Mısır Kişisel Verilerin Korunması Kanunu

Mısır’ın Kişisel Verilerin Korunması Kanunu: Yabancı Teknoloji Şirketleri İçin Rehber

Giriş

Mısır’ın 2020 tarihli ve 151 sayılı Kişisel Verilerin Korunması Kanunu (PDPL), kişisel veri işleme kurallarını belirler‍. 2020’de kabul edilen kanun, 2025 tarihli ve 816 sayılı Uygulama Yönetmeliği ile birlikte değerlendirilmelidir. Bu rehber; kapsamı, hukuki dayanakları, ilgili kişi haklarını, lisanslamayı, veri aktarımlarını ve uygulama hazırlığını ele alır; GDPR ve Türkiye’deki KVKK ile temel farkları açıklar.

PDPL’nin kapsamı ve uygulanabilirliği

Kimler uymalı? PDPL, kapsamına giren kişisel verileri elektronik ortamda işleyen gerçek veya tüzel kişilere uygulanır. Kuruluşlar kendi faaliyetlerinin kanunun işleme kapsamına girip girmediğini değerlendirmelidir‍. Mısır içindeki ve belirli koşullarda yurt dışındaki faaliyetler kapsama girebilir. Kanunun maddi kapsamı elektronik veya teknik yollarla işleme ile ilişkilidir; elektronik sisteme dahil edilmeyen tamamen manuel kayıtlar ayrıca değerlendirilmelidir.

Ülke dışındaki uygulama: Kanunun yürürlüğe konulmasına ilişkin metnin 2. maddesi, yurt dışında işlenen suçlar bakımından Mısır’la bağlantı koşullarını düzenler. Mısır vatandaşlığı, Mısır’da ikamet ve bazı yabancı kişiler bakımından çifte suçluluk koşulu değerlendirilir. Yurt dışındaki Mısırlı olmayan kişiler açısından uygulama, koşullara bağlıdır; yabancı şirketin kuruluş yeri, işleme faaliyeti ve etkilenen kişiler birlikte incelenmelidir. Yalnızca bir müşterinin Mısır’da bulunmasından hareketle tüm yükümlülüklerin otomatik uygulandığı sonucuna varılmamalıdır.

İstisnalar: Kanun belirli işleme faaliyetlerini kapsam dışında tutar. Önemli örnekler:

Kişisel veya ailevi kullanım: Gerçek kişinin yalnızca kişisel veya ailevi amaçlarla işlediği veriler.
Gazetecilik ve medya: Medya amaçlı veriler; belirli koşullarla doğru ve gerçeğe uygun işlenmeleri ve medya kurallarına uyulması halinde istisna kapsamına girebilir‍. Verilerin başka amaçlarla kullanılması ayrıca değerlendirilmelidir.
Resmî istatistikler: Resmî istatistik amaçlı işleme için istisna bulunur. Her kanuni yükümlülüğe dayalı işlemenin kendiliğinden kapsam dışı olduğu varsayılmamalıdır.
Yargı ve güvenlik: Yargısal kayıtlar, soruşturmalar, davalar ve ulusal güvenlik kuruluşlarının elindeki veriler için istisnalar vardır. Mısır Merkez Bankası ve gözetimindeki kuruluşlar da genel olarak istisna kapsamındadır; para transferi şirketleri ve döviz büroları ayrıca değerlendirilmelidir.

Yabancı şirketler, müşteri ve çalışan verileri gibi ticari işleme faaliyetleri için kapsam analizi yapmalıdır. Kamu veya ulusal güvenlik istisnalarını ticari faaliyetlere genellememelidir.

PDPL kapsamındaki temel gereklilikler

1. İşlemenin hukuki dayanakları: İşleme için geçerli rıza veya uygulanabilir başka bir hukuki dayanak gerekir‍. Dayanak, her amaç ve veri kategorisi için ayrı belirlenmelidir. Kanun ve uygulama düzenlemeleri kapsamında hukuka uygun işleme koşulları değerlendirilir:

