KVKK Kurulu'na İki Yeni Üye Seçildi: Kişisel Verileri Koruma Kurulu Nasıl Oluşuyor?

Türkiye Büyük Millet Meclisi Genel Kurulu, Kişisel Verileri Koruma Kurulu'nda boşalan iki üyelik için 14 Ekim 2026'da seçim yaptı. AK Parti Grubu kontenjanındaki iki üyeliğe grubun gösterdiği dört aday arasından en çok oyu alan Recep Keskin ve Cennet Alas Şekerbay seçildi. Seçime ilişkin 1513 sayılı TBMM Kararı, 16 Ekim 2026 tarihli ve 33402 sayılı Resmî Gazete'de yayımlandı. Diğer adaylar Sefer Aktaş ve Mert Varol'du. Seçim, Genel Kurul'un Türk Kızılay Kanun Teklifi'ni görüştüğü gün yapıldı. Üyeliklerin hangi nedenle boşaldığı basına yansıyan haberlerde belirtilmedi.

Kurul ne iş yapıyor?

Kişisel Verileri Koruma Kurulu, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun uygulanmasından sorumlu Kişisel Verileri Koruma Kurumu'nun karar organı. Şirketlerin ve kamu kurumlarının veri işleme faaliyetlerini denetliyor, ilgili kişilerin şikâyetlerini karara bağlıyor, veri ihlali bildirimlerini inceliyor ve Kanun'un 18. maddesindeki idari para cezalarını veriyor. Yurt dışına veri aktarımına ilişkin kararlar ve veri sorumluları siciline ilişkin düzenlemeler de Kurul'un yetkisinde. Bir bankadan sızan müşteri bilgilerinden bir hastanenin hasta kayıtlarını izinsiz paylaşmasına kadar, kişisel veriyle ilgili idari yaptırımların son sözü Kurul'da.

Üyeler nasıl belirleniyor?

Kanun'un 21. maddesine göre Kurul dokuz üyeden oluşuyor. Üyelerin beşi TBMM, dördü Cumhurbaşkanı tarafından seçiliyor. TBMM'nin seçeceği üyeler için siyasi parti gruplarına, üye sayıları oranında kontenjan düşüyor ve gruplar kendilerine düşen üye sayısının iki katı kadar aday gösteriyor. Genel Kurul bu adaylar arasından seçim yapıyor. Bu seçimde de iki boş üyelik için dört aday gösterilmesinin nedeni bu kural.

Üyelerin görev süresi dört yıl ve süresi biten üye yeniden seçilebiliyor. Kurul başkanı ve ikinci başkanı, üyeler kendi aralarından seçiyor; Kurul başkanı aynı zamanda Kurum'un da başkanı. Üyelerin, Kurum'un görev alanında bilgi ve deneyim sahibi olması gibi nitelikler Kanun'da sayılıyor; görev süresince başka bir resmî veya özel görev üstlenmeleri ve ticaretle uğraşmaları yasak.

Kurul'un gündeminde neler var?

Kurul'un iş yükü 2024'teki kanun değişikliğinden sonra arttı. 7499 sayılı Kanun'la yurt dışına kişisel veri aktarımının kuralları yeniden yazıldı; yeterlilik kararı bulunmayan ülkelere aktarımda standart sözleşme ve bağlayıcı şirket kuralları gibi güvenceler getirildi, standart sözleşmelerin imzadan itibaren beş iş günü içinde Kurum'a bildirilmesi şart koşuldu. Aynı değişiklikle Kurul'un verdiği idari para cezalarına karşı başvuru yolu sulh ceza hâkimliğinden idare mahkemesine taşındı. Yeni üyeler, bu kurallara ilişkin uygulamanın şekillendiği bir dönemde göreve başlıyor.

Bağımsızlık tartışması

6698 sayılı Kanun, Kurum'un idari ve mali özerkliğe sahip olduğunu ve görevlerini yerine getirirken bağımsız hareket ettiğini belirtiyor. Kanun'a göre hiçbir organ, makam, merci veya kişi, Kurul'a görev alanına giren konularda emir ve talimat veremez. Bununla birlikte üyelerin tamamının Meclis çoğunluğu ve Cumhurbaşkanı tarafından belirlenmesi, AB'nin Genel Veri Koruma Tüzüğü'ndeki bağımsız denetim makamı ölçütleriyle karşılaştırılarak zaman zaman eleştiriliyor. Türkiye'nin AB'den "yeterli koruma düzeyi" kararı alabilmesi için yapılan değerlendirmelerde de denetim makamının yapısı başlıklardan biri olarak öne çıkıyor.

Vatandaş için ne anlama geliyor?

Üye değişikliği, bekleyen şikâyet ve inceleme dosyalarının işleyişini hukuken etkilemiyor. Kanun'un 23. maddesine göre Kurul en az altı üyeyle toplanıyor ve üye tamsayısının salt çoğunluğuyla karar alıyor. Verilerinin hukuka aykırı işlendiğini düşünen kişi önce veri sorumlusuna başvuruyor; 30 gün içinde yanıt alamaz ya da yanıtı yetersiz bulursa Kurul'a şikâyet yolu açılıyor. Kurul kararlarına karşı idari yargı yolu açık. Bir siber saldırıda verileri sızan kişilerin neler yapabileceğini, YTÜ'deki fidye yazılımı saldırısı üzerinden ayrıca ele almıştık.