.webp)
Son güncelleme: 2026-10-17
Mısır Kişisel Verileri Koruma Merkezi (PDPC), lisans, izin ve akreditasyon başvuruları için elektronik portalını açtı. Mısır’la bağlantılı kişisel verileri işleyen yabancı SaaS sağlayıcıları, e-ticaret işletmeleri ve diğer şirketler için öncelik, hangi izinlerin gerektiğini belirlemek ve bunları destekleyen belgeleri hazırlamaktır.
Hazırlık planınızı ihtiyatlı bir yaklaşımla 31 Ekim 2026’ya kadar tamamlanacak şekilde oluşturun. Güncel hukuki değerlendirmeler bu tarihi uyum süresinin sonu olarak gösterse de kanuni sürenin hesabına ilişkin yayımlanmış yorumlar farklılık gösteriyor. Portalın açılması, tek başına yeni bir geçiş süresi başlatmıyor.
Portala kamuya açık adresinden erişilebiliyor. Ancak bu incelemede kimlik doğrulama, başvuru gönderme, ödeme veya başvurunun işleme alınması adımları bağımsız olarak test edilemedi. Bu nedenle aşağıdaki açıklamalarda yayımlanmış yükümlülükler, uygulamaya yönelik öneriler ve hâlâ teyit gerektiren işlemler birbirinden ayrılıyor.
Değişiklik, düzenleyici kurumun daha önce erişime açtığı bilgilendirme sitesi ve yayımladığı rehberlerden ayrı olarak, başvuru portalının açılmasıdır.
7 Ekim 2026 tarihli bir hukuki güncelleme, portalın başvuruları almak ve işleme koymak üzere aynı ayın başlarında açıldığını bildiriyor. Bu makale için incelenen tarihli resmî duyurular arasında, açılışın kesin gününü ortaya koyan bir duyuru bulunamadı.
Hukuki çerçeve, 2020 tarihli ve 151 sayılı Kişisel Verilerin Korunması Kanunu (PDPL) ile 2025 tarihli ve 816 sayılı Bakanlık Kararı uyarınca çıkarılan Uygulama Yönetmeliği’ne dayanıyor. Yönetmelik, elektronik başvuru sisteminin çerçevesini belirliyor.
Kamuya açık adresin çalışması, her başvuru kategorisinin her başvuru sahibine açık olduğunu göstermiyor. Bu incelemede tüm lisans, izin ve akreditasyon süreçlerinin etkin olduğu doğrulanamadı; tamamlanmış başvurular, verilmiş onaylar veya güncel işlem süreleri de teyit edilemedi.
Kanunun yürürlüğe konulmasına ilişkin hükümlerin 6. maddesi, kapsama girenlere durumlarını mevzuata uygun hâle getirmeleri için Uygulama Yönetmeliği’nin çıkarılmasından itibaren bir yıl tanıyor. Bu hüküm, kişisel veri işlemenin hukuka uygunluğunu düzenleyen esas PDPL metninin 6. maddesinden ayrıdır.
Yönetmelik 1 Kasım 2025’te yayımlandı ve 2 Kasım 2025’te yürürlüğe girdi. Bu iki tarih birbirinin yerine kullanılmamalıdır.
Ekim 2026 tarihli hukuki güncellemeler, uyum için son tarihi 31 Ekim 2026 olarak belirtiyor. Diğer hukuki değerlendirmelerde ise 1 Kasım 2026 esas alınıyor. İncelenen kaynaklarda, bu farkı gideren kesin bir resmî gün hesabı açıklamasına ulaşılamadı.
Uygulama planlamasında hazırlıkları tamamlayın ve gerekli başvuruları Ekim sonundan önce ilerletin. Kesin son tarih ve karar bekleyen başvuruların durumu için Mısır hukuku konusunda yetkin bir hukukçudan görüş alın. 31 Ekim’e göre planlama önerisi, kanuni süre hesabının tartışmasız olduğu anlamına gelmez.