Rıza: Rıza belirli amaçla ilişkili, açık ve bilgilendirmeye dayalı olmalıdır. Özellikle elektronik doğrudan pazarlamanın ayrı koşulları kontrol edilmelidir.
Sözleşme veya hukuki hak: İlgili kişiyle sözleşmenin kurulması veya ifası için gerekli işlemler ve bir hukuki hakkın kullanılması ya da savunulması değerlendirilir. Örneğin siparişin yerine getirilmesi veya uyuşmazlık dosyasının hazırlanması, ilgili koşullar sağlandığında bu dayanaklarla ilişkilendirilebilir.
Hukuki yükümlülük veya karar: Kanuni yükümlülüğün yerine getirilmesi, yetkili soruşturma makamının emri veya mahkeme kararı için gerekli işleme ayrıca değerlendirilir.
Meşru menfaat ve dengeleme: İşleme, veri sorumlusunun veya ilgili başka kişinin meşru hak ve menfaatleri için gerekli olabilir; ancak ilgili kişinin temel hak ve özgürlükleriyle çatışmamalıdır. Meşru menfaat kullanılırken gereklilik ve haklar üzerindeki etki belgelenmelidir.

Not: GDPR’de kullanılan hukuki dayanakların adlarını doğrudan Mısır’daki faaliyetlere aktarmayın. Güncel PDPC açıklamaları, kâr amacı taşımayan istatistik veya eğitim amaçlarını da ele alır. Her faaliyeti kanun ve uygulama düzenlemeleriyle eşleştirin.

2. İlgili kişi hakları: PDPL, kişilere verileri üzerinde çeşitli haklar tanır‍. Kuruluşlar talepleri tanıyacak, değerlendirecek ve uygulanabilir sürede yanıtlayacak süreçler kurmalıdır. Temel ilgili kişi hakları şunlardır:

Bilgi edinme ve erişim: Kişiler, veri sorumlusu veya veri işleyenin kendileri hakkında veri tutup tutmadığını öğrenebilir ve verilerini inceleme veya kopyasını alma talebinde bulunabilir.
Rızayı geri çekme: Kişi daha önce verdiği rızayı geri çekebilir. İlgili amaç için yalnızca rızaya dayanan işleme durdurulmalıdır. Diğer saklama veya işleme yükümlülükleri ayrıca değerlendirilmelidir.
Düzeltme ve silme: Kişiler verilerinin düzeltilmesini, güncellenmesini veya koşulları oluştuğunda silinmesini isteyebilir. Taleplerde yanlışlık, güncellik, gereklilik ve uygulanabilir saklama yükümlülükleri incelenmelidir.
İşlemeyi sınırlandırma: İlgili kişiler işlemenin belirli amaçlarla sınırlandırılmasını veya belirli kullanımlara son verilmesini talep edebilir. Hizmet sunumu ve pazarlama gibi amaçlar ayrı yönetilmelidir.
İtiraz: Kişiler temel hak ve özgürlükleriyle çatışan işleme veya işleme sonuçlarına itiraz edebilir. Kuruluş, itirazı ve dayandığı hukuki gerekçeyi değerlendirmelidir.
Veri ihlalinden haberdar olma: Etkilenen kişiler, uygulanabilir bildirim kuralları uyarınca ihlal hakkında bilgilendirilmelidir. Güncel PDPC açıklaması, Merkeze bildirimden itibaren üç iş günü içinde kişilere bildirim öngörür.

Erişilebilir iletişim kanalları kurun: örneğin özel bir gizlilik e-postası veya başvuru portalı. Taleplerin ücretlendirilmesi söz konusuysa kanundaki sınır ve güncel PDPC kuralları incelenmeli; istisnalar dikkate alınmalıdır. İhlal bildirimine ücret uygulanmamalıdır. İlgili kişiler haklarının ihlal edildiğini düşündüklerinde PDPC’ye şikâyette bulunabilir‍.

3. Veri güvenliği ve ihlal bildirimi: Veri sorumluları ve veri işleyenler uygun teknik ve organizasyonel önlemler uygulamalıdır. Erişim, doğruluk, gizlilik ve saklama süreleri kontrol edilmelidir. İhlal halinde bildirim yükümlülükleri doğar:

İhlal, Kişisel Verileri Koruma Merkezi’ne (PDPC) öğrenilmesinden itibaren 72 saat içinde bildirilmelidir. Ulusal güvenlikle ilgili durumlarda bildirim derhal yapılmalıdır.
Bildirimde olayın niteliği, etkilenen veriler, iletişim bilgileri, olası sonuçlar ve alınan önlemler gibi gerekli bilgiler hazırlanmalıdır‍. Süreçteki kararları ve zamanları olay kaydında tutun.
Etkilenen kişiler de PDPC’ye bildirimden itibaren üç iş günü içinde bilgilendirilmelidir. Kuruma ve kişilere bildirim sürelerini ayrı izleyin; bunları tek bir yaklaşık süreye dönüştürmeyin. Kullanılacak şablonları önceden hazırlayın.

