152-FZ: 2025–2026 Yıllarında İşletmeler İçin Neler Değişti?
2025–2026 revizyonundaki "Kişisel Veriler Hakkında" 152 Sayılı Federal Kanun, veri sahiplerinden onam alınması konusunda gereklilikleri sıkılaştırıyor, biyometri ile çalışmayı düzenliyor ve bilginin sınır ötesi aktarımı üzerindeki denetimi artırıyor. Ana haber: 1 Eylül 2025'ten itibaren, verilerin işlenmesi için ayrı, açık ve bilinçli bir onam gerektiren değişiklikler yürürlüğe girdi; bu durum, kabul sözleşmelerinde "gizli" onay kutularının kullanılmasını imkansız kılıyor. İşletmelerin veri toplama formlarını, gizlilik politikalarını ve işleme sicillerini gözden geçirmesi gerekiyor.
İçindekiler
- 2026 yılında kişisel veri olarak kabul edilenler
- 2025 yılının temel değişiklikleri: yeni onam
- Biyometri ve özel kategori veriler
- Sınır ötesi aktarım ve yerelleştirme
- Saklama süreleri ve anonimleştirme
- Kontrol listesi: Roskomnadzor denetimine nasıl hazırlanılır
- Veri sorumlularının sık yaptığı hatalar
- SSS: Popüler sorulara yanıtlar
2026 yılında kişisel veri olarak kabul edilenler
Kişisel veriler (KV), doğrudan veya dolaylı olarak belirlenmiş veya belirlenebilir bir gerçek kişiyle ilgili herhangi bir bilgidir. 2026 yılında yorumlama geniş kapsamını korumaktadır. KV sadece pasaport bilgileri veya telefon numarası değil, aynı zamanda şunları da içerir:
- IP adresleri ve cookie dosyaları (kullanıcıyı tanımlamaya olanak sağlıyorsa);
- Konum verileri (coğrafi konum);
- Web sitesindeki davranış profilleri (diğer verilerle eşleştirildiğinde);
- Biyometrik bilgiler (fotoğraf, parmak izleri, ses).
Önemli: Bir veri yığınından (ek bilgi kullanarak bile) belirli bir kişiyi ayırt edebiliyorsanız, bu veriler kişisel veri olarak kabul edilir.
"Bunun sadece bir e-posta olduğu" varsayımına güvenmeyin. Ad Soyad veya sipariş geçmişi ile birlikte kullanıldığında e-posta, 152-FZ standartlarına göre korunması gereken tam teşekküllü bir tanımlayıcı haline gelir.
2025 yılının temel değişiklikleri: yeni onam
1 Eylül 2025'ten itibaren kanunun 9. maddesi (Kişisel Veri Sahibinin Onamı) ile ilgili önemli değişiklikler yürürlüğe girdi. Artık onamın şekli ve içeriğine ilişkin gereklilikler daha katı hale geldi.
Yeni onam için temel gereklilikler:
- Belirlilik ve amaç sınırlılığı. Onam "her şey için tek seferde" olamaz. Her işleme amacı (bülten gönderimi, sözleşmenin ifası, pazarlama) için ayrı bir onam alınmalı veya açıkça belirtilmiş bir madde bulunmalıdır.
- Paket onam yasağı. Bir hizmetin sunulmasını, o hizmet için gerekli olmayan verilerin işlenmesine onam verilmesine bağlamak yasaktır (örneğin, ürün teslimatı için pazarlama bültenine onam istemek).
- Açık eylem. Onay kutusunun işaretlenmesi bilinçli bir eylem olmalıdır. Önceden işaretlenmiş kutucuklar veya sessiz onam (hareketsizlik) artık pazarlama verilerinin işlenmesi için meşru gerekçe olarak kabul edilmez.
- Kolay geri alma. Onamın geri alınması mekanizması, onamın verilmesi mekanizması kadar basit olmalıdır (örneğin, e-postadaki "Abonelikten Çık" düğmesi veya kişisel hesap paneli).
