Almanya’daki bir müşteriye e-ticaret sitenizden ürün satıyorsanız, Hollanda’daki bir bayinin siparişlerini işliyorsanız ya da web sitenizde AB’deki ziyaretçileri izleyen bir reklam aracı kullanıyorsanız, şu soruyu duymuş olmalısınız: GDPR bizi de ilgilendiriyor mu? GDPR (General Data Protection Regulation, Genel Veri Koruma Tüzüğü), Avrupa Birliği’nin kişisel verilerin korunmasına ilişkin tüzüğüdür ve belirli durumlarda AB dışındaki şirketlere de doğrudan uygulanır. Bu yazıda GDPR’ın ne olduğunu, Türkiye’deki bir şirkete hangi durumlarda uygulandığını ve KVKK ile başlıca farklarını anlatıyoruz. Türkiye’deki yükümlülükler için KVKK nedir yazımıza bakabilirsiniz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. GDPR’ın şirketinize uygulanıp uygulanmadığı somut faaliyetlerinize göre değişir; değerlendirme için bir hukuk danışmanıyla çalışmanızı öneririz.
GDPR nedir?
GDPR, 2016/679 sayılı AB Tüzüğü’dür ve 25 Mayıs 2018’den beri uygulanmaktadır. Tüzük olduğu için her AB üye ülkesinde ayrıca bir iç kanuna gerek kalmadan doğrudan geçerlidir. Amacı, gerçek kişilerin kişisel verilerinin korunmasını sağlamak ve AB içinde verinin serbest dolaşımına ortak kurallar koymaktır.
GDPR’ın temel kavramları KVKK okuyan birine tanıdık gelir: kişisel veri, özel kategorideki veriler, veri sorumlusu (controller), veri işleyen (processor), işlemenin hukuki dayanakları ve ilgili kişinin hakları. Bunun nedeni, KVKK’nın hazırlanırken GDPR’dan önceki AB veri koruma direktifini esas almasıdır. Bu yüzden iki düzenleme aynı mantıkla kurulmuştur, ama ayrıntılarda önemli farklar vardır.
GDPR Türkiye’deki bir şirkete ne zaman uygulanır?
GDPR’ın 3. maddesi tüzüğün coğrafi kapsamını belirler. Türkiye’deki bir şirket için iki yol öne çıkar.
1. AB’de bir işyeriniz varsa
AB içinde bir şubeniz, bağlı şirketiniz ya da kalıcı bir yapılanmanız varsa, bu yapının faaliyetleri kapsamındaki veri işleme GDPR’a tabidir. Verinin fiilen nerede işlendiği önemli değildir; sunucular Türkiye’de olsa da sonuç değişmez.
2. AB’de işyeriniz yoksa: hedefleme ve izleme
AB’de hiçbir yapılanmanız olmasa bile, GDPR şu iki durumda AB’deki kişilerin verilerini işlemenize uygulanır:
- AB’deki kişilere mal veya hizmet sunuyorsanız. Ücretli ya da ücretsiz olması fark etmez. Önemli olan, AB’deki kişileri bilinçli olarak hedeflemenizdir. Tüzüğün gerekçesine göre web sitenizin AB’den erişilebilir olması tek başına yeterli değildir; ama bir üye ülkenin dilinde ve para biriminde sipariş alınması, AB’ye teslimat yapılması ya da o ülkedeki müşterilere yönelik reklam verilmesi hedeflemeye işaret eder.
- AB’deki kişilerin AB içindeki davranışlarını izliyorsanız. İnternette kişilerin takip edilmesi, profil çıkarılması, ilgi alanlarına göre reklam gösterilmesi ya da konum takibi bu kapsamdadır.
Bu durumlardan biri geçerliyse, tüzük kural olarak AB içinde yazılı olarak bir temsilci atamanızı da ister. Ara sıra yapılan, büyük ölçekte özel kategori veri içermeyen ve kişiler için risk oluşturması muhtemel olmayan işlemeler bu yükümlülükten istisna tutulabilir.
Veri işleyen olarak çalışıyorsanız
Üçüncü bir durum daha sık görülür: AB’deki bir müşteriniz adına veri işliyorsunuzdur. Örneğin Alman bir firmanın çağrı merkezi, yazılım geliştirme ya da bordro işini Türkiye’den yürütüyorsunuzdur. Bu durumda müşteriniz GDPR’a tabidir ve sizinle GDPR’ın öngördüğü şartları içeren bir veri işleme sözleşmesi imzalamak zorundadır. Siz de o sözleşmedeki güvenlik ve gizlilik yükümlülüklerine uymak durumunda kalırsınız. AB’den Türkiye’ye veri aktarımı da GDPR’ın uluslararası aktarım kurallarına tabidir.
