Coğrafi Veri İzinleri Yönetmeliği Yayımlandı: İzin Yükümlülüğü ve Veri Koruma Gereklilikleri

Çevre, Şehircilik ve İklim Değişikliği Bakanlığı ("Bakanlık") tarafından hazırlanan Coğrafi Veri İzinleri Yönetmeliği ("Yönetmelik"), 14.10.2026 tarihli ve 33400 sayılı Resmî Gazete'de yayımlanmış ve yayımı tarihinde yürürlüğe girmiştir.

Yönetmelik ile 10.02.2021 tarihli ve 31391 sayılı Resmî Gazete'de yayımlanan Coğrafi Veri İzinleri Yönetmeliği ve Coğrafi Veri Lisans Yönetmeliği yürürlükten kaldırılmış, böylece izin ve lisans rejimi tek bir metinde toplanmıştır. Daha önce verilen lisans ve izin belgeleri, verildikleri süre sonuna kadar geçerliliğini korumaktadır.

Bu yazımızda Yönetmeliğin getirdiği çerçeve ile düzenlemenin kişisel verilerin korunması ve uyum süreçleri bakımından doğurduğu sonuçlar değerlendirilmektedir.

Düzenlemenin Dayanağı ve Coğrafi Veri Rejiminin Çerçevesi

Yönetmelik, 7221 sayılı Coğrafi Bilgi Sistemleri ile Bazı Kanunlarda Değişiklik Yapılması Hakkında Kanun'un 1'inci maddesi ile 49 sayılı Coğrafi Bilgi Sistemleri Hakkında Cumhurbaşkanlığı Kararnamesine dayanmaktadır.

Rejimin merkezinde Ulusal Coğrafi Veri Sorumluluk Matrisi bulunmaktadır. Matris, 49 sayılı Kararnameye ekli listede yer alan coğrafi veri temaları ile bu temalardan sorumlu kamu kurum ve kuruluşlarını göstermektedir. Söz konusu liste otuz iki temadan oluşmakta olup; adres, bina, kadastro, ulaşım ağları, hidrografya, altyapı, arazi kullanımı, nüfus dağılımı, insan sağlığı ve güvenliği, sanayi tesisleri ile ortogörüntü gibi başlıkları içermektedir.

Bu kapsamın genişliği, düzenlemenin özellikle harita ve mühendislik firmalarını ilgilendiren teknik bir rejim olmadığını göstermektedir. Ancak adres ve bina verisi üreten, konum tabanlı uygulama geliştiren, saha ekiplerinin konum verisini toplayan, altyapı envanteri tutan veya lojistik, sigortacılık, perakende ve gayrimenkul alanlarında coğrafi analiz hizmeti sunan şirketlerin faaliyetlerinin de kapsama girip girmediğini değerlendirmesi gerektiği düşünülebilir.

Kimler İzin Almakla Yükümlüdür?

Yönetmelik uyarınca gerçek kişiler, özel hukuk tüzel kişileri ile yabancı gerçek ve tüzel kişiler, matris kapsamındaki coğrafi verileri toplama, üretme, paylaşma veya satmaya yönelik ticari faaliyetleri için izin almakla yükümlüdür.

Türk Ticaret Kanunu kapsamında şube sayılan tüzel kişiler için işletme merkezi, acente sayılanlar için ise aracılık edilen işletme merkezi tek bir izin almaktadır.

Kamu kurumları için hizmet alımı kapsamında yürütülen coğrafi veri faaliyetlerinde izin bedelsiz alınmaktadır. Ancak bu faaliyet sonucunda elde edilen verilerin ticarete konu edilmesi, satılması veya paylaşılması hâlinde izin bedeli ödenmesi gerekmektedir. Türk vatandaşı gerçek kişiler ile özel hukuk tüzel kişileri bakımından ilk defa ticari faaliyete başlanan yıl da bedelden muaf tutulmuştur.

Elektrik ve doğal gaz dağıtım lisansı sahibi tüzel kişiler, dağıtım lisansına konu faaliyetleri bakımından Bakanlık elektronik altyapısına kaydolmak şartıyla izin yükümlülüğünden ve bedelden muaftır. Bu muafiyetin lisans faaliyeti dışındaki ticari kullanımları kapsamadığı açıkça düzenlenmiştir.

Muafiyet Kapsamı Dar Tutulmuştur

Yönetmelik yalnızca iki hâli izin yükümlülüğünden muaf tutmaktadır. Bunlar, fatura kesmek amacıyla talep edilen adres bilgileri ile şirketin kendi merkez, şube ve acentelerine ait adres ve konum verilerinin internet sitesinde veya sosyal medya hesaplarında paylaşılmasıdır.