17 Ekim 2026 itibarıyla yapılan bu incelemede resmî bir süre uzatımı, geçiş dönemine ilişkin genel bir muafiyet veya bekleyen başvurular için otomatik koruma tespit edilmedi. Bu bulgu, yayımlanmamış ya da başvuru sahibine özgü idari düzenlemelerin bulunmadığının kanıtı olarak görülmemelidir.
PDPL, tamamen veya kısmen elektronik ortamda işlenen kişisel verileri konu alır. Coğrafi uygulama kapsamı dikkatle değerlendirilmelidir.
Kanunun yürürlüğe konulmasına ilişkin hükümlerin 2. maddesi; Mısır içinde veya dışında bulunan Mısırlılar, Mısır’da ikamet eden yabancılar ve belirli koşullarda yurt dışında bulunan yabancılar tarafından işlenen suçları ele alır. Son kategori bakımından, fiilin işlendiği yerde de cezalandırılabilir olması ve suç konusu verilerin Mısırlılara veya Mısır’da ikamet eden yabancılara ait olması koşulları bulunur.
Bu koşullu düzenleme, Mısırlı bir ziyaretçisi olan her yabancı internet sitesinin lisans alması gerektiği şeklindeki genel bir ifadeyle aynı değildir.
Yabancı bir şirket; Mısır’daki kuruluş veya işyeri varlığını, müşteri ve kullanıcılarını, verileri işlenen kişileri, işleme yerlerini, sözleşmesel rollerini ve varsa sektörel kapsam istisnalarını belgelemelidir. Merkez Bankası ve denetimine tabi kuruluşlar için kanuni bir kapsam istisnası bulunur; para transferi şirketleri ve döviz büroları ise bu istisnanın dışında bırakılanlar arasındadır. Bir işletmenin fintech alanında faaliyet göstermesi, tek başına muafiyet oluşturmaz.
Mısırlı bir müşterinin lisans numarası istemesi, inceleme başlatmak için yararlı bir işarettir; ancak kapsam değerlendirmesinin yerini tutmaz. Daha geniş çerçeve için Mısır Kişisel Verilerin Korunması Kanunu rehberimize bakabilirsiniz.
Veri sorumlusu, faaliyetleri için kişisel verilerin nasıl elde edildiğini ve işlendiğini belirler. Veri işleyen ise veri sorumlusunun talimatları dâhil olmak üzere kanunda tanımlanan koşullarda veri işleme faaliyetini yürütür. Mısır mevzuatında her iki role de yükümlülükler getirilmiştir.
Örneğin bir SaaS sağlayıcısı, müşterisinin yüklediği çalışan kayıtlarını müşterinin talimatları doğrultusunda işlerken kendi hesap yönetimi ve pazarlama kayıtları bakımından veri sorumlusu olabilir. Bu örnek, faaliyet bazında değerlendirme gerektirir; sözleşmede “veri işleyen” yazması, verilerin tüm kullanım biçimlerini açıklığa kavuşturmaz.
Başlangıç olarak, işletmenin kendisinin belirlediği amaçları bir listede, müşteriler adına yürüttüğü işleme faaliyetlerini ise başka bir listede toplayın. Bu listeleri öngörülen başvuru kategorisiyle eşleştirin. İşleme kayıtlarını kimin tuttuğunu, güvenliği kimin uyguladığını, ilgili kişi başvurularını kimin yönettiğini ve olayları kimin koordine ettiğini kaydedin.
Müşterinin aldığı iznin, tedarikçinin ayrı sorumluluklarını da kapsadığı varsayılmamalıdır.
Lisans, yetkilendirilen faaliyetler için tüzel kişiye verilir ve yenilenebilmek üzere üç yıl geçerlidir. İzin ise gerçek veya tüzel kişiye, bir yılı aşmayan geçici bir süre için verilebilir. Yönetmelik, belirli ve geçici amaçlara yönelik izinleri düzenler.
Akreditasyon, kişisel verilerin korunması alanında danışmanlık sunma yeterliliğine ilişkindir. Müşterinin faaliyetlerinin PDPL’ye uygun olduğunu gösteren genel bir sertifika değildir.
