecek veya talebi reddedebilecek (12/5). İspat yükü veri sorumlusunda; ret gerekçeli olmalı.
  • Otomatik kararlar: Komisyon 22. maddeyi bir izin hükmüne dönüştürmüştü. Konsey maddeyi yeniden, yalnızca otomatik işlemeye dayanan kararlara "tabi olmama hakkı" olarak düzenliyor; mevcut istisnalar korunuyor.
  • Diğer değişiklikler: Düşük riskli işlemelerde aydınlatma yükümlülüğüne dar bir istisna (13/5), etki değerlendirmesi gerektiren ve gerektirmeyen işlemelere ilişkin AB çapında EDPB listeleri (35. madde) ve "bilimsel araştırma" tanımı.

Çerezler yeniden e-Gizlilik Direktifi'nde

Komisyon çerez rızasını GDPR'a taşımak ve tarayıcılara makinece okunabilir rıza sinyali gönderme yükümlülüğü getirmek istiyordu. Konsey ikisini de çıkardı ve e-Gizlilik Direktifi'nin 5(3). maddesini yeniden yazdı. Kural yine rıza. Ancak cihazda bilgi depolamak veya bilgiye erişmek altı amaçtan biri için "yalnızca o amaçla ilgili ve kesinlikle gerekli" ise rıza aranmayacak: iletişimin iletilmesi; kullanıcının açıkça istediği hizmet; anonim ve toplulaştırılmış veri üreten birinci taraf kitle ölçümü; Avrupa Medya Özgürlüğü Tüzüğü kapsamında medya kitle ölçümü; teknik güvenlik; profilleme olmadan bağlamsal reklam ölçümü.

Kullanıcı rıza talebini tek tıkla veya eşdeğer bir yolla reddedebilmeli; reddedilen talep en az dört ay tekrarlanamayacak. Üye devletler, kuralın denetimini GDPR kapsamındaki veri koruma otoritelerine verecek.

Konsey pozisyonu neden önemli, kimler itiraz ediyor?

Konsey metni nihai düzenlemenin iki başlangıç noktasından biri ve yapay zekâ dışında büyük ölçüde veri koruma otoritelerinin çizgisini izliyor.

EDPB ile Avrupa Veri Koruma Denetçisi (EDPS), 10 Şubat 2026 tarihli 2/2026 sayılı Ortak Görüş'te yasa koyuculara kişisel verinin yeni tanımını kabul etmemelerini "ısrarla" tavsiye etmişti. Kötüye kullanılan erişim taleplerinin kötü niyete bağlanmasını, 22. maddedeki yasağın korunmasını ve yapay zekâya ilişkin özel nitelikli veri istisnasına "arızi ve artık" ifadesinin eklenmesini de istemişlerdi. Konsey metni bunların hepsini karşılıyor.

En tartışmalı konu yapay zekâya ilişkin hukuki dayanak. EDPB ve EDPS, özel bir hükmün "gerekli görünmediğini" söylemişti; çünkü EDPB'nin 28/2024 sayılı Görüşü meşru menfaatin yapay zekâ modelleri için kullanılabileceğini zaten teyit ediyordu. İki kurum koşulsuz itiraz hakkını olumlu karşılamış ve bu hakkın 21(1). maddedeki genel hakkın ötesine geçmesini istemişti. Konsey bu hakkı metinden çıkardı.

Max Schrems'in kurduğu gizlilik örgütü noyb, 23 Ekim'de metnin şirketlere, yapay zekâ eğittikleri veya kullandıkları her durumda ağır basan bir meşru menfaatleri olduğunu varsayma imkânı vereceğini savundu. Schrems metni Avrupalıların "dijital olarak mülksüzleştirilmesi" olarak nitelendirdi. noyb, takma adlandırma kuralının takip kimliklerini GDPR'ın dışına çıkarabileceği uyarısında da bulunuyor. 33a gerekçe paragrafı ise ters yönü gösteriyor: yapay zekâ tek başına meşru menfaat değil.