4. Veri koruma görevlisi (DPO): PDPL kapsamında DPO atama ve kayıt gereklilikleri değerlendirilmelidir. Bu rol, KVKK’daki irtibat kişisi veya temsilciyle aynı değildir. Tüzel kişi veri kullanıcıları, güncel atama ve PDPC kayıt koşullarını incelemelidir.

DPO’nun görevleri arasında uyumun izlenmesi, ilgili kişi talepleri ve şikâyetleriyle ilgilenilmesi ve PDPC ile iletişim bulunur‍. Atama, kuruluşun kendi sorumluluğunu ortadan kaldırmaz.
DPO için PDPC siciline kayıt süreci uygulanır. Güncel kayıt rehberindeki yeterlilik, başvuru ve belge koşulları kontrol edilmelidir.
DPO iletişim bilgilerinin ilgili kişilerin erişebileceği şekilde sunulması gerekir; hangi bilgilerin ve nerede yayımlanacağı güncel gerekliliklere göre belirlenmelidir.

Mevcut küresel gizlilik ekibinin deneyimi kullanılabilir; ancak küresel DPO’nun Mısır’daki atama, organizasyon ve kayıt koşullarını otomatik karşıladığı varsayılmamalıdır. Arapça iletişim ve yerel mevzuat bilgisi değerlendirilmelidir.

5. Kayıt, lisans ve izinler: PDPL, belirli veri faaliyetleri için lisans veya izin gereklilikleri getirir. PDPC, lisans, izin ve akreditasyon süreçlerini yönetir‍. Değerlendirilecek başlıklar:

İşleme lisansı: Kuruluş, faaliyetlerine göre PDPC lisansı veya izni gerekip gerekmediğini belirlemelidir‍. Veri sorumlusu ve veri işleyen rolleri, işlenen veri türleri ve faaliyetler güncel lisans kategorileriyle eşleştirilmelidir. Uygulama Yönetmeliği artık yayımlanmıştır; başvuru yöntemi, ücretler ve belgeler güncel PDPC kaynaklarından kontrol edilmelidir.
Hassas veriler: PDPL’de hassas kişisel veri kapsamına sağlık, biyometri, finansal bilgi, inanç, siyasi görüş, güvenlik durumu ve çocuk verileri gibi kategoriler girer. Bu verilerin işlenmesi ek koşullara tabidir; lisans ve açık rıza gereklilikleri ile varsa kanuni istisnalar birlikte incelenmelidir. Sağlık teknolojisi veya çocuklara yönelik hizmetler sunan kuruluşlar bu değerlendirmeyi ürün planlamasına dahil etmelidir.
Sınır ötesi aktarım izinleri: Mısır dışına aktarımlar, PDPC lisans veya izin koşulları ve kanuni istisnalar kapsamında değerlendirilir. Yabancı ülkede yeterli koruma bulunduğunu şirketin kendisinin varsayması yeterli değildir.
Yabancı kuruluşların yerel yükümlülükleri: Mısır dışında kurulu veri sorumluları, faaliyetleri için geçerli yerel atama ve iletişim gerekliliklerini güncel PDPC kurallarıyla doğrulamalıdır. GDPR’nin 27. maddesindeki temsilci modeli Mısır’a aynen aktarılmamalı; DPO, tüzel kişi temsilcisi ve lisans başvurusundaki roller birbirinden ayrılmalıdır.

PDPC, güncel sitesinde lisanslama ve DPO kayıt hizmetleri sunmaktadır. Yabancı şirketler idari uyum adımlarını pazar giriş planına dahil etmeli; başvuru belgeleri ve ücretler için süre ve bütçe ayırmalıdır.

6. Sınır ötesi veri aktarımı: Mısır dışına kişisel veri aktarımında koruma düzeyi ve izin koşulları değerlendirilir. Sınır ötesi aktarım için alıcı taraftaki korumanın Mısır hukukunda öngörülenden daha düşük olmaması ve ilgili PDPC koşullarının karşılanması gerekir.