Genel veri sorumlusu, veri işleyen veya birleşik lisans/izin gerekliliğini, faaliyete özgü ek izinlerle birlikte değerlendirin. Doğrudan elektronik pazarlama, uluslararası aktarımlar ve kamusal alanlarda görüntülü gözetim için ayrı hükümler bulunur.
Yararlı bir başvuru çalışma listesi; her faaliyeti öngörülen izin, destekleyici belgeler, sorumlu kişi ve yanıt bekleyen soruyla ilişkilendirmelidir. Bir kategoriyi yalnızca portalda ilk sırada göründüğü için seçmeyin.
Mevzuat, işletmenin kendi mal veya hizmetlerini pazarlaması ile başkaları adına pazarlama yapmasını ayırır. Kendi kampanyalarını yürüten bir şirket, ilgili pazarlama iznini değerlendirmelidir; gönderim işinin dışarıya verilmesi markanın yükümlülüklerini ortadan kaldırmaz.
PDPL; rıza alınmasını, iletişimi oluşturanın ve gönderenin kimliğinin belirtilmesini, göndericiye ulaşılabilecek bir adres verilmesini, pazarlama amacının açık olmasını ve iletişimi reddetmek veya rızayı geri çekmek için erişilebilir bir mekanizma sağlanmasını gerektirir. 18. madde, ilgili elektronik rıza kayıtlarının ve bunlardaki değişikliklerin son iletişimden itibaren üç yıl saklanmasını öngörür.
Bir sonraki kampanyadan önce, ekibin seçilen bir alıcıya ait rıza kanıtını sunabildiğini, kampanyanın amacını açıklayabildiğini ve rızanın geri çekilmesinin tüm gönderim platformlarına yansıdığını gösterebildiğini test edin. Ajansınızdan, iletişim verilerinin kaynağını ve bunları kullanma iznini belgelemesini isteyin.
Telefon kampanyalarında, Mısır’daki tanıtım araması kuralları hakkındaki makalemizde ele alınan ayrı telekomünikasyon yükümlülüklerini de inceleyin.
Uluslararası aktarımlarda; yetkilendirme, hedef ülkedeki koruma düzeyi ve uygulanabilir rıza veya kanuni istisna koşulları ayrıca değerlendirilmelidir. Bir bulut sağlayıcısıyla sözleşme yapılması, tek başına Mısır hukuku kapsamında aktarım izni sağlamaz.
Yönetmelik; hedef ülkeyi, alıcının faaliyetini, amacı, veri kategorilerini ve hacmini, saklama süresini, depolama konumlarını ve güvenlik düzenlemelerini belirten bir aktarım başvurusu öngörür. Başvurunun ilgili portal üzerinden yapılması ve düzenleyici kurum tarafından incelenmesi düzenlenmiştir.
Teknoloji şirketlerinde aktarım envanterini gerçek operasyonlara göre oluşturun. Bulut barındırma, yedekleme, analitik, destek erişimi ve sonraki paylaşımları kontrol edin. Mısır’da barındırılan bir veri tabanına yurt dışındaki personel yine de erişebilir; bu nedenle yalnızca barındırma konumuna bakmak yeterli değildir.
Yurt dışındaki bir destek platformunu kullanan Mısırlı bir perakendeciyi düşünün. Hazırlık dosyası; hangi müşteri veri alanlarının platforma girdiğini, bunları hangi kuruluşların aldığını, nerede saklandığını, kimlerin erişebildiğini ve perakendeci bir destek kaydını sildiğinde ne olduğunu açıklamalıdır.
Bu incelemede, kullanımdaki aktarım başvuru süreci, eksiksiz ve güncel bir hedef ülke listesi veya Ekim ayında yeni yayımlanmış bir başvuru kılavuzu doğrulanamadı. Planlanan bir aktarım düzenine güvenmeden önce kabul edilen yöntemi ve güvenceleri teyit edin.
PDPC’nin yayımladığı rehber, tüzel kişi niteliğindeki veri kullanıcılarının, işleme ölçeğinden bağımsız olarak bir veri koruma görevlisi (DPO) ataması gerektiğini belirtir. Rehber ayrıca DPO Sicili’ne kaydı açıklar.
