Brüksel'deki Europa binasının çapraz çizgili cam cephesi; temsili fotoğraf, Konsey toplantısının ya da kararın görüntüsü değildir

AB Konseyi'nin Daimi Temsilciler Komitesi (Coreper), 21 Ekim 2026'da Digital Omnibus paketinin veri koruma bölümü için müzakere yetkisini, yani mandatı kabul etti. Metin, yapay zekâ geliştirme ve işletme bağlamındaki kişisel veri işlemenin GDPR'daki meşru menfaat dayanağına (madde 6(1)(f)) dayandırılabileceğini öngörüyor. Bu bir yasa değil: Avrupa Parlamentosu henüz pozisyon almadı ve mevcut GDPR olduğu gibi yürürlükte.

GDPR'ın uygulanmasına ilişkin bir başka gelişmeyi de yazmıştık: Google'a konum verisi için verilen 403 milyon avroluk GDPR cezası.

Konsey tam olarak neyi kabul etti

Coreper, üye devletlerin AB büyükelçilerinden oluşan bir komite. Alınan karar bakanlar düzeyinde bir oylama değil, Konsey'in Parlamento ile müzakereye gireceği pozisyon. Konsey'in 21 Ekim 2026 tarihli basın bildirisi, pozisyonun kişisel verilerin güçlü korunmasını sürdürürken veri koruma, gizlilik ve siber güvenlik kurallarını sadeleştirmeyi amaçladığını söylüyor. Bildiri 22 Ekim'de mandat metniyle güncellendi; mandat ST 14756/26 numaralı Konsey belgesi olarak yayımlandı. Belge, mandatın Coreper'in 21 Ekim toplantısında kabul edildiğini kaydediyor.

Yapay zekâ kurallarının uygulanmasına ilişkin ayrı bir bölümün yasal metni 29 Haziran 2026'da kabul edilmişti. Bu haber onu değil, GDPR'ı da kapsayan veri koruma omnibus'unun müzakere pozisyonunu konu alıyor.

Madde 88bis ne söylüyor

Komisyon'un 19 Kasım 2025 tarihli önerisinde yapay zekâ için meşru menfaati düzenleyen madde 88c vardı. Konsey mandatında bu hüküm madde 88bis adıyla yer alıyor. Madde metnine ilişkin hukuki analizlerdeki aktarımlara göre madde üç fıkradan oluşuyor:

Aynı analizlere göre Komisyon'un önerisindeki özel güvence listesi ve "koşulsuz itiraz hakkı" Konsey'in madde metninden çıkarıldı. Konsey, koşulsuz itiraz hakkını gerekçe 31'de denge testinde bir unsur olarak anıyor; madde metninde ise zorunlu bir güvence değil.

Meşru menfaat, GDPR'ın rızadan ayrı bir hukuki dayanağı. Kullanılabilmesi için işlemenin gerekli olması ve veri sahibinin çıkarlarının ağır basmaması gerekiyor.

Konsey mandatının 33a numaralı gerekçesi ise şunu söylüyor: Yapay zekâ sistemi veya modelini geliştirmek ve işletmek tek başına meşru menfaat oluşturmaz. Madde 6(1)(f)'nin uygulanabilirliği her olayda işlemenin amacına göre ayrıca değerlendirilir. Kişinin çocuk olması ya da başka bir AB veya ulusal hukukun açıkça rıza istemesi gibi durumlarda kişinin çıkarları ağır basabilir.

Eleştiri ve gerekçeler

Avrupa'daki gizlilik örgütü noyb, 23 Ekim 2026 tarihli açıklamasında metni eleştirdi. noyb'a göre meşru menfaat otomatik varsayılacak ve rıza istenmeyecek. Bu ifade Konsey metninde geçmiyor, noyb'un okuması; üstelik yukarıdaki gerekçe 33a, işlemenin her olayda ayrıca değerlendirileceğini söylüyor. noyb'dan Max Schrems'e göre kabul edilen metinde yapay zekâ şirketlerinin kârları tipik olarak Avrupalıların temel gizlilik hakkının önüne geçecek; Schrems bunu Avrupalıların "dijital kamulaştırılması" (digital expropriation) olarak niteledi. Bunlar bir gizlilik örgütünün değerlendirmesi. noyb ayrıca madde 88bis'in maddi bir güvence gerektirmediğini savunuyor; Konsey'in eklediği madde 21 ve 24 atıflarının zaten her işlemede geçerli olduğunu söylüyor.

Konsey ise mandatın güçlü koruma düzeyini sürdürerek kuralları sadeleştirmeyi ve yapay zekâ geliştirmeyi, meşru dayanağa ilişkin açıklıklarla ve uygun güvencelerin korunmasıyla desteklemeyi hedeflediğini belirtiyor.

Avrupa Veri Koruma Kurulu (EDPB) ile Avrupa Veri Koruma Denetçisi (EDPS) Şubat 2026'da Komisyon önerisine ilişkin ortak görüş yayımlamıştı. Görüşe göre meşru menfaat yapay zekâda bazı durumlarda kullanılabilir ve EDPB bunu Görüş 28/2024'te zaten teyit etmişti; bu nedenle GDPR'a ayrı bir hüküm eklemek gerekli değil. Hüküm korunacaksa üç adımlı denge testinin açıkça belirtilmesini isteyen görüş, koşulsuz itiraz hakkını ise olumlu karşılıyor. Legal247'nin hukuk analizi de Konsey metninin gereklilik ve denge testini değiştirmediği, yalnızca yapay zekâ geliştirmenin meşru menfaat olabileceğini teyit ettiği kanısında.

Sırada ne var

Parlamento henüz pozisyonunu belirlemedi. Parlamento ve Konsey, Komisyon'un da katıldığı üçlü görüşmelerle (trilog) nihai metin üzerinde pazarlık yapacak; ardından iki kurumun onayı gerekecek. Hukuk bürosu Addleshaw Goddard'ın tahminine göre bu müzakerelerin Mart 2027'den önce beklenmediğini yazıyor. Bu bir büro tahmini, resmî bir takvim değil. O zamana kadar mevcut GDPR geçerli.

Kapak görseli (temsili fotoğraf, 2026): Brüksel'deki Europa binasının cam cephesi (AB Zirvesi/Konsey binası); Konsey toplantısının ya da kararın görüntüsü değildir — FrDr, Wikimedia Commons, CC BY-SA 4.0 (kırpıldı, 1200×675 küçültüldü). Kırpılmış hâli aynı lisansla paylaşılır.

Kaynaklar