Bilişim Hukuku

Bilişim hukuku, bilgi sistemlerinin yalnız teknik olarak nasıl çalıştığını değil; bu sistemlerde üretilen, işlenen, aktarılan ve saklanan verinin hangi hak, yükümlülük ve sorumluluk ilişkileri içinde bulunduğunu inceler. Yazılım geliştirme, kişisel veri işleme, ağ işletimi, elektronik ticaret, siber güvenlik, fikrî mülkiyet ve dijital delil aynı sistemde kesişebilir; ancak her olayda uygulanacak hukuk normu sistemin rolüne, verinin niteliğine, tarafların sıfatına ve somut işleme göre belirlenir.

Bilişim hukukundaki kanun, yönetmelik, Kurul kararı ve yüksek yargı içtihatları değişebildiğinden teknik tasarım ile hukuki değerlendirme aynı tarihteki yürürlük metni üzerinden yapılmalıdır. Buradaki çerçeve eğitim amaçlıdır; somut uyuşmazlıkta güncel konsolide mevzuat ve yetkili kurum kararları ayrıca incelenmelidir.

1. Bilişim hukukunda doğru yöntem: önce olayı, sonra normu belirlemek

Bir sistemin "bilişim sistemi" olması tek başına hangi kanunun uygulanacağını söylemez. Aynı API çağrısı farklı bağlamlarda kişisel veri işleme, sözleşmenin ifası, delil üretimi, telifli içeriğin çoğaltılması veya siber güvenlik olayı niteliği taşıyabilir.

Sağlıklı hukuki-teknik analiz şu sorularla başlar:

• Hangi veri veya dijital varlık işleniyor?
• İşlemi kim, hangi sıfatla yapıyor?
• İşlemin amacı ve hukuki dayanağı nedir?
• Veri nereden geliyor, nereye gidiyor ve ne kadar süre tutuluyor?
• Üçüncü taraf, bulut, SaaS, CDN, analitik veya dış hizmet sağlayıcı var mı?
• İşlem bir eser, lisans, ticari sır veya patent konusu unsur içeriyor mu?
• Olay ceza hukuku veya siber güvenlik yükümlülüğü doğuruyor mu?
• Bir uyuşmazlık halinde hangi kayıt, imza, log veya imaj delil niteliği taşıyabilir?

Bu yaklaşım "mevzuat listesi ezberlemek" yerine sistem davranışını hukuki niteliklerle eşleştirir.

2. Güncel temel mevzuat haritası

Türkiye'de bilişim sistemlerine ilişkin tek bir "Bilişim Kanunu" yoktur. Başlıca düzenleme alanları şunlardır:

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK),
• 7545 sayılı Siber Güvenlik Kanunu,
• 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun,
• 5237 sayılı Türk Ceza Kanununun bilişim ve kişisel veri suçları,
• 5846 sayılı Fikir ve Sanat Eserleri Kanunu (FSEK),
• 6769 sayılı Sınai Mülkiyet Kanunu,
• 5147 sayılı Entegre Devre Topoğrafyalarının Korunması Hakkında Kanun,
• 5070 sayılı Elektronik İmza Kanunu,
• 5809 sayılı Elektronik Haberleşme Kanunu,
• 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun,
• 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve Mesafeli Sözleşmeler Yönetmeliği,
• 6493 sayılı ödeme hizmetleri ve elektronik para mevzuatı,
• 6100 sayılı Hukuk Muhakemeleri Kanununun elektronik belge ve ispat hükümleri,
• 5271 sayılı Ceza Muhakemesi Kanununun dijital arama, kopyalama ve elkoymaya ilişkin hükümleri.

Bu düzenlemelerin yanında Anayasa Mahkemesi kararları, Kişisel Verileri Koruma Kurulu kararları, BTK ve Ticaret Bakanlığı düzenlemeleri ile sektörel kurallar uygulamada belirleyicidir.

3. Telif hukukunda ilk ayrım: fikir ile ifade aynı şey değildir

FSEK bilgisayar programlarını ilim ve edebiyat eserleri kapsamında korur. Koruma, soyut fikrin kendisine değil, hukuken eser niteliği taşıyan somut ifade biçimine yönelir. Bir algoritmanın genel fikri, bir iş kuralının soyut mantığı, matematiksel yöntem veya programın unsuruna temel olan fikir ve ilkeler ile bunların belirli bir kod, metin veya özgün düzenleme olarak ifade edilmesi aynı hukuki nesne değildir.

Bu ayrım yazılım geliştirmede kritiktir. "Bir kuyruğu ring buffer ile yönetmek", "Dijkstra algoritması kullanmak" veya "kullanıcıyı iki faktörlü doğrulamak" soyut çözüm fikirleridir. Başkasının özgün kaynak kodunu, dokümantasyonunu, açıklamasını, örnek veri setini veya özgün görselini kopyalamak ise ifade düzeyinde ayrı bir değerlendirme gerektirir.

Fikrin korunmaması, başkasına ait kaynak kodu veya özgün anlatımı serbestçe kopyalama hakkı vermez. Tersi de doğrudur: aynı teknik problemi bağımsız olarak farklı kod ve mimariyle çözmek, salt işlev benzerliği nedeniyle otomatik olarak telif ihlali sayılmaz.

4. Bilgisayar programında korunabilen unsurlar

Bilgisayar programı bakımından hukuk yalnız tek bir dosyayı değerlendirmez. Somut olaya göre şu unsurlar önem taşıyabilir:

• kaynak kodu,
• amaç/nesne kodu,
• program sonucuna götüren hazırlık tasarımları,
• özgün dokümantasyon ve açıklama metinleri,
• özgün görsel veya işitsel öğeler,
• veri tabanının seçme ve düzenleme biçimi,
• arayüzde bağımsız eser niteliği taşıyabilecek görsel unsurlar.

Buna karşılık API adı, protokol gereği zorunlu ifade, salt işlev, matematiksel formül veya birlikte çalışabilirlik için zorunlu teknik unsurun korunması, kaynak kodun özgün yaratıcı ifadesiyle aynı şekilde ele alınamaz. Korumanın kapsamı her zaman somut unsur ve uyuşmazlığa göre değerlendirilir.

5. Kaynak kodu, amaç kodu ve hazırlık tasarımları

Kaynak kodu insanın okuyabildiği program ifadesidir; amaç kodu veya çalıştırılabilir biçim ise derleme/çeviri sonrasında makinenin yürütme zincirine giren temsilidir. Telif değerlendirmesinde yalnız kaynak dosyasına bakmak yetersiz olabilir. FSEK, bilgisayar programını farklı ifade biçimleriyle birlikte ele alır.

Hazırlık tasarımı da her teknik not veya fikir değildir. Koruma bakımından önem taşıyan hazırlık çalışmasının niteliği, sonraki aşamada bir bilgisayar programının meydana gelmesine elverişli somut bir tasarım olup olmadığıyla ilişkilidir.