Koruma düzeyi ve PDPC izni: Olağan aktarım yolunda yeterli koruma ve PDPC’den ilgili aktarım lisansı veya izni değerlendirilir. Güncel ülke listeleri, kabul edilen güvenceler ve izin kapsamı kontrol edilmelidir. Her veri akışının amacı, alıcısı, veri kategorileri ve sonraki aktarımları belgelenmelidir.
İstisnai aktarım halleri: Kanunun 15. maddesi belirli istisnai durumları düzenler ve bu yolun kullanılabilmesi için ilgili kişinin açık rızası ile kanundaki diğer koşullar birlikte değerlendirilmelidir‍:
1. Yaşamın veya hayati menfaatlerin korunması: Örneğin gerekli tıbbi bakım için acil aktarım.
2. İlgili kişi yararına sözleşmesel gereklilik: İlgili kişiye fayda sağlayan sözleşmenin yerine getirilmesiyle bağlantılı koşullar.
3. Hukuki veya adli gereklilikler: Uluslararası adli iş birliği ve ilgili kanuni koşullar.
4. Para transferleri: Uygulanabilir finansal kurallara göre başka ülkeye para transferi.
5. Uluslararası anlaşmalar: Mısır’ın taraf olduğu ikili veya çok taraflı anlaşmalar kapsamındaki aktarımlar.
İstisnaların uygulanabilirliği ayrı belgelenmelidir. Açık rıza tek başına rutin yurt dışı veri akışlarının tamamını hukuka uygun hale getirmez. Merkez ofis erişimi, bulut barındırma ve destek erişimi için istisnanın koşulları varsayılmamalıdır. Kuruluşlar aktarım yolunu doğrulamalı; gerektiğinde Mısır içinde barındırma seçeneğini ve uygun PDPC izin sürecini değerlendirmelidir.
Yabancı veri sorumluları ve veri işleyenler: Kanunun 16. maddesindeki yabancı kuruluşlara veri açıklama koşulları ve lisans gereklilikleri de incelenmelidir. Merkezî bulut, destek erişimi ve alt veri işleyenler dahil veri akışlarını haritalayın. Mimari değişiklik gerekip gerekmediğine, uygulanabilir aktarım yolu belirlendikten sonra karar verin. Ayrıca yerel atama ve kayıt koşullarını ayrı doğrulayın.

7. Denetim ve yaptırımlar: PDPL, para cezaları ve bazı fiiller için cezai yaptırımlar öngörür. PDPC’nin denetim görevleri ile Mısır Ekonomi Mahkemelerinin suçlara ilişkin yetkisi ayrı değerlendirilmelidir.

Para cezaları: Ceza tutarı ihlal edilen hükme göre değişir. Eski döviz karşılıklarını veya tek bir genel üst sınırı bütçe ve risk değerlendirmesinde kullanmayın; ilgili suç veya yükümlülüğün güncel hükmünü kontrol edin.
Cezai yaptırımlar: Belirli ihlaller, sorumlu kişiler için hapis cezası doğurabilir. Hassas veri işleme ve hukuka aykırı sınır ötesi aktarım gibi fiiller açısından ilgili suçun koşulları ayrı incelenmelidir. Tüm ihlallere uygulanacak tek bir hapis süresi yoktur. Tüzel kişinin ve yöneticilerin sorumluluğu somut olaya göre değerlendirilmelidir.
Ağırlaştırıcı durumlar: Tekrar halinde cezanın artırılması ve hükmün yayımlanması gibi sonuçlar söz konusu olabilir. Suça teşebbüs ve tekrar hükümleri için ilgili kanun maddeleri incelenmelidir.
Şikâyet ve başvuru: İlgili kişiler, PDPC’nin mevcut şikâyet yollarını kullanabilir. Kuruluşlar başvuruları kaydetmeli, incelemeli ve düzenleyici yazışmalara yanıt verecek sorumluları belirlemelidir.

Uygulama takvimi ve mevcut durum

Kanun ile uygulama düzenlemelerinin tarihlerini ayrı izleyin:

Kanunun yayımı ve yürürlüğü: 151 sayılı Kanun, 15 Temmuz 2020’de Resmî Gazete’de yayımlandı. Yürürlük hükmü, yayımlandığı günü izleyen tarihten itibaren üç aylık süreye dayanır; kanun Ekim 2020’de yürürlüğe girmiştir.
Uygulama Yönetmeliği: 2025 tarihli ve 816 sayılı Uygulama Yönetmeliği, 1 Kasım 2025’te yayımlandı ve ertesi gün yürürlüğe girdi. Güncel uygulama planı bu metne dayanmalıdır.Yönetmelik artık yürürlüktedir. Bu nedenle lisanslama ve kayıt çalışmalarını yönetmeliğin yayımlanmasını bekleyecek şekilde ertelemeyin.
Uyum süresi: PDPC’nin açıklamasına göre kapsamdaki tarafların durumlarını uyumlu hale getirmeleri için tanınan süre, Uygulama Yönetmeliği’nin yürürlüğünden itibaren bir yıldır. Kuruluşa uygulanabilir takvimi ve varsa sonraki kararları PDPC üzerinden doğrulayın.
Mevcut düzenleyici durum: PDPC’nin resmî sitesi lisans, izin, DPO kaydı ve şikâyet hizmetleri hakkında bilgi sunmaktadır‍. Kuruluşlar güncel hizmet ve rehberleri esas almalıdır. Belirli yaptırım kararlarının bulunmaması, yükümlülüklerin uygulanmadığını veya hazırlığın ertelenebileceğini göstermez.

Pazar girişinden önce uygulanabilir takvimi ve idari süreçleri doğrulayın. Başvurular, atamalar, sözleşme değişiklikleri ve eğitim için süre ayırın.

GDPR ve Türkiye’deki KVKK ile karşılaştırma

Üç rejimde ortak ilkeler bulunsa da kapsam, hukuki dayanak, atama, kayıt ve aktarım yolları ayrı değerlendirilmelidir.

Kapsam ve ülke dışı uygulama:Her rejimin kendi kapsam testi vardır:

Maddi kapsam: GDPR ve KVKK, belirli koşullarla otomatik olmayan kayıt sistemlerini de kapsar. PDPL’de elektronik işleme vurgusu bulunur. Kağıt arşivlerin durumunu her rejimin kendi tanımına göre inceleyin.
Ülkesel kapsam: GDPR, AB’deki kuruluş bağlantısı ve belirli şartlarda AB’de bulunan kişilere mal veya hizmet sunma ya da davranış izleme ölçütleriyle uygulanır. KVKK ve PDPL’nin kapsamı kendi hükümlerine göre değerlendirilmelidir. PDPL bakımından Mısır vatandaşlığı ve Mısır’da ikamet bağlantıları önem taşır; yurt dışındaki fiillere ilişkin koşullar da ayrıca incelenir. Yabancı kişinin ikamet durumu ile şirketin faaliyeti birlikte değerlendirilmelidir. Vergi, kuruluş ve sicil yükümlülükleri veri koruma kapsam testiyle karıştırılmamalıdır.

İşlemenin hukuki dayanakları:Her işlem için ilgili rejimdeki dayanağı kaydedin:

GDPR: Genel veriler için altı hukuki dayanak vardır: rıza, sözleşme, hukuki yükümlülük, hayati menfaat, kamu görevi ve meşru menfaat. Özel nitelikli veriler ek koşullara tabidir.
KVKK (Türkiye): Genel verilerde açık rıza veya 5. maddede belirtilen işleme şartları değerlendirilir. Meşru menfaat, ilgili kişinin temel hak ve özgürlüklerine zarar vermemelidir. Özel nitelikli veriler için 2024’te değiştirilen 6. maddedeki güncel şartlar uygulanır; eski sağlık verisi istisnasına indirgenmiş açıklamalar yeterli değildir.
PDPL (Mısır): Rıza ve diğer hukuki dayanaklar, güncel kanun ve yönetmelik uyarınca değerlendirilir. Açık rıza özellikle elektronik doğrudan pazarlama ve belirli hassas veri işlemlerinde ayrıca önem taşır.Uygulamada: Her amaç için hukuki dayanağı ayrı belirleyin. Rıza gereken durumları diğer işleme şartlarından ayırın. Pazarlama iletişiminde veri koruma mevzuatının yanında sektörel ve elektronik iletişim kuralları da uygulanabilir.

İlgili kişi hakları: Üç rejimde erişim, düzeltme ve diğer haklar bulunur; kapsam ve süreler aynı değildir‍. GDPR’ye göre hazırlanmış süreçleri otomatik yeterli saymayın. Mısır’daki talepler için uygulanabilir iş günü hesabını güncel düzenlemelerle doğrulayın. KVKK’nın 13. maddesi, taleplerin niteliğine göre en kısa sürede ve en geç 30 günde sonuçlandırılmasını açıkça düzenler. GDPR’de genel yanıt süresi bir aydır; uygulanabilir uzatma koşulları ayrıdır.