Hukuken 88 bis maddesi, 6(1)(f) maddesinin zaten izin verdiğinin pek ötesine geçmiyor. Ağırlığı verdiği mesajda ve daha güçlü itiraz hakkının kaybında. Etki alanı en geniş değişiklik ise takma adlandırma kuralı: gerçekten kimseyi tanımlayamayan bir alıcı veri setini GDPR dışında sayabilecek, veriyi gönderen ise GDPR'a bağlı kalacak.

KVKK ile GDPR farkları: Türkiye ve Kore'de durum ne?

Türk ve Kore hukuku bu konularda GDPR'dan zaten ayrılıyor; Konsey metni bazı farkları büyütebilir.

Türkiye: KVKK

  • Kişisel veri: 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi kişisel veri sayıyor (m. 3/1-d). Kanun anonim hâle getirmeyi tanımlıyor, ancak takma adlandırmaya yer vermiyor; 25a maddesinin karşılığı yok.
  • Yapay zekâ için dayanak: KVKK m. 5/2-f, ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla veri sorumlusunun meşru menfaati için veri işlemeye izin veriyor. Yapay zekâya özgü bir hüküm yok; 2024'te 7499 sayılı Kanunla değiştirilen 6. maddedeki özel nitelikli veri rejimi de yapay zekâ istisnası içermiyor. Ayrıntılar için eğitim verisine ilişkin KVKK ve GDPR notumuza ve KVKK yapay zekâ yönetişimi rehberine bakılabilir.
  • Veri ihlali bildirimi: KVKK m. 12/5, verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde, bir risk eşiği aramadan "en kısa sürede" bildirim yapılmasını istiyor. Kişisel Verileri Koruma Kurulu, 24 Ocak 2019 tarihli ve 2019/10 sayılı kararıyla bu süreyi 72 saat olarak yorumladı. AB'de faaliyeti olan bir Türk şirketler grubu, aynı olay için Türkiye'de 72, AB'de 96 saatlik süreyle karşılaşabilir.

AB merkezli yapay zekâ sağlayıcılarına veri gönderen Türk şirketleri yurt dışına aktarım kurallarını da uygulamak zorunda; bkz. KVKK yurt dışına veri aktarımı rehberi.

Güney Kore: PIPA

  • Kişisel veri: Kore Kişisel Bilgilerin Korunması Kanunu (PIPA) m. 2/1 zaten göreceli bir ölçüt kullanıyor: bilgi, gereken zaman, maliyet ve teknoloji makul biçimde dikkate alınarak başka bilgilerle kolayca birleştirilebiliyorsa kişisel veri sayılıyor. Ancak takma adlandırılmış bilgi kişisel veri olmaya devam ediyor. Konsey'in 25a(2). maddesi bunun ötesine geçiyor.
  • Veri ihlali bildirimi: PIPA Uygulama Kararnamesi m. 40/1; 1.000 veya daha fazla kişinin etkilendiği, hassas ya da benzersiz kimlik bilgilerinin söz konusu olduğu veya ihlalin dışarıdan hukuka aykırı erişimle gerçekleştiği durumlarda Kişisel Bilgileri Koruma Komisyonu'na (PIPC) ya da KISA'ya 72 saat içinde bildirim öngörüyor. PIPC, bir ChatGPT veri sızıntısını geç bildirdiği için OpenAI'a para cezası vermişti.
  • Yapay zekâ eğitimi: Kore basınından ETNews'in haberine göre Kore Ulusal Meclisi 20 Ağustos 2026'da bir PIPA değişikliğini kabul etti. Değişiklik, takma adlı veya anonim veriler yeterli olmadığında ve kamusal ya da toplumsal bir ihtiyaç bulunduğunda, güçlendirilmiş güvenlik önlemleri alınması ve PIPC'nin inceleyip karar vermesi şartıyla kişisel verilerin yapay zekâ geliştirmede kullanılmasına imkân tanıyor. Habere göre değişiklik yayımından altı ay sonra yürürlüğe girecek; law.go.kr'deki yürürlükteki PIPA metninde henüz yer almıyor (bkz. değişikliğe ilişkin analizimiz).

Kore'de bu yol, düzenleyicinin önceden incelemesinden geçecek. Konsey metni ise, Brezilya'da Meta'nın yapay zekâ eğitiminin durdurulmasında görüldüğü gibi, otoriteler ve mahkemelerce sonradan denetlenen genel meşru menfaat testine dayanıyor.

