Kişisel Verileri Koruma Kurulu bir çok farklı alanda ilke kararlar yayımlamış olup son olarak 18 Şubat 2019 tarihli Resmi Gazete’de “Sağlık verilerini Kanununun 6’ncı maddesinde yer alan işleme şartlarından birine dayanmadan üçüncü bir kişiye aktaran veri sorumlusu hakkında Kişisel Verileri Koruma Kurulunun 05/12/2018 tarihli, 2018/143 sayılı” kararını, “Kişisel verilere hukuka aykırı erişilmesini önleme yükümlülüğünü yerine getirmeyen veri sorumlusu hakkında Kişisel Verileri Koruma Kurulu’nun 26/07/2018 tarihli, 2018/91 sayılı” kararını ve “Sicil dosyalarındaki kişisel verilerin, işlenmelerini gerektiren sebeplerin ortadan kalkmaması halinde, imha edilmemesi gerektiği hakkında Kişisel Verileri Koruma Kurulu’nun 28/06/2018 tarihli, 2018/69 sayılı” kararını ilke karar olarak yayımlamıştır. Bu kararların özelliği, dikkatli okunduğunda, aslında hukuk sistemimizde olmayan ancak GDPR ile AB’nin gündemine gelen “tasarlanmış ve önceden tanımlanmış veri koruma” ile karşılaştırmalı hukukta var olan ülkemizde bugüne kadar kabul edilmeyen “risk sorumluluğu” kavramlarını hukuk sistemimize girmesinde öncü nitelikte olmasıdır. Bu makalemde Kurul tarafından yayımlanan söz konusu kararları başta 6698 sayılı Kanun olmak üzere konuyla ilişkili diğer mevzuatları da göz önünde bulundurarak yukarıda belirtmiş olduğum kavramlar bağlamında ele alacağım.