Kişisel Verileri Koruma Kurumu 2025 Yılı Faaliyet Raporu’nu Yayımladı

Kişisel Verileri Koruma Kurumu’nun (Kurum) 2025 yılı faaliyetlerine ilişkin yıllık rapor (Rapor) Kurum’un resmi internet sitesinde yayımlandı. Rapor; Kişisel Verileri Koruma Kurulu (Kurul) kararları ve ilke kararları, idari para cezaları, ihbar ve şikâyet başvuruları, veri ihlal bildirimleri, yurt dışına veri aktarımı ve Veri Sorumluları Sicili (VERBİS) uygulamalarına ilişkin detaylı açıklamalar içermektedir.

Aşağıda raporda öne çıkan hususlar özetlenmiştir:

• Kurul, 2025 yılında 42 toplantı gerçekleştirmiş ve 2.528 karar almıştır. Bu dönemde iki ilke kararı yayımlanmış olup söz konusu kararlar (i) ürün ve hizmet sunumu sırasında SMS ile doğrulama kodu gönderilmesi suretiyle kişisel verilerin işlenmesi ve (ii) turizm ve otelcilik sektöründe konaklama hizmeti alan kişilerin T.C. kimlik belgesi fotokopisinin kaydedilmesine ilişkindir.
• 876 veri sorumlusu hakkında yaklaşık 352,5 milyon TL idari para cezası uygulanmıştır. Bu tutarın yaklaşık 216,86 milyon TL’si VERBİS kayıt ve bildirim yükümlülüğüne aykırılık, yaklaşık 90,36 milyon TL'si veri ihlal bildirimi yükümlülüğüne aykırılık ve yaklaşık 45,29 milyon TL'si ihbar ve şikâyet başvuruları kapsamında uygulanmıştır.
• Kurum’a toplam 12.512 ihbar ve şikâyet başvurusu intikal etmiş olup bu sayı bir önceki yıla kıyasla yaklaşık %51 oranında artış göstermiştir. Başvuruların %75’i CİMER yoluyla iletilmiştir. Sektörel bazda en fazla başvuru; hizmet, medya, bankacılık ve finans, kamu ve telekomünikasyon sektörlerinde gerçekleşmiştir.
• Başvuruların %52’si kişisel verilerin hukuka aykırı olarak işlenmesine, %22’si ise kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılmasına, %11’i veri sorumlularınca izinsiz olarak SMS gönderimi/arama gerçekleştirilmesine, %6’sı ilgili kişilerin taleplerinin yerine getirilmemesine, %4’ü kişisel verilerin silinmesi, yok edilmesi ve anonim hale getirilmesi taleplerine aykırılığa, %1’i unutulma hakkı, aydınlatma yükümlülüğünün yerine getirilmemesi, kişisel verilerin hukuka aykırı olarak yurt dışına aktarılması ile diğer konular ve standart sözleşmelere ilişkindir. Buna ilave olarak, başvuruların 7.677’si (%64) usul şartlarını sağlamadığı gerekçesiyle reddedilmiştir.
• Kurum’a 2025 yılı içerisinde toplam 328 veri ihlali bildirimi yapılmıştır. Bunların 296’sı yurt içi, 32’si ise yurt dışı kaynaklıdır.
• Yurt dışına veri aktarımı kapsamında Kurum’a 90 taahhütname sunulmuş; bunların 89’unun incelemesi tamamlanmış, 13’üne izin verilmiş ve 76’sı reddedilmiştir. Ayrıca aynı kapsamda Kurum’a 2.497 standart sözleşme iletilmiş olup bu sayı bir önceki yıla kıyasla yaklaşık iki katına çıkmıştır.
• 31.12.2025 itibarıyla VERBİS’e toplam 249.474 yeni kayıt başvuru yapılmış, halihazırda VERBİS nezdinde kaydı bulunan 9.558 VERBİS kaydının güncellemesi yapılmıştır. Buna ilave olarak, 2025 yılında VERBİS nezdinde yapılan toplam sorgulama sayısı 1.985.918’e ulaşmıştır.
• Kurum tarafından 2025 yılı içerisinde; (i) Kişisel Verilerin Yurt Dışına Aktarılması Rehberi, (ii) Kişisel Verilerin Korunmasına İlişkin Bankacılık Sektörü İyi Uygulamalar Rehberi, (iii) Özel Nitelikli Kişisel Verilerin İşlenmesine İlişkin Rehber, (iv) Ödeme ve Elektronik Para Sektöründe Kişisel Verilerin Korunmasına İlişkin İyi Uygulamalar Rehberi ve (v) Üretken Yapay Zekâ ve Kişisel Verilerin Korunması Rehberi (15 Soruda) olmak üzere beş yeni rehber yayımlanmıştır.
• Raporda ayrıca GDPR uyum süreci, yapay zekâ uygulamaları, veri güvenliği ve çocukların dijital ortamda korunmasına ilişkin politika çalışmalarının öncelikli alanlar arasında yer aldığı belirtilmiştir.