Genel Veri Koruma Tüzüğü (GDPR) dünya genelinde kişisel verilerin toplanma, işlenme ve saklanma biçimini yeniden şekillendirdi. GDPR bir AB tüzüğü olsa da, ekonomik bağları, dijital ticareti ve küresel pazardaki artan rolü nedeniyle etkisi Türkiye dahil olmak üzere Avrupa Birliği sınırlarının çok ötesine uzanmaktadır.
Türkiye'nin kendi veri koruma çerçevesi olan Kişisel Verilerin Korunması Kanunu (KVKK), GDPR ile birçok benzerlik taşımaktadır. Ancak, işletmelerin ve bireylerin anlaması gereken kritik farklılıklar da bulunmaktadır.
Bu yazı, GDPR’nin Türkiye’de uygulanabilirliğini, ilgili kişi haklarını ve uygulama konularını ele alır.
GDPR, 25 Mayıs 2018 tarihinden beri uygulanmaktadır. Coğrafi kapsamı 3. maddede belirlenir; AB vatandaşlığı tek başına uygulanabilirliği belirlemez.
Türkiye'deki bir işletme, AB'deki yerleşiklik bağlarını ve AB'deki kişilere mal veya hizmet sunup sunmadığını ya da davranışlarını izleyip izlemediğini değerlendirmelidir.
Türkiye'nin KVKK'sı, 2016 yılında yürürlüğe girdi. Hazırlanırken önceki AB Veri Koruma Direktifi 95/46/EC esas alındı. GDPR ve KVKK ayrı ayrı değerlendirilmelidir.
2016 yılından önce Türkiye'de kapsamlı bir veri koruma çerçevesi bulunmuyordu. KVKK , bu boşluğu doldurmak ve kişisel verilerin hukuka uygun, şeffaf ve güvenli bir şekilde toplanıp işlenmesini sağlamak amacıyla yürürlüğe konuldu.
KVKK'daki değişikliklere ilişkin incelemelerde, kontrolleri güncellemeden önce etkilenen maddeleri ve yürürlük tarihlerini belirleyin.
GDPR ve KVKK ortak ilkeleri paylaşsa da, aralarında önemli farklılıklar bulunmaktadır.
Hem GDPR hem de KVKK açık rıza, sözleşmenin ifası ve yasal yükümlülükleri işleme dayanakları olarak kabul eder. Ancak GDPR, meşru menfaat ve hayati menfaatler konusunda daha detaylı hükümler sunar.
Sonraki bölümler işleme ilkelerini ve kurumsal yükümlülükleri ele alıyor.
GDPR gibi, Türkiye'deki KVKK da kişisel verilerin işlenmesini düzenleyen bir dizi temel ilkeye dayanır. Bu ilkeler; dürüstlüğü, hesap verebilirliği ve bireysel hakların korunmasını sağlar.
Türkiye'deki kuruluşlar kişisel verileri hukuka uygun ve şeffaf bir şekilde işlemelidir. Geçerli işleme şartını belirleyin ve gerekli aydınlatmayı yapın. Rızaya dayanılıyorsa ilgili hukuki şartlar sağlanmalıdır.
Veriler yalnızca belirli bir amaç için toplanmalı ve alakasız faaliyetler için yeniden kullanılmamalıdır. İşletmeler ayrıca veri azaltma yaklaşımını benimsemeli ve yalnızca kesinlikle gerekli olan verileri toplamalıdır.
Türkiye'deki KVKK kapsamında şirketler, verilerin doğru, güncel ve güvenli bir şekilde saklanmasını sağlamakla yükümlüdür. Gereksiz verilerin ihtiyaç duyulandan daha uzun süre tutulması kesinlikle yasaktır.
GDPR, bireylere verileri üzerinde gelişmiş bir kontrol yetkisi tanır ve bu haklar Türkiye'deki KVKK uygulamalarını da etkilemektedir.
Bireyler kişisel verilerine erişim talep edebilir ve bilgilerin hatalı olması durumunda düzeltilmesini isteyebilirler.
İlgili kişiler, hukuki şartlar sağlandığında silme talep edebilir. Rızanın geri çekilmesi, diğer tüm hukuka uygun saklama nedenlerini ortadan kaldırmaz.
GDPR'ın benzersiz özelliklerinden biri veri taşınabilirliği hakkıdır; bu hak, bireylerin verilerini bir sağlayıcıdan diğerine aktarmasına olanak tanır. KVKK henüz bu hakkı tam olarak içermemektedir.
GDPR'nin uygulandığı durumlarda itiraz ve kısıtlama hakları, pazarlama veya profilleme işlemlerini kapsayabilir. Bu hakları KVKK kapsamındaki haklardan ayrı değerlendirin.
Her kanunun hangi işleme faaliyetlerine uygulandığını belirleyin ve ilgili yükümlülükleri belgeleyin.