Muafiyetin bu kadar dar tutulmuş olması dikkat çekmektedir. Örneğin, müşteri adres verisinin fatura düzenleme amacı dışında analiz edilmesi, segmentasyonda kullanılması veya üçüncü kişilerle paylaşılması muafiyet kapsamında değerlendirilmeyebilecektir. Bu nedenle şirketlerin adres ve konum verisini hangi amaçlarla işlediklerini amaç bazında ayrıştırmaları önem taşımaktadır.

Başvuruda İstenen Belgeler ve Kişisel Verilerin Korunması Boyutu

Yönetmeliğin kişisel verilerin korunması bakımından en dikkat çeken yönü, başvuru aşamasında istenen belgelerdir.

Tüzel kişi başvurularında, projede çalıştırılacak personelin adı, soyadı, Türkiye Cumhuriyeti kimlik numarası, meslek belgesi, diploması ve sosyal güvenlik belgesi ile kullanılacak araçların marka, model ve plaka bilgilerinin sisteme girilmesi gerekmektedir. Ayrıca çalıştırılacak personele ait adli sicil kaydı belgesinin de sisteme yüklenmesi aranmaktadır.

Adli sicil kaydı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("Kanun") 6'ncı maddesi uyarınca ceza mahkumiyeti ve güvenlik tedbirlerine ilişkin veri niteliğinde olup özel nitelikli kişisel veriler arasında yer almaktadır. Bu nedenle söz konusu verinin çalışandan talep edilmesi, işveren nezdinde işlenmesi ve Bakanlığa aktarılması, özel nitelikli kişisel veri işleme rejimine tabidir.

Bu noktada hukuki sebep bakımından dikkatli bir değerlendirme yapılması gerektiği düşünülebilir. Kanun, özel nitelikli kişisel verilerin açık rıza dışındaki işleme şartlarını sınırlı biçimde saymakta olup ceza mahkumiyetine ilişkin veriler bakımından kanunlarda açıkça öngörülme şartını aramaktadır. Yükümlülüğün yönetmelik düzeyinde düzenlenmiş olması nedeniyle, veri sorumlularının bu işleme faaliyetini kendi somut durumları bakımından değerlendirmeleri ve işleme şartını belgelendirmeleri yerinde olacaktır.

Bu kapsamda şirketlerin, coğrafi veri izin süreci için çalışan verilerinin işlenmesine ilişkin olarak çalışan aydınlatma metinlerini güncellemesi, kişisel veri işleme envanterine ve VERBİS kayıtlarına "Bakanlığa aktarım" kalemini eklemesi ve adli sicil kaydının yalnızca izin süreci amacıyla, süreç sonrasında ise saklama ve imha politikasındaki süreye tabi olacak şekilde işlenmesini sağlaması önem taşımaktadır.

Bilgi Güvenliği Beyanı ve Siber Güvenlik Kanunu ile İlişki

Başvuruda istenen bir diğer belge, faaliyete konu veriler ile bu verilerin işlendiği ve saklandığı bilgi sistemlerinin gizliliğinin, bütünlüğünün, erişilebilirliğinin ve güvenliğinin sağlanmasına yönelik gerekli tedbirlerin alındığına ilişkin yazılı beyandır.

Bu beyan, başvuru sahibini idari sorumluluk altına sokan bir taahhüt niteliği taşımaktadır. Beyanın soyut bir cümleden ibaret kalmaması, beyana dayanak oluşturan bilgi güvenliği politikaları, erişim kontrolleri, loglama ve yedekleme süreçlerinin belgelendirilmiş olması önem taşımaktadır. ISO/IEC 27001 kapsamında bir yönetim sisteminin bulunması bu belgelendirme bakımından kolaylık sağlayabilecektir.

Yönetmelik, Bakanlıkla paylaşılan coğrafi veriler bakımından Kanuna ve 7545 sayılı Siber Güvenlik Kanunu'na açıkça atıf yapmakta ve kişisel verilerin korunması ile gizlilik ve güvenliğin sağlanmasına yönelik tedbirlerin alınmasını öngörmektedir. Böylece coğrafi veri rejimi, veri koruma ve siber güvenlik mevzuatıyla doğrudan bağlantılı hâle getirilmiştir.

