Avrupa Birliği’nde (AB) dijital kuralları “sadeleştirme” paketi Digital Omnibus’ta üye devletler tutumunu netleştirdi. Üye ülkelerin Brüksel’deki daimi temsilcilerinden oluşan Coreper, 21 Ekim 2026’daki toplantısında Konsey’in Avrupa Parlamentosu ile pazarlık yapacağı metni onayladı. 22 Ekim tarihli ve 14756/26 numaralı belgeye göre Konsey, kişisel verilerin yapay zekâ (YZ) sistemlerini geliştirmek ve çalıştırmak için “meşru çıkar” gerekçesiyle işlenebilmesini metinde tutuyor. Avrupa Komisyonu’nun önerisinde bunun karşılığı olarak yazılan “koşulsuz itiraz hakkı” ise üstü çizilerek çıkarıldı.

Bu, CyberNews’in eylül ayında aktardığı sızdırılmış taslakların artık resmî Konsey tutumuna dönüştüğü anlamına geliyor. O dönemde dijital haklar örgütü noyb, İrlanda dönem başkanlığının metninde YZ için kişisel veri işlemenin “meşru” sayılmasını eleştirmiş, ardından koşulsuz itiraz hakkının taslaktan silindiğini duyurmuştu. Yayımlanan nihai müzakere metni bu iki noktayı doğruluyor.

Konsey metninde ne var?

Digital Omnibus, Komisyon’un Kasım 2025’te sunduğu ve Genel Veri Koruma Tüzüğü’nü (GDPR), e-Gizlilik Direktifi’ni, ağ ve bilgi güvenliği direktifi NIS2’yi, Veri Yasası’nı ve YZ Yasası’nı aynı anda değiştiren bir paket. Konsey’in 21 Ekim tarihli basın açıklamasına göre amaç, şirketlerin idari yükünü azaltmak ve kuralları “daha tutarlı” hâle getirmek. Konsey, kişisel verinin GDPR’deki tanımına dokunmadığını özellikle vurguluyor.

Metnin en tartışmalı bölümü, YZ ile ilgili yeni madde (Konsey numaralandırmasıyla 88 bis). Bu maddeye göre bir YZ sistemi ya da modeli geliştirilirken veya çalıştırılırken kişisel veriler, veri sorumlusunun ya da üçüncü bir tarafın meşru çıkarı için GDPR’nin 6(1)(f) bendine dayanılarak işlenebilecek. Komisyon önerisi bunu, “veri sahiplerine kişisel verilerinin işlenmesine karşı koşulsuz itiraz hakkı tanınması” dahil güvencelere bağlıyordu. Konsey metninde bu ifade tümüyle çizildi. Yerine, işlemenin “uygun teknik ve kurumsal önlemlere” tabi olacağı ve bunların arasında “GDPR’nin 21. maddesi kapsamındaki itiraz hakkının” bulunduğu yazıldı.

Fark küçük görünse de önemli. 21. maddedeki itiraz hakkı koşullu bir hak: Kişi itiraz ettiğinde şirket, kendi gerekçelerinin kişinin hak ve özgürlüklerinden “daha ağır bastığını” gösterirse veri işlemeyi sürdürebiliyor. Koşulsuz itirazda ise böyle bir tartma yapılmıyordu; kişi “hayır” dediğinde işlem durmak zorundaydı.

Konsey bazı sınırlar da ekledi. Gerekçe bölümündeki yeni metne göre YZ geliştirmek ya da çalıştırmak “tek başına meşru çıkar sayılmıyor”; meşru çıkara dayanılıp dayanılamayacağı her durumda ayrı değerlendirilecek. Kişinin çocuk olduğu ya da başka bir yasanın açık rıza istediği durumlarda kişinin çıkarları öne çıkabilecek. Aynı metin, kamu kurumlarının YZ sistemlerini eğitmek ve çalıştırmak için “kamu görevi” gerekçesine (6(1)(e)) dayanabileceğini de hatırlatıyor. Kısacası metin, YZ eğitimi için hem şirketlere hem de devlete açık bir hukuki zemin tarif ediyor.

Diğer değişiklikler

  • Takma adlı veri: Yeni hükme göre takma adla işlenmiş (pseudonim) veriler, kişiyi tanımlayacak araçlara sahip olmayan bir alıcı için kişisel veri sayılmayabilecek. Avrupa Veri Koruma Kurulu’nun (EDPB) bu konuda görüş vermesi öngörülüyor.
  • Hassas veriler: Biyometrik doğrulama ve YZ geliştirme için özel nitelikli verilerin işlenmesine izin veren istisnaya ek güvenceler kondu.
  • Veri ihlali bildirimi: Yalnızca “yüksek risk” doğurması muhtemel ihlaller denetim makamına bildirilecek; süre bugünkü 72 saatten “mümkünse en geç 96 saate” çıkıyor.
  • Çerezler: Hizmetin sunulması, ziyaretçi ölçümü ve cihaz güvenliği gibi amaçlarla kullanılan bazı çerezler için onay şartı kalkıyor.
  • Tarayıcı sinyali: Komisyon’un, tarayıcıların kullanıcının çerez tercihini otomatik ve makinece okunabilir biçimde iletmesini zorunlu kılan hükmü metinden çıkarıldı.
  • Olay bildirimi: Siber olaylar için tek bir AB giriş noktası yerine ulusal giriş noktaları öngörülüyor.
  • Ticari sır ve büyük platformlar: Ticari sırlara ek koruma getiriliyor; kamu kurumlarının ise “kapı bekçisi” statüsündeki büyük platformlardan veri yeniden kullanımı için daha yüksek ücret alabilmesinin yolu açılıyor.

