Tek Eylem İki Otorite: Reklam Hukuku ile KVKK Arasındaki Çifte Cezalandırma Riski ve Non Bis In Idem İlkesi

Ticari Reklam ve Haksız Ticari Uygulamalar Yönetmeliğinde Değişiklik Yapılmasına Dair Yönetmelik, 1 Temmuz 2026 tarihli Resmî Gazete’de yayımlanarak 1 Ağustos 2026’da yürürlüğe girmiştir. Bu değişiklik, dijital reklamcılığı yapay zeka çağına uyarlayan önemli yenilikler içermektedir. Özellikle hedefli reklamcılık (yeni m.25/A) ve yapay zeka şeffaflığı (m.18/8, m.27/12) hükümleri, kişisel verilerin işlenmesini doğrudan reklam hukuku kapsamına almakta ve KVKK ile önemli bir kesişim alanı oluşturmaktadır.

Yönetmelik, "hedefli reklamcılık"ı tüketicilerin çevrimiçi davranışları, konum, demografik veriler gibi kişisel verilerin analiziyle kişiye özel reklam sunumu olarak tanımlamış ve bu faaliyetin ancak kriterlerin tüketiciye kolayca açıklanması koşuluyla yapılabileceğini hükme bağlamıştır. Çocuklara yönelik profilleme temelli hedefli reklam ise mutlak yasaklanmıştır. Yapay zeka kullanımı ekonomik davranışı etkileyecekse bunun açıkça belirtilmesi zorunludur; gerçeğe aykırı dijital kopyalarla ürün deneyimletilmesi ise yasaklanmıştır. Sosyal medya etkileyicileri için "Reklam" ibaresi ilk bakışta görünür olmalı, tüketici değerlendirmeleri ise yalnızca doğrulanmış kullanıcılara açık olmalıdır.

Bu düzenlemeler, bir işletmenin KVKK m.5 ve m.10’a aykırı (açık rıza veya aydınlatma eksikliği) veri işleyerek hedefli reklam yapması halinde, tek fiilin hem KVKK hem de Reklam Yönetmeliği ihlali oluşturmasına yol açmaktadır. Benzer şekilde yapay zeka ile üretilen biyometrik/görsel veriler de çifte ihlal riski taşır. Kabahatler Kanunu m.15/1, tek fiille birden fazla kabahat halinde en ağır idari para cezasının verilmesini öngörse de, iki farklı kurum (Ticaret Bakanlığı Reklam Kurulu ve KVK Kurulu) tarafından yürütülen bağımsız süreçlerde bu kuralın otomatik uygulanması mümkün değildir. Korunan menfaatler (tüketiciyi koruma vs. kişisel veri koruma) farklı olduğundan ve cezalar idari para ile sınırlı olmadığından, çifte cezalandırma riski yüksektir. Mevzuatta bu riski usul açısından yönetecek mekanizma bulunmamaktadır.

Avrupa Birliği’nde durum daha karmaşıktır. Hedefli reklam GDPR kapsamında veri koruma otoriteleri (DPA), DSA kapsamında dijital hizmetler koordinatörleri ve AI Act m.50 kapsamında AI Ofisi tarafından denetlenir. AI Act, bazı yüksek riskli sistemlerde veri koruma otoritelerini piyasa gözetim otoritesi olarak görevlendirerek koordinasyon öngörmektedir. AB, non bis in idem sorununu üç mekanizmayla yönetir: Kurumsal (EDPB Guidelines 3/2025 ile DPA ve DSP otoriteleri arasında danışma ve işbirliği), mevzuatsal (AI Act m.2(7) ile GDPR’ın önceliği) ve yargısal.

Yargısal mekanizmanın temelini CJEU’nun 22 Mart 2022 tarihli C-117/20 bpost ve C-151/20 Nordzucker kararları oluşturur. Bu kararlar, AB Temel Haklar Şartı m.50’deki non bis in idem ilkesinin idari para cezalarını da kapsadığını, ancak ilkenin mutlak olmadığını belirtir. İlke, aynı maddi olguya (idem factum) dayanan cezaları kapsar; korunan menfaatin aynı olması şart değildir. Sınırlama, Şart m.52(1) uyarınca hakkın özüne dokunmamalı, gerekli olmalı ve genel yarara hizmet etmelidir. CJEU, üç aşamalı test uygular: (1) Sürecin öngörülebilir ve koordineli kurallara dayanması, (2) Yargılamaların yakın bağlantılı ve zaman bakımından uyumlu olması, (3) Cezaların toplam orantılılığı (ikinci otoritenin ilk cezayı dikkate alması).

Türkiye’de 28 Ağustos 2024 tarihli Ticaret Bakanlığı – KVK Kurumu İşbirliği Protokolü, hedefli reklamcılık ve kişisel veri konularında farkındalık, uluslararası takip ve ortak politika üretmeyi amaçlamaktadır. Ancak protokol, AB Guidelines 3/2025’teki gibi ceza öncesi danışma mekanizması içermemekte, yayımlanmamış ve mahkemeler önünde bağlayıcı usul kuralı niteliği taşımamaktadır.

Önerilerimiz üç başlıkta toplanabilir. Kurumsal açıdan: Protokolün veri/dosya paylaşımı ile desteklenmesi, ortak kılavuzlar hazırlanması ve ceza öncesi zorunlu danışma kuralı getirilmesi. Mevzuatsal açıdan: Münhasır yetki düzenlemeleri, Kabahatler Kanunu m.15/1’in resen uygulanmasını sağlayacak usul kuralları, önceki cezanın mahsubu ve orantılılık hükümleri. Yargısal açıdan: Anayasa Mahkemesi vergi cezaları içtihatları ile CJEU kararlarındaki üç aşamalı testin Türk mahkemelerine rehber olması.

Sonuç olarak, 2026 Yönetmeliği KVKK ile kesişen bir düzenleme alanı yaratmıştır. Yapay zeka destekli hedefli reklamcılığın artacağı dönemde, çifte cezalandırma riskinin kurumsal işbirliği, mevzuat düzenlemeleri ve yargısal denetimle yönetilmesi, non bis in idem ilkesini etkili bir güvence haline getirecektir. Hukuk profesyonelleri olarak, müvekkillerimize hem Reklam Yönetmeliği hem KVKK uyumunu entegre bir yaklaşımla tavsiye etmeli, olası çifte yaptırımlara karşı proaktif savunma stratejileri geliştirmeliyiz. Bu alan, dijital ekonomi hukuku pratiğinin en kritik kesişim noktalarından biri olmaya devam edecektir. (Word count: 876)