Bu nedenle proje başlangıcındaki "bir sosyal ağ yapalım" fikriyle, modüller arası özgün veri akışını ve program yapısını ayrıntılı biçimde ortaya koyan somut tasarım aynı düzlemde değildir.

6. Eser sahibi, hak sahibi ve işveren aynı kavram değildir

Eseri meydana getiren gerçek kişi veya kişiler eser sahipliği bakımından başlangıç noktasıdır. Bilgisayar programı açısından kaynak kodu yazan kişi veya kişiler bu bakımdan önem taşır. Buna karşılık mali hakları kullanma yetkisinin iş ilişkisi, sözleşme veya kanun nedeniyle başka bir kişide bulunması mümkündür.

FSEK m.18 kapsamında, çalışanların işlerini görürken meydana getirdikleri eserler üzerindeki mali hakları kullanma yetkisi, aksine sözleşme veya işin mahiyetinden anlaşılmadıkça işverene ait olabilir. Bu hüküm "şirket kodu yazdı, şirket otomatik eser sahibidir" biçiminde basitleştirilmemelidir. Eser sahipliği ile mali hakları kullanma yetkisi ayrıştırılmalıdır.

Dış kaynak/yüklenici ilişkisinde ücret ödenmiş olması tek başına bütün mali hakların devredildiği anlamına gelmez. FSEK m.52 uyarınca mali haklara ilişkin sözleşme ve tasarrufların yazılı olması ve devredilen hakların ayrı ayrı gösterilmesi gerekir.

7. Manevi ve mali haklar

FSEK, eser sahibinin manevi ve mali haklarını ayrı kategorilerde düzenler. Yazılım projelerinde mali haklar; çoğaltma, işleme, yayma, temsil ve umuma iletim gibi kullanımlarla kesişebilir. Manevi haklar ise eserin kamuya sunulması, eser sahibinin adının belirtilmesi ve eserde değişiklik yapılmasına karşı korunma gibi bağları içerir.

Programın bakım, hata düzeltme ve birlikte çalışabilirlik gereksinimleri nedeniyle yazılıma ilişkin bazı kullanımlar için özel sınırlamalar ve istisnalar bulunur. Bu nedenle genel eser hukukundaki bir kural, yazılıma mekanik biçimde uygulanmamalıdır.

8. Telif koruması kayıtla başlamaz

FSEK koruması, eser niteliği taşıyan ürünün meydana getirilmesiyle doğar; koruma için zorunlu bir tescil şartı yoktur. Kültür ve Turizm Bakanlığının isteğe bağlı kayıt-tescil sistemi hak kurucu değil, özellikle eser sahipliğinin ispatını kolaylaştıran beyana dayalı bir mekanizmadır.

Kaynak kodunun Git geçmişi, imzalı sürüm etiketleri, CI artefaktları, tarih damgası, noter tespiti, güvenilir arşiv ve kurum içi değişiklik kayıtları da uyuşmazlıkta kronolojiyi gösterebilir. Bunların hiçbiri tek başına tartışmasız hak sahipliği sonucu doğurmaz; fakat provenance zincirinin parçası olabilir.

Koruma süresi genel olarak eser sahibinin yaşamı boyunca ve ölümünden sonra 70 yıldır. Süre hesabının ve özel durumların FSEK'in güncel hükümlerinden ayrıca kontrol edilmesi gerekir.

9. Yazılım lisansı: mülkiyet devri ile kullanım izni farklıdır

Bir yazılım kopyasını edinmek, yazılım üzerindeki bütün mali hakların devralındığı anlamına gelmez. Lisans, hak sahibinin belirli kullanım biçimlerine izin verdiği hukuki çerçevedir.

Lisans incelenirken en az şu eksenler ayrıştırılmalıdır:

• çalıştırma ve kullanıcı/cihaz kapsamı,
• çoğaltma ve yedekleme,
• değiştirme ve türev çalışma,
• yeniden dağıtım,
• kaynak koduna erişim,
• alt lisans,
• ticari kullanım,
• bildirim ve attribution yükümlülükleri,
• garanti ve sorumluluk sınırlamaları,
• patent lisansı veya patent misilleme hükümleri.

"Ücretsiz" ile "açık kaynak" aynı değildir. Açık kaynak yazılım da telif koruması altındadır; kullanma, değiştirme ve dağıtma yetkisi lisans koşullarıyla verilir.

10. Açık kaynak lisanslarında teknik uyum

MIT, BSD, Apache-2.0, GPL, LGPL, MPL ve benzeri lisanslar aynı yükümlülükleri doğurmaz. Bir bağımlılığın paket yöneticisinden indirilebilmesi, her dağıtım modelinde sınırsız kullanılabileceği anlamına gelmez.

Üretim sürecinde en az şu kayıtlar tutulmalıdır:

• bileşen ve sürüm,
• doğrudan veya geçişli bağımlılık,
• lisans ve lisans metni,
• kaynak URL/provenance,
• değiştirilip değiştirilmediği,
• dağıtım biçimi,
• gerekli copyright/NOTICE dosyaları,
• copyleft tetikleyen dağıtım veya bağlantı koşulları,
• bilinen patent hükümleri.

SBOM bu envanteri destekler fakat tek başına lisans uyum kararı değildir.

11. Hukuka uygun edinilmiş yazılım, yedekleme ve hata düzeltme

FSEK m.38 bilgisayar programları için özel hükümler içerir. Hukuka uygun edinilmiş program kopyasının amaçlandığı şekilde kullanılabilmesi için gereken bazı çoğaltma ve işleme fiilleri, hata düzeltme, gerekli yedekleme ve programın işleyişini gözlemleme/inceleme gibi alanlarda kullanıcının belirli yetkileri bulunabilir.

Bu alan "programı satın aldım, kaynak kodunu istediğim gibi kullanırım" şeklinde yorumlanamaz. Kanuni istisnanın kapsamı, lisans ilişkisi ve somut işlem birlikte değerlendirilir. Özellikle dağıtım, başka bir ürün üretme veya rakip programın ifadesini kopyalama gibi işlemler normal kullanımdan farklıdır.

12. Tersine mühendislik ve birlikte çalışabilirlik

Tersine mühendislik telif hukukunda mutlak biçimde yasak veya mutlak biçimde serbest değildir. FSEK m.38, bağımsız oluşturulmuş bir programın diğer programlarla birlikte çalışabilmesi için gerekli bilgiyi elde etmeye yönelik belirli decompilation işlemlerine koşullu alan tanır.

Mühendislik açısından kritik ayrım şudur: birlikte çalışabilirlik için gereken bilgiye ulaşmak ile başka bir programın özgün ifadesini yeniden üretmek aynı şey değildir. Elde edilen bilgi, istisnanın amacı dışındaki bir ürünün geliştirilmesinde veya telifli ifadenin çoğaltılmasında kullanılırsa koruma alanı değişir.