Dönem başkanlığını yürüten İrlanda’nın Dışişleri ve Ticaret Bakanı Helen McEntee, düzenlemelerin “şirketlerin Avrupa genelinde faaliyet göstermesini kolaylaştıracağını, veri gizliliği ve yurttaş haklarında yüksek standartları korurken idari yükü azaltacağını” söyledi. Üye devletler ise Komisyon’un kişisel veri tanımını daraltacak önerisine şubattan bu yana karşı çıkıyordu. IAPP’nin aktardığına göre Avrupa Veri Koruma Denetçisi Wojciech Wiewiórowski de bu değişikliğin “kişisel veri kavramını önemli ölçüde daraltacağı” uyarısında bulunmuştu.

Sendikalar: “Büyük şirketlerin talepleri”

Avrupa’da yaklaşık altı milyon profesyonel ve yöneticiyi temsil eden sendika konfederasyonu Eurocadres, 22 Ekim’de yayımladığı açıklamaya “Üye devletler dijital haklarımıza karşı çıkıyor” başlığını koydu. Örgüte göre Konsey tutumu “büyük şirketlerin taleplerini yansıtıyor.” Eurocadres, 88 bis maddesinin sendikalar ve sivil toplum tarafından “açık çek” olarak nitelendirildiğini, Konsey’in bu kaygılara yalnızca “küçük değişikliklerle” yanıt verdiğini belirtti.

Eurocadres’in en büyük kaygısı iş yerleri. Örgüte göre YZ geliştirme için kişisel verinin açılması ve takma adlı veri tanımındaki “kafa karıştırıcı” değişiklikler, “algoritmik yönetim” için ağır sonuçlar doğurabilir. Algoritmik yönetim; vardiyaların, performans puanlarının, hatta işten çıkarma önerilerinin yazılımlarca belirlendiği çalışma düzenini anlatıyor. Çalışanların klavye hareketleri, konum kayıtları, e-postaları ve görüşme notları bu sistemleri eğitmek için kullanılabiliyor. Koşulsuz itiraz hakkının kalkması, bir çalışanın kendi verisinin işverenin YZ aracını eğitmesine “hayır” deme gücünü zayıflatıyor. İş ilişkisindeki güç dengesizliği zaten çalışanın itirazını zorlaştırıyor; şimdi bu itiraz bir de işverenin “meşru çıkar” gerekçesiyle tartılacak.

Sendika, ticari sır hükümlerinin de “iş dünyası lobisinin taleplerini” yansıttığını, son pazarlık turlarında metne eklendiğini söylüyor. Eurocadres’e göre kapsamlı bir etki değerlendirmesi yapılmadan koruma düzeyinin düşürülmesi, rekabet avantajı sağlayacağı bile belli olmayan bir “takas” anlamına geliyor.

Sadeleştirme kimin için?

Omnibus tartışması, “bürokrasi azaltma” dilinin arkasındaki tercihi açıkça gösteriyor. Hafifleyen yük, veriyi toplayan ve işleyen şirketlerin yükü. İhlal bildirimi için eşik yükseliyor ve süre uzuyor; büyük YZ şirketlerinin model eğitmek için kişisel veri kullanmasının hukuki zemini genişliyor. Buna karşılık kişinin elindeki en güçlü araçlardan biri olan koşulsuz itiraz, metinden çıkıyor. Tarayıcı sinyali zorunluluğunun kaldırılması da kullanıcının “izlenmek istemiyorum” tercihini tek tıkla ve her sitede geçerli kılacak bir aracın şimdilik gündemden düşmesi demek.

Öte yandan Konsey’in YZ geliştirmenin “kendiliğinden meşru çıkar” olmadığını yazması ve kişisel veri tanımını koruması, noyb ve sendikaların itirazlarının kısmen karşılık bulduğunu gösteriyor. Son sözü henüz kimse söylemedi.

Türkiye için ne anlama geliyor?

Türkiye’de kişisel verilerin korunması 6698 sayılı KVKK ile düzenleniyor ve bu yasa büyük ölçüde AB kurallarını örnek aldı. Yeni değişiklikler Türkiye’de doğrudan uygulanmayacak. Ancak AB’deki kullanıcılara hizmet veren Türk şirketleri, yazılım firmaları ve dış kaynak hizmeti sunan çağrı merkezleri GDPR’ye tabi. Bu şirketler, AB’de yürürlüğe girecek yeni ihlal bildirimi, çerez ve YZ kurallarına uymak zorunda kalacak.

Daha önemlisi, AB’deki “YZ için meşru çıkar” tartışması Türkiye’de de emsal gibi kullanılabilir. Türkiye’de çalışanların verileri de giderek daha fazla otomatik puanlama ve izleme sistemlerine giriyor. Yurt içinde YZ eğitimi için kişisel verinin hangi koşulda kullanılabileceği konusunda açık bir yasal çerçeve bulunmuyor. AB’nin bu konudaki tercihleri, KVKK’nın ileride yapılacak güncellemelerinde örnek gösterilebilir. Bu nedenle sendikaların ve dijital hak örgütlerinin Brüksel’deki pazarlığı yakından izlemesi önemli.

Sırada ne var?

Konsey, Avrupa Parlamentosu kendi tutumunu kabul ettiğinde üçlü görüşmelere (trilog) başlayabilecek. Parlamento metni henüz kesinleşmedi. Eurocadres, Parlamento’ya “düzenlemeleri sadeleştirirken Avrupalı yurttaşların ve çalışanların haklarından ödün vermeyen dengeli bir yaklaşım” bulması çağrısı yaptı. Nihai metin, Parlamento ile Konsey’in uzlaşmasının ardından resmî olarak kabul edilmeden yürürlüğe girmeyecek.