2025 Yılı İçin Orta Doğu Veri Koruma Yasalarını Anlamak

2025 Yılında Orta Doğu Veri Koruma Yasalarını Anlamak

Orta Doğu ve Kuzey Afrika (MENA) bölgesindeki profesyoneller, veri koruma yasalarında hızlı bir dönüşüme tanıklık ediyor. Son yıllarda Körfez'den Levant'a kadar birçok ülke, çoğu AB'nin Genel Veri Koruma Tüzüğü'nden (GDPR) esinlenen kapsamlı gizlilik düzenlemeleri getirdi. Bu pratik rehber, 2025 yılı itibarıyla MENA veri koruma yasalarının mevcut durumuna genel bir bakış sunmakta; bu yasaların GDPR ile karşılaştırmasını ve işletmelerin (girişimler, SaaS sağlayıcıları, fintech, e-ticaret, sağlık, hukuk hizmetleri ve Veri Koruma Görevlileri) uyumlu kalmak için neleri bilmeleri gerektiğini vurgulamaktadır. BAE, Suudi Arabistan, Mısır, Katar, Bahreyn, Ürdün, Kuveyt, Umman, Irak, Lübnan ve İsrail dahil olmak üzere kilit yargı bölgelerini ele alacak; kayıt yükümlülükleri, veri aktarım kuralları, ihlal bildirimleri, para cezaları ve bölgedeki uygulama zorlukları gibi pratik sonuçlara odaklanacağız.

2025'te Orta Doğu Veri Koruma Yasaları: Ülkelere Genel Bakış

Orta Doğu'da veri koruma düzenlemeleri artık belirsiz hükümlerden oluşan bir yama işi değil; büyük ekonomilerin çoğunda artık özel gizlilik yasaları bulunuyor. Aşağıda, 2025 yılı itibarıyla bölgedeki veri koruma yasalarının ve durumlarının bir özeti yer almaktadır:

• Birleşik Arap Emirlikleri (BAE): Federal Kişisel Verilerin Korunması Kanunu (2021 tarihli ve 45 sayılı Federal Kanun Hükmünde Kararname, "BAE PDPL") 2 Ocak 2022'den beri yürürlüktedir. Kasım 2025 itibarıyla, uzun süredir beklenen Uygulama Yönetmelikleri tam olarak yayımlanmadığı/uygulanmadığı için, bazı operasyonel detaylar (örneğin, ihlal bildirimi mekanizmaları, aktarım araçları, belirli usuli görevler) gelecekteki rehberliğe tabidir. BAE'nin finansal serbest bölgelerinin—DIFC ve ADGM—halihazırda tam olarak işleyen, GDPR tarzı ayrı rejimler yürüttüğünü unutmayın; orada lisanslı şirketler, federal/karasal yükümlülüklere ek olarak bu çerçevelere de uymak zorundadır.
• Suudi Arabistan Krallığı (KSA): Suudi Arabistan Krallığı (KSA): Kişisel Verilerin Korunması Kanunu (PDPL), 14 Eylül 2024tarihinden itibaren tamamen uygulanabilir durumdadır. Düzenleyici kurum, Uygulama/Aktarım Yönetmeliklerini yayımlamış olan SDAIA'dır. Sınır ötesi aktarımlar, ya yeterli bir varış noktası ya da uygun güvenceler (örneğin sözleşme maddeleri, sertifikalar/BCR'ler) ve gerektiğinde aktarım risk değerlendirmesi ile desteklenmektedir. KVKK, aşağıdakiler dahil olmak üzere çeşitli hukuki dayanakları tanımaktadır: meşru menfaatler (sınırları dahilinde)—özellikle hassas veriler için daha sıkı koşullar. Veri sorumlularının kayıt yaptırması (ve ihlal bildirimleri için kullanması) gerekebilir. İhlal bildirimleri SDAIA'ya 72 saat içinde ve etkilenen kişilere gecikmeksizin riskin gerektirdiği durumlarda yapılmalıdır. Veri Koruma Görevlisi (DPO) ataması belirli durumlarda (örneğin büyük ölçekli veya hassas işleme, belirli kamu kurumları) zorunludur.
• Mısır: Mısır Kişisel Verilerin Korunması Kanunu (2020 tarihli ve 151 sayılı Kanun), Kuzey Afrika'daki ilk kapsamlı gizlilik yasalarından biridir. 2020'den beri yürürlükte olan (yönetmeliklerin ardından 2022'den itibaren tam olarak uygulanan) bu kanun, ulusal veri otoritesi olarak Kişisel Verileri Koruma Merkezi'ni kurmuştur. Büyük ölçüde GDPR'den esinlenen kanun, Mısır'da ikamet edenlerin kişisel verilerini işleyen tüm kuruluşlar (yabancı şirketler dahil) için geçerlidir. Ancak, Mısır katı lisanslama şartları getirmektedir: şirketlerin kişisel verileri toplamak, işlemek, saklamak veya aktarmak için Merkez'den lisans veya izin almaları gerekmektedir veya elektronik pazarlama faaliyetleri yürütmek için dahi. Her kuruluş ayrıca bir kurum içi Veri Koruma Görevlisi (DPO) atamalı ve bu görevliyi yetkili makamlara kaydettirmelidir. Mısır yasası yalnızca elektronik ortamda işlenen verileri kapsamaktadır (dijital olmayan kayıtlar kapsam dışıdır). Sınır ötesi veri aktarımları Merkez'in onayına tabidir; kuruluşlar, alıcı ülkenin benzer bir koruma sağladığından emin olmalı ve verileri yurt dışına aktarmadan önce muhtemelen Merkez'den izin almalıdır (Merkez, sınır ötesi veri aktarımlarını denetleme ve bu konuda karar verme yetkisine sahiptir). Mısır'da uyumsuzluk, ağır para cezaları ve ciddi ihlallerde (örneğin hassas verilerin kötüye kullanımı veya veri sızıntıları) hapis cezası gibi ağır yaptırımları beraberinde getirebilir. Ancak, şirketler lisanslama rejimine uyum sağladıkça uygulama süreci henüz başlangıç aşamasındadır.
• Katar: Katar, 2016 yılında Kişisel Verilerin Gizliliğinin Korunması Hakkında 13 sayılı Kanun'u çıkararak GDPR benzeri bir yasaya sahip ilk Körfez ülkelerinden biri olmuştur. Bu yasa, uluslararası standartlarla daha uyumlu hale getirilmek üzere güncellenmiştir. Katar yasası, Katar'da işlenen kişisel veriler için geniş kapsamlı bir şekilde uygulanır ve aşina olduğumuz gereklilikleri içerir: çoğu kişisel verinin işlenmesi için onay, şeffaflık yükümlülükleri, bireysel haklar ve kişisel verilerin yurt dışına gönderilmesine ilişkin kısıtlamalar (veri ihracatı, alıcı ülkenin yeterli bir yasaya veya başka güvencelere sahip olmasını gerektirir). Ayrıca, Katar Finans Merkezi'nin (QFC), bu ekonomik bölgede lisanslı şirketler için kendi Veri Koruma Yönetmelikleri (2021'de değiştirilmiştir) bulunmaktadır. Her iki rejim de Avrupa ilkeleriyle karşılaştırılabilir düzeydedir, ancak Katar'da uygulama şu ana kadar nispeten sessiz kalmıştır.
• Bahreyn: Bahreyn'in Kişisel Verilerin Korunması Kanunu (30 sayılı 2018 tarihli Kanun, "PDPL") 1 Ağustos 2019 tarihinde yürürlüğe girmiştir. Bir Kişisel Verileri Koruma Kurumu oluşturan bu kanun, büyük ölçüde AB GDPR'ı örnek almıştır. Bahreyn PDPL uyarınca, veri işleme süreci; onay, sözleşme gerekliliği, yasal yükümlülük vb. gibi yasal bir dayanak gerektirir ve meşru menfaat dayanağını da içerir (bireyin hakları ihlal edilmediği sürece) – bu, diğer bazı bölgesel yasalarda bulunmayan bir özelliktir. Bahreyn'deki veri sorumlularının belirli durumlarda Kurum'a kayıt olmaları gerekebilir ve veri ihlali bildirim yükümlülükleri (genellikle Kurum'a bildirimde bulunmak) mevcuttur. Bahreyn, bazı ihlaller için nispeten düşük maksimum para cezaları (yaklaşık 2.600 ABD Doları veya 1.000 BD kadar düşük) belirlemiştir, ancak özellikle cezai yaptırımlar (hapis cezası dahil) hassas verilerin izinsiz işlenmesi gibi ciddi suçlar için öngörülmüştür. Bugüne kadar, Bahreyn'in PDPL'si kapsamında kamuoyuna yansıyan yüksek profilli bir yaptırım uygulanmamış olsa da, şirketlerin tam uyum sağlaması beklenmektedir.