Clean-room reverse engineering yaklaşımında gözlemleyen/özellik çıkaran ekip ile yeniden gerçekleştiren ekip arasında bilgi akışı sınırlandırılabilir; yalnız işlevsel gereksinimler ve hukuken kullanılabilir arayüz bilgileri aktarılır. Bu teknik süreç, hukuki uygunluğu otomatik garanti etmez fakat bağımsız geliştirme provenance'ını güçlendirebilir.

13. Algoritma, API ve teknik yöntemlerde telif sınırı

Algoritmanın matematiksel veya soyut fikri telif hakkının klasik koruma nesnesi değildir. Ancak algoritmayı açıklayan özgün metin, diyagram veya kaynak kod ayrı eser unsurları içerebilir.

Bir RFC, standart veya API dokümantasyonundaki protokol tanımını uygulamak ile dokümantasyon metnini kopyalamak farklıdır. Uyum için zorunlu sabit değerler, alan isimleri veya komut biçimleri ile yazarın serbest tercihlerinden doğan açıklama metni aynı seviyede değerlendirilmez.

Bu nedenle teknik içerikte en güvenli yöntem, standardın normatif gereksinimini birincil kaynaktan okuyup kendi teknik anlatımınızla açıklamak; gerekiyorsa madde/bölüm numarası vermek ve standart metnini gereksiz uzunlukta yeniden yayımlamamaktır.

14. İntihal ile telif hakkı ihlali aynı değildir

İntihal, bilimsel ve mesleki etik bakımından başkasının özgün fikir, yöntem, veri veya eserini gerekli atıf olmadan kendi üretimi gibi sunmaktır. Telif hakkı ihlali ise FSEK'teki münhasır hakların veya hukuki korumanın ihlaline ilişkin ayrı bir değerlendirmedir.

Dört durum özellikle ayırt edilmelidir:

1. Bir metni izin veya istisna olmadan kopyalayıp kaynak vermek: kaynak gösterilmiş olsa bile telif sorunu doğabilir.
2. Kamu malı veya kullanım izni bulunan bir metni kaynak göstermeden kendine aitmiş gibi sunmak: telif ihlali olmayabilir fakat intihal olabilir.
3. Bir fikri öğrenip bağımsız anlatımla kullanmak fakat fikrin özgün sahibine akademik bağlamda atıf yapmamak: ifade kopyalanmasa da etik ihlal doğabilir.
4. Bir algoritmayı veya tekniği, bilimsel açıdan bilinen kaynağı göstererek bağımsız kodlamak: somut koşullara göre hem etik hem telif açısından uygun olabilir.

Bu ayrım hukuk dersinin merkezindedir: atıf, lisansın yerine geçmez; lisans da atfın gerektiği akademik durumda etik yükümlülüğü ortadan kaldırmaz.

15. Güvenli alıntı ve kaynak gösterme

FSEK m.35 iktibas serbestisini koşullu biçimde düzenler. Alıntının belli olması, amacın haklı göstereceği ölçüyü aşmaması ve bilimsel eserde kaynak/eser sahibi bilgisinin uygun biçimde gösterilmesi önemlidir.

"Kaynakçada kitap adı var" demek, metin içindeki her kopyanın meşru olduğu anlamına gelmez. Uzun bir paragrafı birkaç sözcüğünü değiştirerek kullanmak da gerçek bir paraphrase değildir.

Teknik ve akademik not için daha güvenli yöntem:

• Önce kaynağı okuyup kavramı çıkarın.
• Kaynağı kapatıp kavramı kendi bilgi mimarinizle yeniden kurun.
• Özgün iddia, yöntem, veri veya sınıflandırmanın kaynağını verin.
• Birebir gerekli ifade varsa kısa tutun, tırnak/alıntı biçimi kullanın ve yerini belirtin.
• Şekil, tablo, kod, ekran görüntüsü ve veri setlerini ayrı telif nesnesi olarak değerlendirin.
• İkincil kaynağın atıf yaptığı birincil kaynağı görmeden "birincil kaynağı okumuş" gibi referans vermeyin.

16. Kod intihali ve teknik benzerlik

Kodda benzerlik tek başına intihal veya telif ihlali sonucunu doğurmaz. Programlama dili sözdizimi, framework zorunlulukları, standart API çağrıları ve kısa idiom'lar benzer olabilir. Buna karşılık özgün sınıf bölümlenmesi, yorumlar, sıra dışı değişken isimleri, hata mesajları, test verisi, algoritmanın serbest ifade tercihleri ve aynı hataların tekrarı bağımsız geliştirme iddiasını zayıflatabilir.

Kod provenance'ı için pratik denetim zinciri şöyledir:

• kodun kaynağı veya bağımsız geliştirme kaydı,
• lisans ve sürüm,
• commit geçmişi,
• kullanılan dış snippet'lerin URL ve lisansı,
• code review kaydı,
• benzerlik taramasının sonucu,
• geliştiricinin bağımsız tasarım notları.

Stack Overflow, blog, GitHub gist veya üretken yapay zekâ çıktısı "sahipsiz kod" değildir. Her dış kod parçasının kaynağı, lisansı ve kullanım koşulları ayrıca değerlendirilmelidir.

17. Yapay zekâ ile üretilen içerik: telif ve intihal açısından temkinli yaklaşım

TBMM kayıtlarında 2/3634 esas numaralı 5846 sayılı Kanunda değişiklik teklifi hâlen komisyondadır; teklif kanunlaşmış değildir. Bu nedenle önerilen hükümler yürürlükteki hukuk gibi anlatılamaz.

Güncel FSEK genel kuralları insan tarafından meydana getirilen eser ve eser sahipliği kavramları üzerinden çalışır. Belirli bir yapay zekâ çıktısının eser niteliği, hak sahipliği veya ihlal yaratıp yaratmadığı; kullanılan model, girdiler, insan katkısı, çıktının niteliği ve kullanım biçimi gibi somut unsurlara göre ayrıca değerlendirilmelidir.

Akademik etik bakımından daha açık bir kural vardır: üretken yapay zekâ kullanmak, doğrulama ve atıf sorumluluğunu kaldırmaz. Modelin verdiği kaynak adı doğrulanmadan kaynakçaya eklenmemeli; modelden alınan özgün olmayan bir metin "yeniden yazıldı" denilerek kaynaksız kullanılmamalıdır.

18. Veri tabanlarında iki ayrı koruma mantığı

Veri tabanı hukukunda "veri" ile "verilerin seçimi/düzenlenmesi" ve "esaslı yatırım" ayrıştırılmalıdır. İçeriğin seçimi veya düzenlenmesinde özgünlük varsa derleme eser koruması gündeme gelebilir. Bunun yanında FSEK Ek Madde 8 kapsamında veri tabanının elde edilmesi, doğrulanması veya sunulmasına yönelik esaslı yatırım için kendine özgü koruma söz konusu olabilir.