Kurumlar şimdiden neleri değerlendirmeli?

Hukuken henüz bir şey değişmedi, ancak yön plan yapmaya yetecek kadar belli.

  • Mevcut süreleri koruyun. Yeni metin yürürlüğe girip uygulanmaya başlayana kadar GDPR'daki 72 saat geçerli. İhlal müdahale planları GDPR, KVKK ve PIPA'daki farklı süreleri hesaba katmalı.
  • Yapay zekâ için meşru menfaat değerlendirmesini yazılı hâle getirin. İki metin de amaç, gereklilik ve dengelemeden oluşan 6(1)(f) testini koruyor.
  • Eğitim veri setlerindeki özel nitelikli verileri tespit edin. Filtreleme, silme ve çıktıda kullanıma karşı koruma açık yükümlülüklere dönüşecek.
  • Takma adlandırılmış veri akışlarını haritalayın. Yeniden tanımlama anahtarlarının kimde olduğunu ve her alıcının gerçekte neler yapabileceğini kayıt altına alın.
  • Çerezleri altı amaca göre gözden geçirin. Profilleme yapan araçlar yine rıza gerektirecek. Otomatik kararlar ise, ABAD'ın SCHUFA kararında 22. maddeyi yorumladığı gibi, ilke olarak yasak kalıyor.

Bundan sonra ne olacak? Avrupa Veri Koruma Tüzüğü değişikliğinin takvimi

Sıradaki adım Avrupa Parlamentosu'nun pozisyonu; ardından Parlamento, Konsey ve Komisyon arasındaki üçlü müzakereler (trilog) başlayacak.

  • Yasama Gözlemevi'ne göre Parlamento'da ITRE ve LIBE komiteleri ortak sorumlu; raportörler Aura Salla (EPP) ve Marina Kaljurand (S&D). Taslak rapor 22 Haziran 2026'da sunuldu. NICFAB, komite oylamasının 2027 başında yapılmasının beklendiğini aktarıyor.
  • Konsey metnine göre Tüzük, yayımından üç gün sonra yürürlüğe girecek. İhlal bildirimi değişiklikleri yürürlükten 18 ay, ulusal giriş noktaları üzerinden bildirim ise 30 ay sonra uygulanacak. Üye devletler yeni çerez kuralını, Tüzük'ün kabulünden itibaren 24 ay içinde iç hukuka aktarıp uygulamaya koyacak.

Sıkça sorulan sorular

Dijital Omnibus GDPR teklifi nedir?

Dijital Omnibus, Avrupa Komisyonu'nun 19 Kasım 2025 tarihli COM(2025) 837 sayılı teklifi. Teklif sadeleştirme amacıyla GDPR'ı, e-Gizlilik Direktifi'ni, Veri Tüzüğü'nü ve AB siber olay bildirim kurallarını değiştiriyor. AB Konseyi 21 Ekim 2026'da müzakere pozisyonunu kabul etti. Avrupa Parlamentosu henüz pozisyonunu belirlemediği için teklif yürürlükte değil.

GDPR'daki değişiklikler ne zaman uygulanacak?

Henüz uygulanmıyor. Parlamento ve Konsey nihai Dijital Omnibus metninde uzlaşıp metin AB Resmî Gazetesi'nde yayımlanana kadar GDPR olduğu gibi geçerli. Konsey pozisyonuna göre GDPR değişikliklerinin çoğu, yayımdan üç gün sonra yürürlüğe girmeyle birlikte uygulanacak. 96 saatlik ihlal bildirim kuralı ise yürürlükten 18 ay sonra uygulanacak.

Dijital Omnibus, yapay zekânın rızasız eğitilmesine izin veriyor mu?

GDPR, 6(1)(f) maddesindeki meşru menfaat şartıyla bazı yapay zekâ eğitimlerine zaten izin veriyor. Konsey'in 88 bis maddesi bu şartın yapay zekâ geliştirmek ve işletmek için kullanılabileceğini teyit ediyor; ancak 33a gerekçe paragrafı yapay zekânın tek başına meşru menfaat olmadığını ve her olayın ayrıca değerlendirileceğini söylüyor. noyb gibi eleştirmenler metnin uygulamada çok daha ileri gittiğini savunuyor.