GDPR uygulanıyorsa 37. maddedeki zorunlu DPO ölçütlerini değerlendirin. KVKK aynı genel DPO rejimini kurmaz; DPO'yu veri sorumlusu temsilcisi ve VERBİS irtibat kişisinden ayırın.
İşletmeler, verileri nasıl işlediklerini ve koruduklarını gösteren uyumluluk kayıtları tutmalıdır.
GDPR kapsamında bildirimi gereken ihlaller, öğrenilmesinden itibaren gecikmeksizin ve mümkünse 72 saat içinde yetkili makama bildirilmelidir. KVKK'nın 2019/10 sayılı kararı uyarınca 12/5. madde kapsamındaki ihlaller, öğrenilmesinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirilir. Bildirim eşiklerini ayrı değerlendirin.
Bazı uluslararası veri işleme faaliyetleri, çifte uyumluluk gerektirebilir. Her kanunun neden uygulandığını belgeleyin.
Kişisel verilerin Türkiye'den AB'ye veya tam tersi şekilde aktarılması, yeterli güvenceler gerektirir; örneğin standart sözleşme maddeleri veya bağlayıcı şirket kuralları gibi.
Türkiye'de faaliyet gösteren AB şirketleri, GDPR'ye ek olarak KVKK ile de uyumlu olmak zorundadır, bu da ek bir yasal sorumluluk katmanı oluşturur.
GDPR veya KVKK ile uyum sağlanamaması ciddi sonuçlar doğurabilir.
Türk makamları, şirketlere izinsiz veri toplama, yetersiz siber güvenlik önlemleri ve açık rıza almama gibi nedenlerle para cezaları uygulamıştır.
Bankalar, özellikle dijital bankacılık ve fintech gibi alanlarda müşteri verilerinin şeffaf ve güvenli bir şekilde işlenmesini sağlamalıdır.
Hassas sağlık verileri daha yüksek koruma seviyeleri gerektirir ve veri ihlalleri ağır yaptırımlara yol açabilir.
Türkiye'de e-ticaretin hızla büyümesiyle birlikte, tüketici güvenini inşa etmek için GDPR ve KVKK uyumluluğu şarttır.
Çalışanlar, özellikle şu verileri işleyenler olmak üzere, GDPR ilkeleri konusunda eğitilmelidir: müşteri verileri.
Şu gibi araçlar veri şifreleme, erişim kontrolleri ve rıza yönetimi sistemleri şirketlerin uyumluluğu sürdürmelerine yardımcı olabilir.
Belgelenmiş kontroller, müşteriye güvence sunmayı ve veri güvenliğini destekleyebilir.
Resmi yayınlardaki KVKK değişikliklerini izleyin ve işleme faaliyetlerinize etkilerini değerlendirin.
Sınır ötesi müşteriler, uygulanabilir gizlilik kontrollerine ve aktarım düzenlemelerine ilişkin kanıt isteyebilir.
1. GDPR Türkiye’de geçerli mi?
Uygulanabilir. Yukarıda açıklanan 3. madde kapsamındaki yerleşiklik ve hedefleme ölçütlerini değerlendirin; uyruk tek başına kapsamı belirlemez.
2. GDPR ile KVKK arasındaki fark nedir?
GDPR bir AB tüzüğüdür, KVKK ise Türkiye’nin yerel veri koruma kanunudur. GDPR, KVKK’ya kıyasla veri taşınabilirliği gibi daha geniş haklar sunar.
3. Türkiye’deki tüm işletmelerin Veri Koruma Görevlisi (DPO) ataması gerekiyor mu?
Hayır. GDPR uygulanıyorsa zorunlu atama 37. maddeye göre değerlendirilir; büyük ölçekli özel nitelikli veri işleme bu yükümlülüğü doğurabilir.
4. Türkiye’de uyumsuzluğun cezaları nelerdir?
KVKK kapsamındaki cezalar milyonlarca lirayı bulabilirken, GDPR cezaları 20 milyon Euro’ya veya yıllık cironun %4’üne kadar çıkabilmektedir.
5. Türk şirketleri GDPR uyumluluğuna nasıl hazırlanabilir?
Denetimler yaparak, gizlilik politikalarını güncelleyerek, çalışanları eğiterek ve uyumluluk teknolojilerine yatırım yaparak.
6. Türkiye’de GDPR’dan en çok hangi sektörler etkileniyor?
Sektör adı tek başına GDPR kapsamını belirlemez. Faaliyetleri, verileri ve AB ile bağlantıları değerlendirin.
Türkiye'de GDPR kapsamını her işleme faaliyeti için belgeleyin. Her ikisi de uygulanıyorsa, GDPR ve KVKK yükümlülüklerini ayrı ayrı eşleştirin.
Kapsama giren veri işleme faaliyetlerini belirleyin, gerekli kontrolleri belgeleyin ve giderilmemiş eksikleri takip edin.
GDPR uyumluluğu konusundaki en iyi uygulamalar hakkında daha fazla bilgi edinmek için Avrupa Komisyonu'nun resmi GDPR rehberini ziyaret edebilirsiniz.