Coğrafi Veri Kişisel Veri Niteliği Taşıyabilir

"Coğrafi veri" ile "kişisel veri" çoğu zaman birbirinden ayrı kavramlar olarak ele alınmaktadır. Ancak matris kapsamındaki temaların bir kısmı, doğrudan kişilerle ilişkilendirilebilecek verileri içermektedir.

Adres teması, bina teması ve nüfus dağılımı teması bu bakımdan öne çıkmaktadır. Bir adresin tek başına kişisel veri niteliği taşımadığı ileri sürülebilse de adresin kişiyle ilişkilendirilmesi veya başka verilerle birleştirilerek kimliği belirlenebilir kılması hâlinde kişisel veri rejimine tabi olacağı değerlendirilmektedir.

Konum verisinin kişilerin günlük hareketleri ve ziyaret ettikleri yerler hakkında ayrıntılı çıkarımlar yapılmasına imkân sağlaması nedeniyle veri koruma otoritelerinin bu alandaki yaklaşımı katılaşmaktadır.

Bu nedenle coğrafi veri izni alan şirketlerin, izne konu veri setlerinde kişisel veri bulunup bulunmadığını ayrıca analiz etmeleri, bulunması hâlinde bu verilere ilişkin hukuki sebebi, saklama süresini ve aktarım koşullarını ayrı bir başlık altında yönetmeleri önem taşımaktadır.

Şirketler Bakımından Yapılması Gerekenler

Yönetmelik sonrasında şirketlerin aşağıdaki başlıkları gözden geçirmesi önem taşımaktadır:

• Yürütülen faaliyetlerin Ulusal Coğrafi Veri Sorumluluk Matrisi kapsamına girip girmediğinin tema bazında tespit edilmesi. Adres, bina, ulaşım ağları ve altyapı temaları bu değerlendirmede öncelikle incelenmelidir.
• Mevcut lisans veya izin belgesi bulunan şirketlerde belgenin geçerlilik süresinin tespit edilmesi ve süre sonunda yeni Yönetmelik hükümlerine göre başvuru yapılmasının planlanması.
• Adres ve konum verisinin hangi amaçlarla işlendiğinin amaç bazında ayrıştırılması ve muafiyet kapsamında kalan kullanımların diğer kullanımlardan ayrılması.
• İzne konu veri setlerinde kişisel veri bulunup bulunmadığının analiz edilmesi ve bulunması hâlinde hukuki sebep, saklama süresi ve aktarım koşullarının belirlenmesi.
• Başvuruda personel kimlik bilgileri ile adli sicil kaydının işlenmesi nedeniyle çalışan aydınlatma metinlerinin güncellenmesi, kişisel veri işleme envanteri ve VERBİS kayıtlarına Bakanlığa aktarım kaleminin eklenmesi.
• Adli sicil kaydının yalnızca izin süreci amacıyla işlenmesinin sağlanması, süreç tamamlandıktan sonra saklama ve imha politikasında belirlenen sürenin uygulanması.
• Başvuruda sunulacak bilgi güvenliği beyanına dayanak oluşturan politika, prosedür ve teknik tedbirlerin belgelendirilmesi.
• Faaliyet raporu ve metaveri kaydı yükümlülükleri için on iki aylık periyodu takip edecek bir iç hatırlatma mekanizmasının kurulması.
• Ünvan, ortak, sorumlu kişi, araç ve personel değişikliklerinde on beş günlük bildirim süresinin takip edilmesi.
• Yabancı grup şirketleri adına Türkiye'de coğrafi veri faaliyeti yürütülmesi hâlinde, yabancı kişilere ilişkin ayrı başvuru ve bedel rejiminin değerlendirilmesi.

Sonuç ve Değerlendirme

Yönetmelik, izin ve lisans rejimini tek bir metinde toplamakta ve coğrafi veri faaliyetlerini daha ayrıntılı bir izin, raporlama ve denetim çerçevesine bağlamaktadır.

Düzenlemenin veri koruma bakımından iki yönü bulunmaktadır. Bir yandan izne konu coğrafi verilerin kişisel veri içermesi ihtimali, diğer yandan izin sürecinin kendisinin çalışanlara ait kimlik bilgileri ve adli sicil kaydı gibi verilerin işlenmesini gerektirmesi söz konusudur. Bu nedenle sürecin yalnızca teknik veya idari bir izin süreci olarak değil, aynı zamanda bir kişisel veri işleme faaliyeti olarak ele alınması gerektiği değerlendirilebilir.

Konuya ilişkin detaylara Resmî Gazete'de yayımlanan Coğrafi Veri İzinleri Yönetmeliği üzerinden ulaşabilirsiniz.