Bu koruma veri tabanındaki her tekil gerçeği otomatik olarak sahiplenme hakkı vermez. Başka hukuki katmanlar da devreye girebilir: kişisel veri, ticari sır, sözleşme, haksız rekabet ve sektörel veri erişim kuralları.

Web scraping değerlendirmesinde bu nedenle yalnız "sayfa herkese açık" ölçütü yeterli değildir. Erişim koşulları, robots teknik tercihi, sözleşme, veri tabanı hakkı, kişisel veri ve sistem güvenliği birlikte incelenmelidir.

19. Patent ve yazılım

6769 sayılı Sınai Mülkiyet Kanunu m.82 bilgisayar programlarını "kendisi olarak" buluş niteliğinde sayılmayan konular arasında düzenler. Bu, yazılım içeren her teknik çözümün kategorik biçimde patent dışı olduğu şeklinde okunmamalıdır; başvurunun teknik niteliği ve patentlenebilir buluşa katkısı somut olarak incelenir.

Telif ile patent farklı koruma mekanizmalarıdır. Telif, belirli ifade biçimine; patent ise koşulları sağlandığında teknik buluşa yönelik münhasır hak sağlar. Bir ürün aynı anda yazılım telifi, patent, marka, tasarım, ticari sır ve sözleşmeyle farklı yönlerden korunabilir.

20. Entegre devre topoğrafyaları

Entegre devre topoğrafyaları, yazılım telifinden ayrı bir sınai hak alanıdır. Türkiye'de 5147 sayılı Entegre Devre Topoğrafyalarının Korunması Hakkında Kanun ve TÜRKPATENT'in ilgili mevzuatı uygulanır.

Bir yonganın HDL kodu, fiziksel yerleşimi, patentlenebilir teknik çözümü ve ticari sırları aynı hukuki kategori değildir. Donanım-yazılım ortak tasarımında varlık envanteri yapılırken bu ayrım önemlidir.

21. Kişisel veri: veri türü değil ilişki kavramıdır

KVKK bakımından kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir. Tek başına anlamsız görünen bir cihaz tanımlayıcısı, işlem izi veya konum noktası başka verilerle birleştirildiğinde kişiyi belirlenebilir hâle getirebilir.

Bir sistemde "ad soyad tutmuyoruz" demek KVKK kapsamı dışında kalındığını göstermez. IP adresi, cihaz kimliği, çağrı kaydı, biyometrik şablon, kullanıcı davranışı, güvenlik logu veya ses kaydı bağlama göre kişisel veri olabilir.

Anonimleştirme ile takma adlandırma aynı değildir. Bir eşleme anahtarı veya makul araçlarla kişi tekrar belirlenebiliyorsa veri anonim sayılmayabilir.

22. KVKK'da hukuki işleme şartı: açık rıza tek seçenek değildir

KVKK m.5 kişisel veri işlemenin hukuki şartlarını sınırlı biçimde sayar. Açık rıza bunlardan yalnız biridir. Kanunda açıkça öngörülme, sözleşmenin kurulması/ifası için gereklilik, hukuki yükümlülük, hakkın tesisi-kullanılması-korunması ve temel haklara zarar vermemek kaydıyla meşru menfaat gibi başka şartlar da bulunur.

Bir işlem zaten başka hukuki sebebe dayanıyorsa, gereksiz şekilde "rıza" almak uyumu güçlendirmez. Rıza geri çekilebilir; ayrıca hizmeti gereksiz rızaya bağlamak rızanın özgür irade unsurunu sakatlayabilir.

Mühendislikte her veri alanının processing inventory içinde şu bilgilerle eşlenmesi yararlıdır:

veri -> amaç -> hukuki sebep -> alıcı -> saklama süresi -> güvenlik kontrolü

Bu tablo veri akışı değiştikçe güncellenmelidir.

23. Özel nitelikli kişisel veriler: 2024 değişikliği

7499 sayılı Kanunla KVKK m.6 önemli ölçüde değişmiş ve yeni rejim 1 Haziran 2024'te yürürlüğe girmiştir. Eski ders notlarındaki "sağlık ve cinsel hayat dışındaki veriler" şeklindeki ikili model güncel düzenlemeyi tam olarak yansıtmaz.

Özel nitelikli veri işlendiğinde önce kategorinin m.6 kapsamında olup olmadığı, sonra güncel özel işleme şartlarından hangisine dayanıldığı ve Kurulca öngörülen yeterli önlemlerin nasıl uygulandığı belirlenmelidir.

Biyometrik veya genetik veri kullanan kimlik doğrulama sisteminde yalnız güvenlik avantajı değil; ölçülülük, alternatif yöntem, veri yaşam döngüsü ve ihlal halinde geri döndürülemezlik riski de değerlendirilmelidir. Kurulun 29 Nisan 2026 tarihli 2026/921 sayılı İlke Kararı, mesai takibi amacıyla biyometrik veri işlenmesini ayrıca ele almış ve sırf çalışan devam takibi için biyometrik yöntem kullanımının hukuka uygunluk ve ölçülülük bakımından ciddi sınırlara tabi olduğunu ortaya koymuştur.

24. Aydınlatma ve açık rıza ayrı süreçlerdir

Kişisel verilerin işlenmesine ilişkin aydınlatma yükümlülüğü, veri işleme faaliyeti hangi hukuki sebebe dayanırsa dayansın yerine getirilir. Açık rıza ise yalnız rızanın hukuki sebep olarak gerektiği işlemler içindir.

Kişisel Verileri Koruma Kurulunun 18 Şubat 2026 tarihli 2026/347 sayılı İlke Kararı, aydınlatma ile açık rıza metinlerinin ayrı düzenlenmesi gerektiğini ve aydınlatmada açık, sade, doğru, işlem özelinde bilgi verilmesini vurgular.

UI/UX açısından sonuç nettir: tek bir checkbox ile hem "aydınlatmayı okudum" hem de birbirinden farklı veri işleme faaliyetlerine rıza almayı tasarlamak risklidir. Consent state ayrı versiyonlanmalı, geri alma davranışı da sistemde gerçek sonuç üretmelidir.

25. Veri güvenliği ve ihlal yönetimi

KVKK m.12 veri sorumlusuna, kişisel verilerin hukuka aykırı işlenmesini ve erişimini önleme, verilerin muhafazasını sağlama için gerekli teknik ve idari tedbirleri alma yükümlülüğü getirir.

Teknik karşılıklar sistemin riskine göre değişir:

• en az yetki ve görev ayrılığı,
• güçlü kimlik doğrulama,
• şifreleme ve anahtar yönetimi,
• güvenli yazılım geliştirme,
• değiştirilmeye karşı korunan loglar,
• yedekleme ve geri dönüş testleri,
• güvenlik açığı ve yama yönetimi,
• veri sınıflandırma,
• olay müdahale planı,
• tedarikçi erişimi ve sözleşmesel kontroller.