Onamınız satış sözleşmesinin veya halka açık teklifin metnine gömülüysé ve ayrı bir kabul imkanı yoksa, bu form pazarlama ve analitik amaçları için geçersiz sayılır.
Biyometri ve özel kategori veriler
Kanun, sıradan kişisel verileri, özel kategorileri (ırk, sağlık, inançlar) ve biyometrik verileri ayırır. 2025–2026 revizyonunda biyometri üzerindeki denetim artırılmıştır.
Biyometrik veriler — bir kişinin fizyolojik ve biyolojik özelliklerini karakterize eden ve kimliğinin tespit edilmesi için kullanılan bilgilerdir (tanımlama için fotoğraf, yüz taramaları, parmak izleri, ses).
Biyometri ile çalışma kuralları:
- İşleme sadece veri sahibinin yazılı onamıyla izin verilir (kanunda öngörülüyorsa nitelikli elektronik imzalı elektronik formda veya ESIA/Gosuslugi üzerinden).
- Sıkıca belirtilen istisnalar dışında (örneğin, savunma, güvenlik, operatif-arame faaliyetleri) onamsız biyometri işlenmesi yasaktır.
- Ticari amaçlarla (perakende, ofisler) yüz tanıma sistemlerinin kullanılması, ziyaretçilerin ayrı, açık bilgilendirilmesini ve onamını gerektirir.
Sınır ötesi aktarım ve yerelleştirme
RF vatandaşlarının veri tabanlarının Rusya topraklarında yerelleştirilmesi gerekliliği (152-FZ Madde 18) temel olmaya devam etmektedir. Veri toplamadan önce, kayıt, sistematizasyon ve depolamanın RF'deki sunucularda gerçekleştiğinden emin olmalısınız.
Sınır ötesi aktarım (verilerin yurt dışına aktarılması) 2026 yılında farklılaştırılmış şekilde düzenlenmektedir:
- Yeterli koruma sağlayan ülkelere (liste Roskomnadzor tarafından onaylanır): Kanunun diğer gerekliliklerine uyulması koşuluyla aktarım serbestçe yapılabilir.
- Diğer ülkelere: Aktarım koşullarının değerlendirilmesi gerekir. Veri sorumlusu, yabancı alıcının verilerin gizliliğini ve güvenliğini sağladığından emin olmakla yükümlüdür. Bazı durumlarda, böyle bir aktarım başlamadan önce Roskomnadzor'a bildirimde bulunulması gerekir.
Yurtdışı CRM'lerin, bulut depolama alanlarının veya analiz hizmetlerinin (örneğin Google Analytics, yurtdışı sohbet botları) kullanımı sınır ötesi aktarım olarak kabul edilebilir. Taşeronlarınızın yargı yetkisini kontrol edin.
Saklama süreleri ve anonimleştirme
"Gerekli olandan daha uzun süre saklamama" ilkesi (152-FZ Madde 5), cezaların başlıca gerekçelerinden biri haline gelmiştir.
- Amaç gerçekleşti — verileri silin. Geri arama için telefon numarası topladıysanız ve müşteriyi aradıysanız, ancak devam eden saklama için onam almadıysanız, veriler silinmeli veya anonimleştirilmelidir.
- Anonimleştirme. Bu, ek bilgi olmadan verilerin belirli bir kişiye atanamasının imkansız olduğu süreçtir. Anonimleştirilmiş veriler artık kişisel veri olmadıkları için analiz ve istatistik amacıyla süresiz olarak kullanılabilir.
- **İmha yönetmeliği. Verilerin silinme usul ve sürelerini düzenleyen iç bir belgeniz olmalıdır (imha tutanakları, otomatik veritabanı temizleme betikleri).