Veri koruma görevlileri: GDPR’de DPO yükümlülüğü belirli koşullara bağlıdır. KVKK’daki irtibat kişisi ve temsilci, DPO ile aynı rol değildir. PDPL’de DPO atama ve kayıt koşulları ayrıca incelenmelidir. Bir rejimdeki atama diğer rejimin yeterlilik veya kayıt şartlarını otomatik karşılamaz.

Kayıt ve düzenleyici onay: GDPR’de genel bir veri sorumlusu lisans sistemi yoktur. Türkiye’de VERBİS kaydı uygulanabilirlik ve istisna değerlendirmesine bağlıdır. Mısır’da lisans ve izinler işleme faaliyetlerine göre değerlendirilir. Gerekli başvuruları ve hangi makamın hangi işlemi onayladığını ayrı kaydedin. Düzenleyici gözetim mekanizmaları farklı olduğundan başvuru belgeleri ve takvimleri her ülke için ayrı planlanmalıdır.

Sınır ötesi veri aktarımları:Aktarım mekanizmalarını birbirinin yerine kullanmayın:

GDPR: Yeterlilik kararları, standart sözleşme maddeleri, bağlayıcı şirket kuralları ve belirli istisnalar gibi yollar bulunur. Seçilen yolun kapsamı ve ek değerlendirme gereklilikleri doğrulanmalıdır.
KVKK (Türkiye): 2024’te değiştirilen 9. madde, yeterlilik kararını ve uygun güvenceleri düzenler. Kurulun belirlediği güvenceler arasında standart sözleşmeler de bulunur. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi gerekir. Yeterlilik veya uygun güvence bulunmayan durumlarda açık rıza dahil arızi aktarım istisnaları kendi koşullarına tabidir; rutin bulut akışları için genel bir rıza çözümü varsayılmamalıdır.
PDPL (Mısır): PDPC lisans veya izni ile uygulanabilir koruma koşulları ve kanuni istisnalar incelenmelidir. Mısır içinde saklama her durumda zorunlu değildir; yurt dışı aktarım yolunun uygunluğu doğrulanmadan yerelleştirme veya yabancı ülkenin yeterli olduğu varsayımına dayanılmamalıdır.

Denetim ve yaptırımlar:Yaptırımlar farklı yetkiler ve süreçlerle uygulanır:

Düzenleyiciler: GDPR, ilgili Avrupa veri koruma makamları; KVKK, Türkiye’deki Kişisel Verileri Koruma Kurumu ve Kurul; PDPL ise PDPC tarafından uygulanır. Mahkemelerin yetkileri ayrıca değerlendirilir. Kurum yapısından hareketle gelecekte nasıl yaptırım uygulanacağına ilişkin tahmin yapılmamalıdır.
Yaptırımın niteliği: İhlalin türüne, ilgili maddeye ve uygulanabilir yılın tutarlarına bakın. Eski TL üst sınırlarını veya döviz karşılıklarını güncel kabul etmeyin. Cezai sorumluluk da ayrıca değerlendirilmelidir; özellikle Mısır PDPL ve Türkiye’deki ceza hukuku hükümleri belirli kişisel veri fiillerini suç olarak düzenler.
Denetim yaklaşımı: Güncel kurum kararları ve başvuru yolları izlenmelidir. Mısır’da Ekonomi Mahkemelerinin PDPL suçları bakımından yetkisi bulunur. Kuruluşlar düzenleyici inceleme, idari süreç ve ceza yargılaması arasındaki farkı dikkate almalıdır.

Uyum stratejisi:Ortak kontrolleri ülkeye özgü yükümlülüklerle eşleştirin:

GDPR:İşleme kayıtları, risk değerlendirmeleri, gerektiğinde veri koruma etki değerlendirmesi ve tasarımdan itibaren veri koruma üzerinde çalışın. Kontrollerin uygulandığını gösteren kanıtları tutun.
KVKK:İç kontrollerin yanında uygulanabilir VERBİS, aydınlatma, başvuru, ihlal bildirimi ve aktarım gerekliliklerini ayrı değerlendirin. GDPR belgelerini yerel inceleme yapmadan aynen kullanmayın.
PDPL:İşleme envanteri ve güvenlik kontrollerine ek olarak düzenleyici başvuru süreçlerini planlayın. Gerektiğinde PDPC ile iletişim kurmak, lisans başvurusu yapmak ve istenen kayıtları sunmak için sorumlu belirleyin. Aktarım ve lisans koşullarını değerlendirmek üzere yerel hukuk danışmanından destek alın; teknik mimariyi doğrulanmış gerekliliklere göre uyarlayın.