Rehber, yabancı başvuru sahiplerini açıkça dikkate alır: yabancılar için kimlik belgesi olarak pasaportu sayar ve usulüne uygun onaylanmış yabancı adli sicil belgesi ister. Diğer belgeler arasında fotoğraf ve yeterlilik kanıtları bulunur; başvuru ücretlerinin ödenmesi de öngörülür. DPO kategorilerine ilişkin çerçeve, yetkinlik ve sınavları da ele alır.
Bu düzenlemeler, yayımlanmış çerçevede yabancıların başvurabilmesinin öngörüldüğünü gösterir. Ancak yurt dışındaki bir DPO’nun Mısır ulusal kimlik belgesi olmadan mevcut portal sürecini tamamlayabileceğini veya mevcut küresel görevlendirmenin Mısır’daki gereklilikleri kendiliğinden karşılayacağını göstermez.
Adayın uygunluğunu, sınav sürecini, kayıt kategorisini ve atamayı yapan kuruluşla ilişkisini teyit edin. Proje takibinde atama belgeleri ile kayıt durumunu ayrı ayrı izleyin.
Yönetmelik, Mısır dışında bulunan ve ülkede şubesi veya temsilcilik ofisi olmayan, kapsama giren veri sorumluları ve veri işleyenler için temsil yükümlülüğü getirir. Mısır içinde bir temsilci bulunmasına ve bu temsilin ilgili lisans veya izin süresince PDPC tarafından akredite edilmesine atıfta bulunur.
Ekim tarihli hukuki güncelleme, portal profilleri ve başvurular için Mısır ulusal kimlik belgesine bağlı Digital Egypt kimlik doğrulamasının kullanıldığını bildiriyor. Yetkili bir yerel temsilcinin, yabancı şirket adına işlem yapmak için kendi giriş bilgilerini kullanmasını açıklıyor.
Kimlik doğrulama işlemi, güncel bir resmî portal kılavuzuyla karşılaştırılarak bağımsız biçimde doğrulanamadı. Bunu test edilmiş bir işlem talimatı olarak değil, PDPC’den teyit edilmesi gereken, bildirilen bir uygulama gerekliliği olarak ele alın.
Başvuru yapacak kişiyi görevlendirmeden önce şu hususları teyit edin:
Gerekli yetkilendirme belgelerini kesin olarak belirleyen güncel bir resmî kontrol listesine ulaşılamadı. Sıradan bir atama yazısının, belirli bir vekâletname formunun veya yabancı pasaportun kurumsal hesap açılışında kabul edileceğini varsaymayın.
Temsilci, DPO ve portal hesabı kullanıcısı farklı işlevlere sahiptir. Bu rollerin hiçbiri kendiliğinden avukatlık, GDPR’nin 27. maddesi kapsamındaki temsilcilik veya Türkiye’deki veri sorumlusu temsilciliğiyle eşdeğer değildir.
Yayımlanmış yönetmelik; ücretleri belirlerken faaliyet, rol, kayıt hacmi ve izinler bakımından süreyi esas alır.
Genel lisans tarifesinde 1–100.000 kişisel veri kaydı için ücret muafiyeti bulunur. Genel izin tarifesinde ise 1–25.000 kayıt için ücret muafiyeti öngörülür. Bunlar ücret hükümleridir; ilgili lisans veya izni alma ya da kanuna uyma yükümlülüğünden genel muafiyet sağlamaz.
Yönetmelik ayrıca aktarım ücretlerini ilgili veri sorumlusu/veri işleyen ücretinin %50’sine, pazarlama ücretlerini ise kendi adına pazarlama için %10’una, başkaları adına pazarlama için %25’ine bağlar. Farklı kategorilerin kendilerine özgü kuralları olabilir.
Bunlar yayımlanmış mevzuat hükümleridir; portal üzerinden doğrulanmış bir ücret teklifi değildir. Bütçe oluşturmadan veya ödeme yapmadan önce uygulanacak kayıt sayım yöntemini, kategoriyi, güncel ödenecek tutarı ve varsa ayrı kayıt ücretlerini teyit edin. Bu incelemede canlı ücret hesaplaması, ödeme makbuzu veya sonradan yapılmış idari ücret değişikliği doğrulanmadı.