Kontrol listesi: Roskomnadzor denetimine nasıl hazırlanılır
2026 yılında 152-FZ'ye uyum sağlamak için aşağıdaki adımları uygulayın:
| Adım | Eylem | Durum |
|---|---|---|
| 1 | Süreç denetimi. Tüm KV işleme süreçlerinin (web sitesi, CRM, insan kaynakları, video gözetimi) sicilini oluşturun. | ⬜ |
| 2 | Gizlilik Politikası. Web sitesindeki belgeyi güncelleyin. Her sayfadan tek tıkla erişilebilir olmalıdır. | ⬜ |
| 3 | Onam formları. Web sitesindeki onay kutularını yeniden düzenleyin. Önceden işaretlenmiş kutucukları kaldırın. Onamları "sözleşmenin ifası" ve "pazarlama" olarak ayırın. | ⬜ |
| 4 | Yerelleştirme. Gerçek kişilerin veri tabanlarının RF'deki sunucularda bulunduğundan emin olun. | ⬜ |
| 5 | RKN Bildirimi. KV işleme bildiriminin yapılıp yapılmadığını kontrol edin (istisnalar yoksa). Veri sorumluları siclindeki bilgileri güncelleyin. | ⬜ |
| 6 | Biyometri ile çalışma. Tanımlama için fotoğraf/video kullanıyorsanız, ayrı yazılı onamlar alın. | ⬜ |
| 7 | Veri işleyenlerle sözleşmeler. Taşeronlarla (hosting, bülten servisleri, CRM) yapılan sözleşmeleri kontrol edin. Bu sözleşmelerde KV koruma yükümlülükleri açıkça belirtilmelidir. | ⬜ |
Veri sorumlularının sık yaptığı hatalar
- "Her şey için onam". Amaçların açıklanmadığı tek bir "Kişisel verilerin işlenmesine onay veriyorum" kutucuğu. Bu, belirlilik ilkesinin ihlalidir.
- Politika bağlantısının eksikliği. Veri toplama formu var, ancak işlemeyi düzenleyen belgeye bağlantı yanında yok.
- **"İhtiyaç halinde" saklama. Aday özgeçmişleri, üç yıl önceki geri arama talepleri işleme amacı olmadan açık erişimde saklanıyor.
- **Geri alma taleplerinin ignored edilmesi. Kullanıcı talebi veya onamın geri alınması üzerine verilerin hızlıca silinmesi için teknik bir mekanizmanın bulunmaması.
- **Bildirimde bulunmadan verilerin üçüncü taraflara aktarılması. Örneğin, müşterilerden böyle bir aktarım için yeni onam almadan müşteri tabanının ortak bir kampanya için bir ortağa aktarılması.
SSS: Popüler sorulara yanıtlar
Çalışanın kişisel verilerinin işlenmesi için onam gerekli mi? Evet, ancak tek dayanak bu değildir. Verilerin büyük çoğunluğu RF İş Kanunu uyarınca (iş sözleşmesinin ifası) işlenir. Ancak, İş Kanunu'nda öngörülmemen veriler için onam gerekecektir (örneğin, sözleşmede belirtilmemişse Özel Sağlık Sigortası için veya şirket web sitesinde fotoğraf yayınlamak için).
2026 yılında 152-FZ ihlali için cezalar. Cezalar, tekrarlayan ihlaller için ciro bazlıdır. Yerelleştirme gerekliliklerinin ihlali veya onam eksikliği gibi birincil ihlaller için cezalar yüz binlerce rubleye ulaşabilir. Veri sızıntısı ve RKN emirlerine uyulmaması durumunda cezalar milyonlarca ruble ile ifade edilir.
Müşteri tüm verilerin silinmesini talep ederse ne yapılmalı? Başka yasal saklama gerekçeleri yoksa (örneğin, işlem verilerinin 5 yıl boyunca saklanması için Vergi Kanunu gereklilikleri), işlemeyi durdurmak ve verileri kanunda belirtilen sürede (genellikle 30 gün) imha etmekle yükümlüsünüz. Bu durumda, diğer kanunlar uyarınca saklamak zorunda olmadığınız verileri silersiniz.
Messenger uygulamaları üzerinden veri toplanabilir mi? Evet, ancak kullanıcıya mesajlaşmanın işlendiği konusunda bilgi vermeli ve onamını almalısınız (açık eylem — politikanın yayınlanmasından sonra diyaloğun başlatılması). İletişimi güvenli kanallara veya CRM'e yönlendirmek daha iyidir.