6698 Sayılı Kişisel Verilerin Korunması Kanunu Kapsamında Otomatik Karar Alma Süreçlerine İtiraz Hakkı

Öz

Yapay zekâ ve makine öğrenmesi uygulamalarının toplumsal yaşamın her alanına nüfuz etmesi, bireylerle ilgili kararların artan ölçüde tamamen otomatikleştirilmiş mekanizmalar eliyle üretilmesine zemin hazırlamaktadır. Bu teknolojik dönüşüm, kredi derecelendirmesi, işe alım süreçleri, sigorta risk hesaplaması ve kamusal hizmetlere erişim gibi hayati alanlarda bireyin iradesi ve bilgisi dışında işleyen algoritmik süreçleri ön plana çıkarmaktadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (6698 sayılı Kanun) 11. maddesinin birinci fıkrasının (g) bendi, herkesin işlenen verilerinin münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kendi aleyhine bir sonuç çıkmasına itiraz etme hakkını tanımaktadır. Bu çalışma söz konusu hakkı; kavramsal çerçevesi, hukuki karakteri, uygulanma şartları, prosedürel mekanizmaları ve normatif eksiklikleri perspektifinden incelemeyi hedeflemektedir. Avrupa Birliği Genel Veri Koruma Tüzüğü’nün (GVKT) 22. maddesi başta olmak üzere temel AB düzenlemeleriyle gerçekleştirilen karşılaştırmalı değerlendirme, 6698 sayılı Kanun’daki itiraz mekanizmasının GVKT’nin önleyici modelinden bazı özellikleriyle ayrıştığını göstermektedir. Çalışma bu bulgulardan yola çıkarak Türk hukukundaki mevcut düzenlemenin iyileştirilmesine dönük öneriler sunmaktadır.

Anahtar Kelimeler

• Kişisel Verilerin Korunması Kanunu
• otomatik karar alma
• profilleme
• algoritmik karar verme
• itiraz hakkı
• Genel Veri Koruma Tüzüğü

The Right to Object to Automated Decision-Making under the Turkish Personal Data Protection Law (Law No. 6698)

Öz

The pervasive integration of artificial intelligence and machine learning technologies into all spheres of social life has paved the way for decisions concerning individuals to be increasingly produced by fully automated mechanisms. This technological evolution foregrounds algorithmic processes operating beyond the individual’s will and awareness, particularly in vital domains such as credit scoring, recruitment, insurance risk calculation, and access to public services. Article 11(1)(g) of the Personal Data Protection Law No. 6698 grants every individual the right to object to the emergence of a result to their detriment through the analysis of their processed data exclusively by means of automated systems. This study aims to examine the said right from the perspectives of its conceptual framework, legal character, conditions of application, procedural mechanisms, and normative shortcomings. The comparative analysis conducted primarily with reference to Article 22 of the EU General Data Protection Regulation demonstrates that the objection mechanism under Law No. 6698 diverges from model of the GDPR with some features. Drawing on these findings, the study puts forward recommendations for improving the existing regulatory framework in Turkish law.

Anahtar Kelimeler

• Personal Data Protection Law
• automated decision-making
• profiling
• algorithmic decision-making
• right to object
• General Data Protection Regulation

Kaynakça

1. ABRUSCI, Elena / MACKENZIE-GRAY SCOTT, Richard: “The Questionable Necessity of a New Human Right Against Being Subject to Automated Decision-Making”, International Journal of Law and Information Technology, C. 31, 2023, s. 114-143.
2. AKSOY, Hüseyin Can: “Kişisel Verilerin Korunması Yönüyle Algoritmik Karar Verme”, Kişisel Verileri Koruma Dergisi, C. 4, S. 2, Ankara 2022, s. 69-87.
3. AKSOY RETORNAZ, E. Eylem / GÜÇLÜTÜRK, Osman Gazi: “Yapay Zekâda Kişisel Verilerin Korunması Kanununun Uygulanmasındaki Sorunlara İlişkin Değerlendirmeler”, iç. Kişisel Verilerin Korunmasına Akademik Bakış (Ed. Pınar Çağlayan Aksoy / Hüseyin Can Aksoy), Ankara, 2023, s. 413-438.
4. BADUR, Emel: “Yapay Zeka Sistemleri Kullanılarak Yapılan İşleme Faaliyetlerinde Kişisel Verilerin Korunması”, Selçuk Üniversitesi Hukuk Fakültesi Dergisi, C. 32, S. 4, 2024, s. 2525-2560. BENZER, Ekrem: “Yapay Zekâ’nın AB Hukuk Düzenindeki Görünümü: AB Yapay Zekâ Tüzüğü”, Bilişim Hukuku Dergisi, 2025/1.
5. BOZKURT YÜKSEL, Armağan Ebru: “Avrupa Komisyonu’nun Yapay Zekâ Tüzük Teklifi’ne Genel Bir Bakış”, Türkiye Adalet Akademisi Dergisi, C. 13, S. 51, Ankara 2022, s. 19-46.
6. BRKAN, Maja: “Do Algorithms Rule the World? Algorithmic Decision-Making and Data Protection in the Framework of the GDPR and Beyond”, International Journal of Law and Information Technology, C. 27, S. 2, 2019, s. 91-121.
7. BRKAN, Maja / BONNET, Grégory: “Legal and Technical Feasibility of the GDPR’s Quest for Explanation of Algorithmic Decisions: of Black Boxes, White Boxes and Fata Morganas”, European Journal of Risk Regulation, C. 11, S. 1, 2020, s. 18-50.
8. BÜYÜKSAĞİŞ, Erdem: “Yapay Zeka Karşısında Kişisel Verilerin Korunması ve Revizyon İhtiyacı”, Yeditepe Üniversitesi Hukuk Fakültesi Dergisi, C. XVIII, S. 2, İstanbul 2021, s. 529-541.