Hesaba erişimle ilgili sorular çözülürken başvuru hazırlığı sürdürülebilir.
Yönetmelik; şirketin kimlik ve faaliyet bilgilerini, talep edilen kategoriyi, verilerin özelliklerini, saklama süresi ve depolama düzenini, güvenlik bilgilerini, DPO bilgilerini, rıza ve ilgili kişi hakları mekanizmalarına ilişkin açıklamaları ister.
Aşağıdakileri portalın birebir yükleme alanları olarak değil, hazırlık dosyası için bir çalışma listesi olarak kullanın:
Sistem sorumlularından yanıtları doğrulamalarını isteyin. Envanterde destek verilerinin 90 gün sonra silindiği yazıyorsa yedeklerin, dışa aktarılan dosyaların ve destek tedarikçisinin ayarlarının bu ifadeyle örtüştüğünü teyit edin. Başvuru, uygulanmış kontrolleri doğru anlatmalı ve tamamlanmamış işleri ayırt etmelidir.
Yayımlanmış PDPC rehberleri; rıza, DPO’lar, gizlilik bildirimleri ve diğer uyum konularını kapsar. Rehberlerin en azından bir kısmı 26 Ocak 2026 tarihlidir; bunlar Ekim ayında yeni yayımlanmış rehberler gibi sunulmamalıdır. Rehberlerde hukuki statülerine ilişkin sınırlamalar da yer alır; kanun ve yönetmeliğin yerine geçmezler.
Engelin teknik bir sorundan mı, belge eksikliğinden mi yoksa maddi bir uyum açığından mı kaynaklandığını belirleyin. Giriş hatası; eksik bir yetkilendirme belgesinden veya işletmenin uygulamadığı bir kontrolden farklı şekilde ele alınmalıdır.
Önerilen adımlar:
Destek talebi ile başvurunun alındığına dair belge farklıdır; başvurunun gönderilmesi de izin verildiği anlamına gelmez. Hesap açılışını, başvuru gönderimini, dosyanın eksiksiz olduğunun teyidini, ödemeyi ve onayı ayrı aşamalar olarak takip edin.
Kurumsal başvurular ve aktarımlar için yönetmelik, bilgi ve belgelerin tamamlanmasından itibaren en fazla 90 iş günlük karar süresi öngörür; yanıt verilmemesi ret sayılır. Dayanak kanunda ise 90 gün ifadesi yer alır. Düzenleyici kurumun sessizliğinin onay anlamına geldiğini varsaymak yerine, uygulanacak usul süresi hakkında görüş alın.
Bekleyen bir başvurunun yaptırım süreçlerini kendiliğinden durdurduğunu veya veri işlemeye devam etme izni sağladığını belirten, doğrulanmış genel bir politika bulunamadı.
Ekim sona ermeden işletme şu soruları yanıtlayabilmelidir:
Başvurunun ilgili sürümünü, yetkilendirme belgelerini, DPO kayıtlarını, işleme envanterini, kontrol kanıtlarını, alındı belgelerini ve yazışmaları içeren tarihli bir kanıt dosyası saklayın. Dayanılan usul rehberinin kaynağını ve sürümünü kaydedin. Hazırlık kanıtları, yaşananları açıkça ortaya koymaya yardımcı olur; muafiyet oluşturmaz.
Uygulamadaki hedef, Ekim ayını belgelenmiş bir kapsam değerlendirmesi, işleyen kontroller ve izlenebilir bir başvuru durumuyla tamamlamaktır. Nelerin onaylandığını, nelerin beklediğini ve hangi konularda hâlâ karar gerektiğini belirleyin.
Mısır ve Türkiye’de faaliyet gösteren işletmeler, bölgesel programlarının Türkiye ayağındaki KVKK/GDPR boşluk analizi ve güvenlik dokümantasyonunu görüşmek için Kooch ile iletişime geçebilir. Mısır hukukunun yorumlanması, PDPC başvuruları ve yerel temsil işlemleri, Mısır’da gerekli yetkinliğe sahip uzmanların desteğiyle yürütülmelidir.