İhlal halinde yalnız "logları silmemek" yetmez. Olayın kapsamı, etkilenen veriler, erişim zamanı, dışa aktarım göstergeleri, containment adımları ve bildirim kararının dayanakları kayıt altına alınmalıdır.

26. Yurt dışına kişisel veri aktarımı: 2024 sonrası yeni rejim

KVKK m.9, 2024'te yeniden düzenlenmiştir. Yurt dışına aktarım artık eski "açık rıza + güvenli ülke/taahhüt" şablonuyla anlatılmamalıdır.

Güncel yapıda temel olarak:

1. yeterlilik kararı,
2. yeterlilik yoksa uygun güvenceler,
3. bunların bulunmadığı sınırlı durumlarda arızi hâller

üzerinden değerlendirme yapılır.

Standart sözleşmeler ve bağlayıcı şirket kuralları uygun güvence mekanizmaları arasındadır. Standart sözleşmenin imzalanmasından sonra Kuruma beş iş günü içinde bildirim yükümlülüğü bulunur.

Teknik sistemde "veri Türkiye'deki sunucuda" demek tek başına yurt dışına aktarım olmadığı sonucunu garanti etmez. Yurt dışındaki support ekibinin uzaktan erişimi, SaaS logları, telemetri, CDN, crash reporting, yedekleme ve alt işleyen zinciri veri akışı haritasında ayrıca incelenmelidir.

27. Saklama, silme ve anonimleştirme

"Disk ucuz, tutalım" hukuki saklama politikası değildir. Kişisel veriler, işlendikleri amaç için gerekli süreyle sınırlı tutulmalı; ilgili kanuni saklama süreleri ve dava/uyuşmazlık gereksinimleri de değerlendirilmelidir.

Uygulamada her veri sınıfı için:

başlangıç olayı
+ zorunlu saklama süresi
+ hukuki ihtilaf/hold kuralı
+ silme veya anonimleştirme yöntemi
+ yedeklerde sona erdirme davranışı

tanımlanmalıdır.

Soft delete, kişisel verinin hukuken silindiği anlamına gelmez. Erişim yetkisi kapatılmış fakat üretim yedeğinde veya arama indeksinde erişilebilir veri yaşamaya devam edebilir. Kurulun 1 Temmuz 2026 tarihli 2026/1301 sayılı İlke Kararı, özellikle kamu tüzel kişiliğini haiz veri sorumlularının internet ortamındaki kişisel veri paylaşımlarında geçerli işleme şartı, ölçülülük, yayında kalma süresi, maskeleme ve güvenli erişim yöntemlerini birlikte değerlendirmesi gerektiğini vurgular.

28. 7545 sayılı Siber Güvenlik Kanunu

7545 sayılı Siber Güvenlik Kanunu 19 Mart 2025'te yayımlanmıştır. Kanun, siber uzayda varlık gösteren veya faaliyet/hizmet sunan çok geniş bir aktör kümesini kapsar ve Siber Güvenlik Başkanlığına görev, yetki, denetim ve koordinasyon işlevleri verir.

Kanunun 7. maddesi kapsamında bilişim sistemleriyle hizmet sunan, veri toplayan veya işleyenler için Başkanlığın talep ettiği veri/bilgi/belge/yazılım/donanım katkılarını sağlama, mevzuatın öngördüğü siber güvenlik tedbirlerini alma ve tespit edilen zafiyet veya siber olayları gecikmeksizin bildirme gibi sorumluluklar öngörülür. Kamu kurumları ve kritik altyapılarda ürün/hizmet tedarikine ilişkin ayrıca yetkilendirme ve belgelendirme hükümleri vardır.

24 Temmuz 2026 tarihli 7590 sayılı Kanun, 7545 sayılı Kanunun 6'ncı maddesinin birinci fıkrasına, kanunlarla yetkili kılınan kurumlarca yasal dinleme ve müdahalenin yapılmasına teknik olanak sağlama ve bu konuda gerekli düzenlemeleri yapma görevini eklemiş; 16'ncı maddenin onuncu fıkrasında da bağlantılı bir değişiklik yapmıştır. Bu hüküm, teknik ekip açısından yetkinin kaynağı ve kapsamının kanundan gelmesi gerektiği gerçeğini değiştirmez; erişim, kayıt ve müdahale mekanizmaları görev, yetki ve denetim sınırlarıyla birlikte tasarlanmalıdır.

Bu alan KVKK ile birlikte tasarlanmalıdır. Siber olay müdahalesi sırasında log toplamak veya paylaşmak güvenlik amacı taşısa da kişisel verilerin hukuka uygun, sınırlı ve güvenli işlenmesi gereğini ortadan kaldırmaz.

29. Türk Ceza Kanununda bilişim suçları

TCK'da bilişim sistemiyle doğrudan ilgili başlıca suç tipleri m.243 ve devamında yer alır. Hukuka aykırı sisteme girme veya sistemde kalma, veri naklini hukuka aykırı izleme, sistemi engelleme/bozma, verileri yok etme/değiştirme/erişilmez kılma ve bazı araç-programların suç işleme amacıyla hazırlanması gibi fiiller farklı maddelerde düzenlenir.

Kişisel verilerin hukuka aykırı kaydı, verilmesi, yayılması veya ele geçirilmesi ise TCK m.135 ve devamındaki hükümlerle ayrıca ilişkilidir.

Penetrasyon testi, red-team veya zararlı yazılım analizi yapan teknik personel için yazılı yetkilendirme, kapsam, zaman penceresi, hedef sistem, izin verilen teknikler ve veri işleme sınırları önemlidir. "Güvenlik amacıyla yaptım" ifadesi tek başına yetkisiz erişimi hukuka uygun hâle getirmez.

30. 5651 ve internet yayınları

5651 sayılı Kanun içerik sağlayıcı, yer sağlayıcı, erişim sağlayıcı ve diğer internet aktörlerinin sorumluluklarını ve belirli içerik/erişim tedbirlerini düzenler. Bir web sitesi sahibi, hosting sağlayıcısı ve erişim sağlayıcısı aynı hukuki rolde değildir.

Bu alanda Anayasa Mahkemesi kararları ve kanun değişiklikleri nedeniyle eski ders notlarındaki sabit "m.9 prosedürü" anlatımlarını güncel hukuk gibi kullanmak güvenli değildir. AYM'nin E.2020/76, K.2023/172 kararı 5651'deki bazı kuralları iptal etmiş ve sonuçları daha sonra yürürlüğe girmiştir.

Bir içeriğin çıkarılması veya erişimin engellenmesi talebinde somut hakkın türü, geçerli kanun maddesi, yetkili merci ve güncel usul yeniden kontrol edilmelidir. Eski ekran görüntüsü veya ders notu prosedür kaynağı olarak kullanılmamalıdır.

31. Elektronik delil ve adli bilişim

Elektronik veri delil olabilir; fakat delilin anlamı yalnız hash değerinden ibaret değildir. Kaynağın kimliği, elde edilme yöntemi, zaman, bütünlük, erişim yetkisi, zincir ve yeniden üretilebilirlik birlikte değerlendirilir.