GDPR'da veri ihlali bildirim süresi 96 saat mi olacak?

Hem Komisyon teklifi hem Konsey pozisyonu, GDPR'ın 33. maddesindeki denetim makamına bildirim süresini 72 saatten 96 saate çıkarıyor ve bildirimi yalnızca yüksek risk doğurması muhtemel ihlallerle sınırlıyor. Avrupa Parlamentosu'nun da kabul etmesi gerekiyor. KVKK kapsamında Kişisel Verileri Koruma Kurulu'nun 2019/10 sayılı kararıyla belirlenen 72 saatlik süre ise değişmiyor.

Dijital Omnibus KVKK uyumunu etkiler mi?

Doğrudan etkilemez. Dijital Omnibus yalnızca AB hukukunu değiştirecek; 6698 sayılı KVKK ve Kişisel Verileri Koruma Kurulu'nun 72 saatlik ihlal bildirim süresi olduğu gibi kalıyor. AB'deki bağlı şirketleri veya AB'deki müşterileri nedeniyle GDPR'a tabi olan Türk şirketleri ise yeni AB kurallarını değişmeyen KVKK yükümlülükleriyle birlikte uygulamak durumunda kalacak.

Burhan Doğuş Ayparlar'ın Görüşü

Hukuki belirlilik açısından en önemli konularda Konsey, Komisyon'dan daha iyi bir metin yazmış. Kişisel veri tanımının korunması, 22. maddenin yeniden yasak olarak düzenlenmesi ve erişim taleplerinin reddinin ispatlanmış kötü niyete bağlanması düzenleyici otoritelerin tavsiyelerini izliyor; her biri yeni ifadeler üzerinde yıllar sürecek davaların önünü kesiyor.

88 bis maddesini büyük ölçüde açıklayıcı bir hüküm olarak okuyorum: meşru menfaat yapay zekâ için zaten kullanılabiliyordu. Asıl değişiklik daha sessiz. Eski paylaşımları veya yazışmaları bir eğitim veri setine giren kişiler için en işe yarar güvence olan koşulsuz itiraz hakkı ortadan kalktı. Parlamento'nun bu hakkın geri gelmesi için bastıracağını düşünüyorum.

Türkiye için ders zamanlamayla ilgili. KVKK reform tartışmaları GDPR'ı ölçüt alıyor; ancak ihlal bildirimi, takma adlandırma ve yapay zekâ konularında bu ölçüt şu anda hareket hâlinde. Türk şirketler grupları için, AB'nin son sözünü beklemek yerine uyumu her iki kuraldan daha sıkı olanına göre, örneğin 96 değil 72 saate göre kurmak daha isabetli olur.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Yazı; COREPER'in 21 Ekim 2026'da üzerinde uzlaştığı yetki metnini içeren 22 Ekim 2026 tarihli 14756/26 sayılı Konsey belgesine, Komisyon'un COM(2025) 837 sayılı teklifine, EDPB-EDPS'nin 2/2026 sayılı Ortak Görüşü'ne, noyb'nin 23 Ekim 2026 tarihli açıklamasına, NICFAB analizine, Kore değişikliğine ilişkin 20 Ağustos 2026 tarihli ETNews haberine, Avrupa Parlamentosu Yasama Gözlemevi'ne, KVKK ile Kurulun 2019/10 sayılı kararına ve law.go.kr'de yayımlanan Kore PIPA ile Uygulama Kararnamesi'ne dayanmaktadır; kaynaklara 25 Ekim 2026'da erişilmiştir. Konsey'in basın duyurusu sayfası kullandığımız araçlarla açılamamış; duyurunun başlığı, tarihi ve özeti Konsey'in resmî haber akışından doğrulanmış, içerik ise doğrudan yetki metninden aktarılmıştır. Konsey metninden yapılan alıntılar yazara ait çevirilerdir. Konsey metni kabul edilmiş bir düzenleme değil, müzakere yetkisidir. Parlamento takvimi ve Kore değişikliği basında aktarıldığı şekliyledir ve değişebilir; nihai AB düzenlemesi Konsey pozisyonundan önemli ölçüde farklı olabilir. Analiz ve değerlendirmeler yazara aittir.