9. CABRAL, Tiago Sérgio: “AI and the Right to Explanation: Three Legal Bases under the GDPR”, Data Protection and Privacy: Data Protection and Artificial Intelligence, Oxford: Hart Publishing, 2021, s. 29-56.
10. CASEY, Benjamin / FARHANGI, Ashkan / VOGL, Roland: “Rethinking Explainable Machines: The GDPR’s ‘Right to Explanation’ Debate and the Rise of Algorithmic Audits in Enterprise”, Berkeley Technology Law Journal, C. 34, S. 1, 2019, s. 143-188.
11. EDWARDS, Lilian / VEALE, Michael: “Enslaving the Algorithm: From a ‘Right to an Explanation’ to a ‘Right to Better Decisions’?”, IEEE Security & Privacy, C. 16, S. 3, 2018, s. 46-54.
12. EKMEKÇİ, Ömer / YÜCEDAĞ, Nafiye / AKKANAT-ÖZTÜRK, Elif Beyza / AŞIKOĞLU, Şehriban İpek: Kişisel Verilerin Korunması Hukuku, Güncellenmiş ve Gözden Geçirilmiş 4. Bası, İstanbul: On İki Levha Yayıncılık, 2026.
13. MALGIERI, Gianclaudio: “Automated Decision-Making in the EU Member States: The Right to Explanation and Other ‘Suitable Safeguards’ in the National Legislations”, Computer Law & Security Review, C. 35, 2019, 105327.
14. OBERMEYER, Ziad / POWERS, Brian / VOGELI, Christine / MULLAINATHAN, Sendhil: “Dissecting Racial Bias in an Algorithm Used to Manage the Health of Populations”, Science, C. 366, S. 6464, 2019, s. 447-453.
15. SILVEIRA, Alessandra: “Automated Individual Decision-Making and Profiling [on case C-634/21 - SCHUFA (Scoring)]”, UNIO - EU Law Journal, C. 8, S. 2, 2023, s. 74-85.
16. SIMEONOVA, Iliana K.: “How GDPR Treats Automated Decision-Making”, Journal of Scientific and Applied Research, C. 28, 2025.
17. TOSONI, Luca: “The Right to Object to Automated Individual Decisions: Resolving the Ambiguity of Article 22(1) of the General Data Protection Regulation”, International Data Privacy Law, C. 11, S. 2, 2021, s. 142-171.
18. WACHTER, Sandra / MITTELSTADT, Brent / RUSSELL, Chris: “Counterfactual Explanations without Opening the Black Box: Automated Decisions and the GDPR”, Harvard Journal of Law & Technology, C. 31, S. 2, 2018, s. 1-52.
19. WACHTER, Sandra / MITTELSTADT, Brent / FLORIDI, Luciano: “Why a Right to Explanation of Automated Decision-Making Does Not Exist in the General Data Protection Regulation”, International Data Privacy Law, 2017, s. 1-47.
20. Article 29 Data Protection Working Party: Guidelines on Automated Individual Decision-making and Profiling for the Purposes of Regulation 2016/679, WP251rev.01, 6 Şubat 2018.
21. Council of Europe: Explanatory Report to the Protocol amending the Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data (CETS No. 223), 2018.
22. European Data Protection Board (EDPB): Opinion 28/2024 on Certain Data Protection Aspects Related to the Processing of Personal Data in the Context of AI Models, 17 Aralık 2024.
23. Future of Privacy Forum: Automated Decision-Making Under the GDPR: Practical Cases from Courts and Data Protection Authorities, 2022.
24. Kişisel Verileri Koruma Kurumu: Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler, 2021. OECD: The OECD Privacy Framework, 2013.
25. Privacy International: Data Is Power: Profiling and Automated Decision-Making in GDPR, 2017.
26. 6698 sayılı Kişisel Verilerin Korunması Kanunu, 29677 sayılı ve 7 Nisan 2016 tarihli Resmî Gazete.
27. Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Kişilerin Korunması Sözleşmesi (108 sayılı Sözleşme), 29656 sayılı ve 17 Mart 2016 tarihli Resmî Gazete.
28. Regulation (EU) 2016/679 (General Data Protection Regulation), OJ L 119, 4 Mayıs 2016.
29. Regulation (EU) 2024/1689 (AI Act), OJ L 2024/1689, 12 Temmuz 2024.
30. Regulation (EU) 2022/2065 (Digital Services Act), 19 Ekim 2022.
31. Council of Europe Framework Convention on Artificial Intelligence and Human Rights, Democracy and the Rule of Law (CETS No. 225), 5 Eylül 2024.
32. AYM, Başvuru No: 2018/6161, Karar Tarihi: 28.06.2022. Erişim: https://kararlarbilgibankasi.anayasa.gov.tr/BB/2018/6161
33. ABAD, C-634/21, SCHUFA Holding (Scoring), 7 Aralık 2023, ECLI:EU:C:2023:957. Erişim: https://curia.europa.eu/juris/liste.jsf?num=C-634/21
34. ABAD, C-203/22, Dun & Bradstreet Austria GmbH, 27 Şubat 2025. Erişim: https://curia.europa.eu/juris/liste.jsf?num=C-203/22
35. ABAD, C-252/21, Meta Platforms Inc. v. Bundeskartellamt, 4 Temmuz 2023, ECLI:EU:C:2023:537. Erişim: https://curia.europa.eu/juris/liste.jsf?num=C-252/21