HMK m.199 elektronik ortamdaki verileri belge kavramı içinde değerlendirir; m.205 güvenli elektronik imza ile oluşturulan elektronik verilerin senet niteliğine ilişkin özel hüküm içerir.

Ceza muhakemesinde bilgisayar, bilgisayar programları ve bilgisayar kütüklerinde arama, kopyalama ve elkoyma CMK m.134 kapsamındadır. Anayasa Mahkemesi 12 Şubat 2026 tarihli E.2023/128, K.2026/36 sayılı kararıyla m.134'ün birinci ve ikinci fıkralarındaki bazı bölümleri iptal etmiş; iptal hükümlerinin Resmî Gazete'de yayımdan dokuz ay sonra yürürlüğe girmesine karar vermiştir. Bu nedenle dijital arama ve elkoyma işlemlerinde yalnız eski ders notuna veya önceki madde metnine değil, işlem tarihindeki yürürlük metnine ve güncel yargısal güvencelere bakılmalıdır.

Adli bilişimde teknik iyi uygulama şunları hedefler:

• kaynağa gereksiz yazmayı önleme,
• orijinal ve çalışma kopyalarını ayırma,
• bütünlük doğrulama,
• saat/zaman dilimi bağlamını kaydetme,
• işlem günlüğü tutma,
• yetki ve kapsamı belgeleme,
• kişisel ve ilgisiz veriyi gereksiz yaymama.

32. Elektronik imza ve ispat

5070 sayılı Kanun güvenli elektronik imzaya elle atılan imzayla aynı hukuki sonucu bağlar. Güvenli elektronik imza, nitelikli elektronik sertifika ve kanunda tanımlanan güvenli imza oluşturma koşullarıyla ilişkilidir.

Ancak bütün elektronik onaylar "güvenli elektronik imza" değildir. Bir web formundaki "kabul ediyorum" butonu, OTP, çizilmiş imza görüntüsü ve 5070 anlamında güvenli elektronik imza teknik/hukuki olarak farklı mekanizmalardır.

Kanunun resmi şekle veya özel merasime tabi tuttuğu hukuki işlemler ile teminat sözleşmeleri güvenli elektronik imzanın genel eşdeğerlik kuralının dışında tutulur. Eski notlardaki tek tek işlem örnekleri yerine güncel kanuni kategori esas alınmalıdır; özel işlemin güncel mevzuatı ayrıca kontrol edilir.

33. Elektronik sözleşmeler, clickwrap ve kayıt tasarımı

Elektronik ortam sözleşmenin kurulmasına engel değildir; fakat geçerlilik, şekil, tüketici hukuku ve ispat koşulları işlem türüne göre değişir.

Clickwrap tasarımında yalnız buton metni değil şu kayıtlar önemlidir:

sözleşme sürümü
kullanıcı/oturum kimliği
zaman damgası
sunulan metnin hash/sürüm kimliği
kabul eylemi
geri çekme/fesih süreci
ilgili aydınlatma ve ayrı rıza kayıtları

Bu loglar kişisel veri de içerebilir. "İspat için tutuyoruz" gerekçesi sınırsız saklama yetkisi vermez; saklama süresi ve erişim kontrolü ayrıca belirlenir.

34. Elektronik ticaret ve ticari elektronik ileti

6563 sayılı Kanun ve ikincil mevzuat elektronik ticaret hizmet sağlayıcıları ile aracı hizmet sağlayıcılar için çeşitli bilgi verme, kayıt, platform ve ticari ileti yükümlülükleri öngörür. 2022 değişiklikleri sonrası platform ekonomisine ilişkin yükümlülükler genişlemiştir.

Ticari elektronik iletilerde İleti Yönetim Sistemi (İYS), onay ve ret süreçlerinin merkezî yönetiminde rol oynar. Uygulama mimarisi açısından izin kaydı yalnız true/false alanı olmamalıdır; izin türü, kanal, kapsam, kaynak, tarih ve ret durumu izlenebilir olmalıdır.

Pazarlama rızası ile bir siparişin ifası için gönderilen zorunlu bildirim aynı hukuki amaç değildir. Sistem mesajlarını pazarlama içeriğiyle karıştırmak, izin yönetimini bozar.

35. Tüketici hukuku ve dijital içerik

6502 sayılı Kanunun 48. maddesi ve Mesafeli Sözleşmeler Yönetmeliği internet/mobil gibi uzaktan iletişim araçlarıyla kurulan tüketici işlemlerinde ön bilgilendirme, ifa ve cayma gibi hakları düzenler.

Genel kural olarak mesafeli sözleşmelerde on dört günlük cayma hakkı vardır; ancak elektronik ortamda anında ifa edilen hizmetler ve tüketiciye anında teslim edilen gayri maddi dijital içerik gibi belirli istisnalar bulunur. İstisna, "ürün yazılım" denilerek otomatik varsayılmamalı; sözleşmenin niteliği ve güncel yönetmelik koşulları incelenmelidir.

Arayüzde ödeme yükümlülüğü, toplam bedel, abonelik yenilemesi ve cayma/fesih mekanizmaları kullanıcıdan gizlenmemelidir. Hukuki uyum dark pattern tasarımının karşıtıdır.

36. Ödeme hizmetleri ve elektronik para

6493 sayılı Kanun ödeme hizmetlerini, ödeme kuruluşlarını ve elektronik para kuruluşlarını düzenler; düzenleme ve denetim alanında TCMB temel otoritedir.

Bir uygulamanın "cüzdan", "bakiye", "puan" veya "ödeme aracılığı" özelliği teknik adından bağımsız olarak 6493 kapsamındaki bir ödeme hizmetine yaklaşabilir. Ürünün para akışı, fonların kimde tutulduğu, ödeme emrini kimin aldığı ve hizmetin kapalı devre olup olmadığı hukuk birimiyle birlikte modellenmelidir.

Bu alan AML/KYC, bankacılık ve vergi gibi başka mevzuat katmanlarıyla da kesişebilir.

37. Alan adları, marka ve TRABİS

Alan adı teknik olarak DNS kaydıdır; fakat seçilen ad marka, ticaret unvanı, kişilik hakkı ve haksız rekabet uyuşmazlıklarına konu olabilir.

.tr alan adları için TRABİS ve İnternet Alan Adları Yönetmeliği/Tebliğleri kapsamında uyuşmazlık çözüm mekanizması bulunur. "Alan adı boştu, ilk ben aldım" savunması her uyuşmazlıkta yeterli değildir.

Ürün adlandırmasında alan adı kaydından önce marka ve hak sahipliği araştırması yapmak, sonradan rebranding maliyetini azaltır.