Ülkeleri tek bir “en sıkı rejim” sıralamasına koymak yerine, her işlem için uygulanabilir gereklilikleri belirleyin ve çelişen yükümlülükleri ayrıca çözün.

Mısır’daki yabancı şirketler için uygulama konuları

Yabancı teknoloji şirketlerinin planlaması gereken başlıklar:

Güncel düzenleyici süreçler:Uygulama Yönetmeliği yayımlanmıştır. Şimdi güncel lisans kategorilerini, başvuru belgelerini, DPO kayıt koşullarını ve sonraki PDPC kararlarını izleyin. Belirsiz kalan sorular için doğrulama sorumlusu atayın.
Uyum takvimi:Yönetmeliğin yürürlüğüyle başlayan süreyi kuruluşun faaliyetlerine göre değerlendirin. Bütçe, atama, sözleşme ve sistem değişikliklerini gecikmeden takvime bağlayın.
Yerel iletişim ve personel:Yabancı şirketler uygulanabilir yerel atama koşullarını doğrulamalı ve Arapça iletişim kapasitesini planlamalıdır. DPO, temsilci ve başvuruda yetkili kişi rollerini karıştırmayın. Bildirim ve rıza metinleri hedef kullanıcının anlayacağı dilde sunulmalıdır.
Veri yerleşimi ve küresel BT mimarisi:Merkezî bulut ve bölgesel veri merkezleri kullanan şirketler sınır ötesi veri akışlarını haritalamalıdır. Lisans, koruma ve istisna koşullarını değerlendirdikten sonra Mısır içinde saklama veya işleme seçeneğine ihtiyaç olup olmadığını belirleyin. Mimariyi değiştirirken yedekleri, uzaktan desteği ve alt veri işleyenleri de hesaba katın.
Rıza yönetimi ve pazarlama:Elektronik doğrudan pazarlamada önceden geçerli açık rıza ve ilgili lisans ile kayıt koşulları değerlendirilmelidir. Rızayı kimin, ne zaman, hangi açıklamaya dayanarak verdiğini kaydedin; ücretsiz ve erişilebilir vazgeçme yolu sağlayın.
Hassas veri işleme:Sağlık teknolojisi, finansal teknoloji ve çocuklara yönelik hizmetlerde hassas veri koşullarını ürün planlamasına dahil edin. Finansal veriler PDPL’de hassas veri kapsamındadır; bu sınıflandırma GDPR’nin özel nitelikli veri listesiyle aynı değildir.
Yaptırım riski:Bazı ihlaller para cezasının yanında cezai sorumluluk da doğurabilir.Yönetici veya çalışan sorumluluğu, ilgili suçun unsurlarına göre incelenmelidir. DPO atamak şirketin veya yöneticinin sorumluluğunu kendiliğinden kaldırmaz.
Mevcut uyum programıyla bütünleştirme:Ortak envanter, güvenlik ve başvuru süreçlerini kullanabilirsiniz; ancak hukuki dayanakları, süreleri ve başvuruları ülkeye göre ayırın. Mısır’a özgü talepleri tanıyacak yönlendirme ve zaman takibi kurun.

Eksikleri, sorumluları ve hedef tarihleri kaydedin. Yönetim onayı ve gerekli kaynakları sağlayın.

PDPL için uygulama adımları

Mevcut kontrollerinizi aşağıdaki adımlarla gözden geçirin:

Hazırlık değerlendirmesi yapın: Mevcut programınızı PDPL ile karşılaştıran bir boşluk analizi hazırlayın. DPO, hukuki dayanak, lisans, aktarım ve sözleşme gerekliliklerini ayrı inceleyin; sonuçları önceliklendirin.
Düzenleyici gelişmeleri izleyin: Uygulama Yönetmeliği ve PDPC’nin sonraki kararları için güncel kaynakları takip edin. DPO veya hukuk danışmanı gibi bir sorumlu atayın; değişikliklerin işleme faaliyetlerine etkisini kaydedin.
Yerel uzmanlık alın: Mısır mevzuatını bilen gizlilik uzmanı veya hukuk danışmanı ile çalışmak; belge dili, lisans başvuruları ve PDPC iletişimi açısından yararlı olabilir. Yerel atama gerekliliklerini ve ilgili rolün kim tarafından üstlenilebileceğini ayrıca doğrulayın.
DPO’yu atayın ve yetkilendirin: Kuruluşunuza uygulanabilir koşullara göre Mısır faaliyetleri için DPO atamasını değerlendirin. PDPC kayıt şartlarını karşılayın, iletişim bilgilerini gerektiği şekilde sunun ve görevin yerine getirilmesi için kaynak sağlayın.
Veri akışlarını değerlendirin: Mısır’daki kullanıcı ve çalışan verilerinin saklandığı, işlendiği ve erişildiği yerleri belirleyin. İlgili veri kümelerini envanterde ayırt edin. Yurt dışı aktarım yolunu, izinleri ve alıcıları doğrulayın; gerekirse akışı durdurma veya değiştirme olanağı hazırlayın.
Rıza ve tercih yönetimini iyileştirin: Rızaya dayanan amaçları belirleyin ve amaç bazında rıza seçenekleri sunun. Önceden işaretlenmiş kutular kullanmayın. Geri çekme tercihlerinin ilgili sistemlere yansıdığını test edin ve rıza kayıtlarını saklayın.
Gizlilik bildirimlerini ve sözleşmeleri güncelleyin:İşleme amaçlarını, ilgili kişi haklarını, DPO iletişim bilgilerini ve yurt dışı aktarımları açıklayın. Veri işleyen sözleşmelerine gerekli güvenlik, başvuru desteği, aktarım, silme ve olay bildirim hükümlerini ekleyin.
İlgili kişi başvuru süreçlerini kurun: Destek ve uyum ekiplerinin erişim, düzeltme ve silme taleplerini tanımasını sağlayın. Uygulanabilir yanıt süresini güncel kurallardan doğrulayın ve sistemde takip edin. Verileri açıklamadan önce ölçülü kimlik doğrulaması yapın.
Güvenlik ve ihlal müdahalesini geliştirin: Erişim kontrollerini, uygun şifrelemeyi, yedeklemeyi ve çalışan eğitimini gözden geçirin. Olay müdahale planına PDPC ve ilgili kişi bildirimlerini ekleyin. Bildirim şablonları hazırlayın ve 72 saat ile üç iş günü sürelerini ayrı izleyen bir tatbikat yapın.
Lisans ve kayıt başvurularını hazırlayın: Güncel PDPC hizmetlerine göre gerekli kayıtları ve izinleri belirleyin. Politika, güvenlik açıklaması, veri akış şeması ve diğer başvuru belgelerini hazırlayın; başvuru durumunu ve yenileme tarihlerini takip edin.
Personeli eğitin:Mısır’da veya yurt dışında Mısır kapsamındaki verileri işleyen personele görevlerine uygun eğitim verin. Pazarlamada rıza kontrolü, BT’de erişim ve güvenlik, destekte başvuru yönlendirme, İK’da çalışan verileri gibi somut süreçler üzerinden çalışın.

Mevcut GDPR veya KVKK çalışmalarından yararlanın; Mısır’a özgü eksikleri ayrı kaydedip tamamlayın.

Uygulama öncelikleri

Yabancı teknoloji şirketleri Mısır’daki lisans, işleme ve aktarım gerekliliklerini GDPR veya KVKK programlarından ayrı değerlendirmelidir.

Uygulama Yönetmeliği artık yürürlüktedir. Güncel PDPC süreçlerini izleyin, açık soruları belgeleyin ve faaliyete başlamadan önce doğrulama sorumlularını belirleyin.

Kaynaklar:

Mısır’ın 2020 tarihli ve 151 sayılı Kanunu — resmî olmayan İngilizce çeviri; kapsam, haklar ve aktarım maddeleri: acc.com.
ICLG — Data Protection in Egypt, 2025; tanımlar, ilkeler ve yaptırımlar hakkında tarihli kaynak: iclg.com.
Chambers & Partners — Data Protection & Privacy 2025: Egypt; düzenlemeler yayımlanmadan önceki durumu yansıtan tarihli kaynak: practiceguides.chambers.com.
Hall, Booth, Smith P.C. — Egypt Passes Personal Data Protection Law; kanunun kabulü dönemindeki açıklama: hallboothsmith.com hallboothsmith.com.
CookieScript — KVKK ve GDPR farkları; güncel resmî metinlerle birlikte değerlendirilmesi gereken karşılaştırmalı kaynak: cookie-script.com.
Kanunun yayımı ve yürürlüğüne ilişkin kaynaklar: acc.com dataguidance.com.

İlgili rehberler ve pratik sonraki adımlar

Güncel resmî kaynaklar

Masoud Salmani