Uygulanmadığı durumlar
Yalnızca Türkiye’deki müşterilere satış yapan, AB’de yapılanması olmayan ve AB’deki kişileri izlemeyen bir şirket için GDPR doğrudan uygulanmaz. Türkiye’de yaşayan bir AB vatandaşının verisini işlemek de tek başına GDPR’ı devreye sokmaz; tüzük vatandaşlığa değil, kişinin AB içinde bulunmasına ve faaliyetinizin niteliğine bakar. Ancak aynı şirket KVKK’ya her durumda tabidir.
GDPR ile KVKK arasındaki başlıca farklar
İki düzenleme aynı temele dayanır, ama uygulamada şu farklar öne çıkar:
| Konu | GDPR | KVKK |
|---|---|---|
| Coğrafi kapsam | AB dışındaki şirketlere de hedefleme ve izleme kriterleriyle uygulanabilir | Türkiye’de kişisel veri işleyenler |
| Veri koruma görevlisi (DPO) | Belirli durumlarda atanması zorunlu | Kanunda DPO karşılığı bir zorunluluk yok; irtibat kişisi kavramı var |
| Kayıt yükümlülüğü | Merkezi bir sicil yok; işleme faaliyetleri kaydı tutulur | İstisnalar dışında VERBİS’e kayıt |
| İhlal bildirimi | Mümkünse 72 saat içinde denetim otoritesine | Kanunda “en kısa sürede”; Kurul kararıyla 72 saat olarak yorumlanır |
| Veri taşınabilirliği | Açıkça tanımlanmış bir hak | Kanunda ayrıca düzenlenmemiş |
| Etki değerlendirmesi (DPIA) | Yüksek riskli işlemelerde zorunlu | Kanunda ayrıca zorunlu tutulmamış |
| İdari para cezası | Ağır ihlallerde 20 milyon avroya ya da yıllık küresel cironun %4’üne kadar, hangisi yüksekse | Tutarlar kanunda belirlenir ve her yıl yeniden değerlemeyle güncellenir |
2024 yılında KVKK’da özel nitelikli verilerin işlenme şartları ve yurt dışına aktarım kuralları değiştirildi. Bu değişiklik, yeterlilik kararı ve standart sözleşme gibi araçlarla KVKK’yı GDPR’ın aktarım yaklaşımına yaklaştırdı. Karşılaştırmayı yaparken güncel mevzuata bakmak gerekir.
Teknik tarafta neler ortak?
Hukuki farklara rağmen, iki düzenleme de veriyi korumak için uygun teknik ve idari tedbirler alınmasını ister. GDPR bu tedbirlere örnek olarak şifreleme ve takma ad kullanımını (pseudonymisation), sistemlerin gizlilik, bütünlük ve erişilebilirliğini, bir olaydan sonra veriye zamanında yeniden erişebilmeyi ve tedbirlerin düzenli olarak test edilmesini sayar. Tasarımdan itibaren veri koruma (privacy by design) ilkesi de yeni bir sistem kurarken güvenliği baştan düşünmeyi şart koşar.
Pratikte bu, iki düzenleme için de aynı işler demektir:
- Kişisel verinin hangi sistemlerde durduğunu gösteren güncel bir envanter.
- Yalnızca ihtiyacı olanın erişebildiği yetki yapısı ve erişim kayıtları.
- Dizüstü bilgisayarlarda disk şifreleme, aktarımda şifreli bağlantı.
- Düzenli, test edilmiş ve bir kopyası uzakta duran yedekleme.
- Bir ihlali fark etmeyi ve kapsamını belirlemeyi sağlayan kayıt tutma ve izleme.
Bu tedbirleri bir kez doğru kurduğunuzda hem KVKK hem de GDPR denetiminde gösterebileceğiniz bir altyapınız olur.
Nereden başlamalı?
İlk adım, faaliyetlerinizi dürüstçe listelemektir: AB’deki kişilere satış ya da hizmet sunuyor muyuz? Web sitemizde AB’deki ziyaretçileri izleyen araçlar var mı? AB’deki bir müşterimiz adına veri işliyor muyuz? Cevaplardan biri evetse, GDPR değerlendirmesini hukuk danışmanınızla birlikte yapın. Teknik tedbirler tarafında ise yanınızdayız.
- Önce dinleriz. Kişisel verinin hangi sistemlerde durduğunu, kimlerin eriştiğini ve nereye aktarıldığını birlikte haritalarız.
- Birlikte planlarız. Hukuk danışmanınızın değerlendirmesine göre teknik tedbirleri önceliklendiririz.
- Uygular ve belgeleriz. Erişim yetkilendirmesi, şifreleme, kayıt tutma ve yedekleme tedbirlerini altyapınıza uygular, denetimde gösterilebilir hâle getiririz.
- Yanınızda kalırız. Yeni bir pazar, yeni bir uygulama ya da yeni bir tedarikçi eklendiğinde tedbirleri birlikte güncelleriz.
KVKK ve bilgi güvenliği çalışmalarınızı bütün olarak ele almak için ISO 27001 ve KVKK sayfamıza göz atabilir ya da bize yazabilirsiniz.