38. Ticari sır, gizlilik ve kaynak kodu

Her değerli teknik bilgi telif hakkıyla korunmaz. Kaynak kodu, mimari tasarım, model ağırlığı, eğitim verisi, deployment anahtarı, müşteri listesi veya performans optimizasyonu sözleşme ve haksız rekabet/ticari sır çerçevesinde ayrıca korunabilir.

Telifin "fikirleri korumaması", gizli teknik bilginin sözleşmeye aykırı ifşasını serbest hale getirmez. Aynı şekilde NDA olması, karşı tarafa ait telifli kodun hak devri anlamına gelmez.

Gizlilik tasarımında sınıflandırma, need-to-know erişim, secret management, export kontrolü, ekran görüntüsü/dump politikası ve çalışan ayrılış prosedürü birlikte ele alınmalıdır.

39. Web içeriği, link, cache ve gömülü içerik

İnternette erişilebilir olmak, içeriğin telifsiz olduğu anlamına gelmez. Bir makalenin URL'sine bağlantı vermek, makalenin tamamını kendi sunucunuza kopyalamak, iframe/embed kullanmak, thumbnail üretmek ve cache/proxy kopyası oluşturmak teknik olarak farklı fiillerdir.

Hukuki değerlendirmede kaynağın lisansı, kullanım biçimi, çoğaltma/umuma iletim etkisi, platform sözleşmesi ve istisnalar birlikte incelenir.

SEO amacıyla başka sitedeki açıklama metnini veya ürün içeriğini otomatik çekip yeniden yayımlamak hem telif hem veri tabanı hakkı hem de haksız rekabet açısından risk üretebilir.

40. Loglama: güvenlik, delil ve mahremiyet arasında denge

Loglar olay müdahalesi ve hata ayıklama için değerlidir; aynı zamanda kişisel veri ve hassas operasyon bilgisi taşıyabilir.

Güvenli log mimarisinde:

• parola, token, özel anahtar ve gereksiz payload yazılmaz,
• kimlikler gerektiğinde takma adlandırılır,
• log seviyesi production'da amaçla sınırlanır,
• erişim ayrı yetkilendirilir,
• bütünlük ve zaman senkronizasyonu korunur,
• saklama süresi veri sınıfına göre belirlenir,
• silme ve legal hold çatışması prosedüre bağlanır.

"Her şeyi logla, sonra bakarız" yaklaşımı hem saldırı yüzeyini hem hukuki riski büyütür.

41. Privacy by design ve security by design

Hukuki uyum sonradan eklenen bir metin değildir. Veri modelinde tutulmayan gereksiz bilgi sızdırılamaz; erişim yetkisi verilmeyen hesap veriyi göremez; kısa saklama süresi eski kayıtların riskini azaltır.

Privacy by design için teknik örnekler:

• zorunlu olmayan alanı toplamamak,
• hassas değeri türetilebilir token ile değiştirmek,
• role-based veya attribute-based erişim,
• export/download yetkisini ayrıca kontrol etmek,
• test verisini production verisinden ayırmak,
• veri silme isteğini yedek ve indeks yaşam döngüsüyle birlikte tasarlamak,
• üçüncü taraf SDK eklenirken veri akışını yeniden değerlendirmek.

Security by design ise threat modeling, güvenli varsayılanlar, defense in depth ve fail-safe davranışla tamamlanır.

42. Yapay zekâ sistemlerinde bilişim hukuku

Bir yapay zekâ sistemi aynı anda kişisel veri, telif, ticari sır, tüketici, sözleşme ve siber güvenlik sorunları doğurabilir.

Örnek risk zinciri:

veri toplama
-> eğitim/ince ayar
-> model artefaktı
-> prompt ve retrieval
-> çıktı
-> log/telemetri
-> insan kararı veya otomasyon

Her aşamada veri ve hak sahipliği ayrı değerlendirilmelidir. "Model öğrendi, artık kaynak veri değil" sonucu otomatik değildir. RAG sisteminde dış kaynağın metnini cevapta uzun biçimde yeniden üretmek, klasik telif sorunlarını ortadan kaldırmaz.

Model çıktısının doğruluğu da telif uygunluğu anlamına gelmez. Kod üretiminde provenance, lisans ve güvenlik taraması; metin üretiminde kaynak doğrulama ve intihal denetimi ayrı kontrollerdir.

43. Bilişim hukuku için intihalsiz içerik üretim protokolü

Bir hukuk/teknik ders notu hazırlanırken aşağıdaki süreç yüksek güvence sağlar:

1. Konu başlıklarını kaynaklardan çıkar; cümleleri taşıma.
2. Her hukuki kuralı mümkünse kanun, Resmî Gazete, yüksek yargı veya yetkili kurum kaynağından doğrula.
3. Kaynak metni kapatıp kuralı kendi kavramsal yapınla açıkla.
4. Madde numarası, kurum ve tarih gibi doğrulanabilir metadata kullan.
5. Doğrudan alıntıyı yalnız gerçekten gerekli olduğunda kısa ve açık işaretli kullan.
6. Her tabloda/şekilde kaynağı ve kullanım iznini ayrı kontrol et.
7. İkincil kaynakla bulunan bir hükmü birincil kaynağa dönmeden kesinleştirme.
8. Otomatik paraphrase veya eş anlamlı sözcük değiştirme yöntemini özgünlük sanma.
9. Kaynakça ile gövdeyi eşleştir; kullanılmayan kaynağı süs olarak ekleme.
10. Yayın öncesi benzerlik taraması yap; yüksek benzerliği bağlamıyla elle incele.

Bu protokol, "yüzde sıfır benzerlik" gibi mekanik bir hedef değil, fikrî emeğin ve kaynağın provenance'ını dürüst biçimde korumayı amaçlar.

44. Mühendislik kararlarında hukuk kontrol matrisi

Yeni bir özellik geliştirirken kısa bir kontrol matrisi kullanılabilir:

Özellik: ses kaydı analizi

Kişisel veri?          evet
Özel nitelikli veri?   içeriğe/işleme amacına göre değerlendir
Yurt dışı aktarım?     altyapı ve destek erişimini kontrol et
Telifli içerik?        kayıt/çıktı üzerindeki hakları kontrol et
Saklama?               amaç + mevzuat + delil ihtiyacı
Erişim?                rol, kayıt, export sınırı
Siber olay etkisi?     olay bildirim ve delil prosedürü
Üçüncü taraf?          sözleşme + veri işleyen + alt işleyen

Aynı yaklaşım yüz tanıma, e-ticaret, çalışan izleme, SIEM, bulut yedekleme, LLM/RAG ve müşteri analitiği için uygulanabilir.

45. Sık karıştırılan hükümler

"Kaynak verdim, istediğim kadar kopyalayabilirim." Yanlış. Atıf etik gereği karşılayabilir; telif bakımından izin veya kanuni istisna ayrıca gerekir.

"Kod GitHub'da herkese açık, telifsizdir." Yanlış. Repository'nin görünür olması lisans koşullarını ortadan kaldırmaz.

"Açık kaynakta telif yoktur." Yanlış. Açık kaynak lisansı, telif haklarının belirli koşullarla kullanılmasına izin verir.

"Fikir bana aitse programın bütün hakları bana aittir." Her zaman değil. Fikir ile somut eser sahipliği ve sözleşmeyle devralınan mali haklar ayrıdır.

"KVKK için her zaman açık rıza alırsam sorun çözülür." Yanlış. Önce doğru işleme şartı belirlenir; gereksiz rıza uyumsuzluk yaratabilir.

"Sunucu Türkiye'deyse yurt dışı aktarım yoktur." Her zaman değil. Uzaktan erişim ve dış servis/telemetri akışları ayrıca incelenir.

"Penetrasyon testi iyi niyetliyse izin gerekmez." Yanlış. Yetki, kapsam ve hukuki dayanak açık olmalıdır.

"AI yazdıysa telif ve intihal riski yoktur." Yanlış. Kaynak provenance'ı, insan katkısı ve çıktı kullanımı ayrıca değerlendirilir.

46. Sonuç

Bilişim hukukunda en güvenilir yöntem, hukuk ile mimariyi ayrı dünyalar gibi görmemektir. Bir veri tabanı şeması saklama ve minimizasyonu; bir API yetkilendirme ve ispatı; bir dependency lisans yükümlülüğünü; bir log politikası KVKK, siber güvenlik ve delil zincirini doğrudan etkileyebilir.

Telif ve intihal alanında ise temel ayrım daha da önemlidir: teknik fikirleri öğrenmek ve bağımsız çözüm geliştirmek meşru mühendisliğin parçasıdır; başkasının özgün ifade ve emeğini kaynaksız sahiplenmek ise hem etik hem de somut olaya göre hukuki sorun yaratabilir. Sağlam ders notu ve sağlam yazılım aynı ilkeye dayanır: kaynağı bil, hakkı bil, kendi ifadenle üret ve provenance'ı kaybetme.

Kaynaklar

1. T.C. Mevzuat Bilgi Sistemi, 5846 sayılı Fikir ve Sanat Eserleri Kanunu.
2. T.C. Kültür ve Turizm Bakanlığı Telif Hakları Genel Müdürlüğü, Telif Hakkı Nasıl Korunur?, Genel Sorular, İsteğe Bağlı Kayıt-Tescil ve Telif Hakkı İhlali Halinde Ne Yapılabilir?. https://telifhaklari.ktb.gov.tr/
3. Yükseköğretim Kurulu, Bilimsel Araştırma ve Yayın Etiği Yönergesi. https://www.yok.gov.tr/Sayfalar/Kurumsal/mevzuat/bilimsel-arastirma-ve-etik-yonetmeligi.aspx
4. T.C. Mevzuat Bilgi Sistemi, 6698 sayılı Kişisel Verilerin Korunması Kanunu.
5. Kişisel Verileri Koruma Kurumu, Kişisel Veriler, Veri Güvenliğine İlişkin Yükümlülükler, Yurt Dışına Aktarım ve 18.02.2026 tarihli 2026/347 sayılı İlke Kararı. https://www.kvkk.gov.tr/
6. Türkiye Büyük Millet Meclisi, 7545 sayılı Siber Güvenlik Kanunu. https://www.tbmm.gov.tr/Yasama/Kanun/af1dfbdb-e3e3-4820-a493-0194504c63b4
7. T.C. Mevzuat Bilgi Sistemi, 5237 sayılı Türk Ceza Kanunu.
8. T.C. Mevzuat Bilgi Sistemi, 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanun.
9. Anayasa Mahkemesi, E.2020/76, K.2023/172 sayılı karar ve 10.01.2024 tarihli basın duyurusu. https://www.anayasa.gov.tr/
10. Bilgi Teknolojileri ve İletişim Kurumu, Elektronik İmza — Genel Bilgi ve ilgili mevzuat. https://www.btk.gov.tr/elektronik-imza-genel-bilgi
11. T.C. Mevzuat Bilgi Sistemi, 5070 sayılı Elektronik İmza Kanunu.
12. T.C. Mevzuat Bilgi Sistemi, 6563 sayılı Elektronik Ticaretin Düzenlenmesi Hakkında Kanun.
13. T.C. Ticaret Bakanlığı, Elektronik Ticaret Mevzuatı ve İleti Yönetim Sistemi. https://www.ticaret.gov.tr/ic-ticaret/mevzuat/elektronik-ticaret
14. T.C. Mevzuat Bilgi Sistemi, 6502 sayılı Tüketicinin Korunması Hakkında Kanun ve Mesafeli Sözleşmeler Yönetmeliği.
15. T.C. Ticaret Bakanlığı, Mesafeli Sözleşmeler Hakkında Bilgilendirme, 17.08.2026. https://tuketici.ticaret.gov.tr/
16. Türkiye Cumhuriyet Merkez Bankası, 6493 sayılı Kanun ve ödeme hizmetleri mevzuatı. https://www.tcmb.gov.tr/
17. Türk Patent ve Marka Kurumu, 6769 sayılı Sınai Mülkiyet Kanunu ve 5147 sayılı Entegre Devre Topoğrafyalarının Korunması Hakkında Kanun. https://www.turkpatent.gov.tr/mevzuat
18. T.C. Mevzuat Bilgi Sistemi, 6100 sayılı Hukuk Muhakemeleri Kanunu.
19. Anayasa Mahkemesi, E.2023/128, K.2026/36; CMK m.134'te bilgisayar, bilgisayar programları ve kütüklerinde arama, kopyalama ve elkoymaya ilişkin norm denetimi kararı, 12.02.2026. https://www.anayasa.gov.tr/
20. Türkiye Büyük Millet Meclisi, 7590 sayılı Bazı Kanun ve Kanun Hükmünde Kararnamelerde Değişiklik Yapılmasına Dair Kanun, 24.07.2026; 7545 sayılı Siber Güvenlik Kanununda değişiklik yapan hükümler. https://www.tbmm.gov.tr/
21. Kişisel Verileri Koruma Kurumu, 29.04.2026 tarihli 2026/921 sayılı Mesai Takibi Amacıyla Biyometrik Veri İşlenmesi Hakkında İlke Kararı. https://www.kvkk.gov.tr/
22. Kişisel Verileri Koruma Kurumu, 01.07.2026 tarihli 2026/1301 sayılı kamu tüzel kişiliğini haiz veri sorumlularının internet ortamında kişisel veri paylaşımına ilişkin İlke Kararı. https://www.kvkk.gov.tr/
23. Türkiye Büyük Millet Meclisi, 5846 sayılı Kanunda yapay zekâ çağındaki telif konularına ilişkin 2/3634 esas numaralı Kanun Teklifi; hâlen komisyondadır. https://www.tbmm.gov.tr/Yasama/KanunTeklifi/547ff9e4-c8de-4271-a720-019d70f503ff