• Ürdün: 24 sayılı 2023 tarihli Kanun, 17 Eylül 2023 tarihinde yayımlanmış ve 17 Mart 2024 tarihinde yürürlüğe girmiştir. Kanun, açık rızayı vurgulamakta olup "meşru menfaatleri" bağımsız bir yasal dayanak olarak kabul etmemektedir. Sınır ötesi veri aktarımları, varış ülkesi yeterli koruma sağlamadığı veya dar kapsamlı bir yasal istisna uygulanmadığı sürece genel olarak yasaktır. Veri ihlali bildirimleri: "ciddi zarara" yol açabilecek durumlarda 72 saat içinde kuruma, 24 saat içinde ise etkilenen bireylere yapılmalıdır. Belirli senaryolarda (örneğin, temel faaliyetlerin kişisel veya hassas verileri, küçüklerin verilerini, önemli finansal veri işlemeyi veya yurt dışına aktarılması amaçlanan veritabanlarını içermesi durumunda) bir Veri Koruma Görevlisi (DPO) veya veri denetçisi bulundurmak zorunludur.
• Kuveyt: Kuveyt'in bugüne kadar sınırlı kapsamlı bir gizlilik yasası olmuştur. 2020 yılında Kuveyt bir Kişisel Verilerin Korunması Kanunu çıkarmıştır, ancak bu yasa yalnızca düzenlemeye tabi telekomünikasyon ve internet servis sağlayıcıları için geçerlidir ve Kuveyt İletişim ve Bilgi Teknolojileri Düzenleme Kurumu (CITRA) tarafından lisanslanmıştır. Bu, tüm işletmeleri kapsayan geniş bir sektörler arası yasa değildir. Telekom/İSS kuruluşları için bile yasa bir geçiş sürecindedir ve tam olarak 26 Şubat 2025tarihinde yürürlüğe girmesi planlanmaktadır. Kuveyt'teki diğer sektörler şu anda sektörel yasalara veya anayasal gizlilik hükümlerine dayanmakta olup, bu durum kapsamlı bir düzenlemede boşluk yaratmaktadır. CITRA'nın kapsamı dışındaki şirketler Kuveyt'te henüz GDPR tarzı bir rejime tabi değildir, ancak yasanın kapsamının gelecekte genişletilmesi ihtimali devam etmektedir.
• Umman: 6/2022 sayılı Kraliyet Kararnamesi (PDPL) yürürlüğe girdi 13 Şubat 2023 ve 2025yılına kadar uzanan uzun bir geçiş süreci öngörüldü. GDPR'den esinlenen bu yasa, büyük ölçüde rızaya dayanıyor ( “meşru menfaatler” gibi bir dayanak bulunmuyor). Yasa; veri sahibi haklarını, şeffaflık yükümlülüklerini, belirli durumlarda Veri Koruma Görevlisi (DPO) atama zorunluluğunu ve sınır ötesi veri aktarımı düzenlemelerini beraberinde getiriyor. Uygulama rehberleri kademeli olarak yayınlanmıştır; Umman'da faaliyet gösteren kuruluşlar 2025 yılı boyunca uyum süreçlerini tamamlamalı ve yayınlanabilecek ek uygulama detaylarını takip etmelidir.
• Irak: 2025 itibarıyla Irak'ta özel sektör kişisel verilerini kapsayan kapsamlı bir veri koruma yasası bulunmamaktadır . Bazı gizlilik hükümleri diğer yasalarda (bankacılık veya telekomünikasyon düzenlemeleri ve anayasal gizlilik güvenceleri gibi) yer almaktadır ve kişisel verilerin korunmasına yönelik taslak yasalar gündeme gelmiştir (2019'da bakanlar kurulu tarafından onaylanan bir taslak yasa mevcuttur ancak yürürlüğe girmemiştir). Özel bir yasanın yokluğunda, Irak'ta faaliyet gösteren şirketlerin uyması gereken tek bir otorite veya GDPR benzeri bir çerçeve bulunmamaktadır; ancak şirketler yine de müşteri verilerini korumak adına temel gizlilik ilkelerine ve siber güvenlik yasalarına riayet etmelidir. Irak'ın mevcut durumu, bölgedeki düzenleyici boşluğun bir hatırlatıcısı niteliğindedir; ülke, bölgede henüz kişisel veri yasasını yürürlüğe koymamış az sayıdaki büyük ülkeden biridir.
• Lübnan: Lübnan'ın gizlilik rejimi, Elektronik İşlemler ve Kişisel Veriler Yasası'ndan (81/2018 sayılı Yasa) kaynaklanmaktadır. Bu yasa, GDPR kadar detaylı olmasa da kişisel verilerin korunmasına ilişkin hükümler içermektedir. 81/2018 sayılı Yasa uyarınca, kişisel veri işleyen her kuruluşun Ekonomi ve Ticaret Bakanlığı'na ön bildirimde bulunması ve bir istisna (örneğin veri sahibinin rızası, kişisel veya gazetecilik amaçlı işleme ya da belirli kâr amacı gütmeyen faaliyetler) söz konusu değilse izin alması gerekmektedir. Bazı veri kategorileri (ulusal güvenlik, adli sicil kayıtları, sağlık/cinsel yaşam verileri) işlenmek için ilgili bakanlıklardan özel lisans gerektirir. Lübnan yasası, bireylere meşru nedenlerle (doğrudan pazarlama dahil) veri işlemeye itiraz etme hakkı tanımaktadır, ancak bu bağımsız bir Veri Koruma Otoritesi kurmamaktadır – yaptırım yetkisi mahkemelerdedir ve Bakanlık izin verebilse de uyumluluğu aktif olarak denetleyememektedir. sınır ötesi veri aktarımlarına ilişkin açık hükümler bulunmamaktadır (yasa, verilerin yurt dışına aktarılması konusunda sessizdir) ve zorunlu bir veri ihlali bildirim kuralı yoktur. Uygulamada, Lübnan'ın ekonomik durumu ve düzenleyici denetim eksikliği, uyumluluğun asgari düzeyde kalmasına neden olmakta ve Lübnan pazarında uluslararası en iyi uygulamaları takip etmek isteyen şirketler için zorluklar yaratmaktadır.
• İsrail: İsrail, bölgede en köklü veri koruma rejimlerinden birine sahip olmasıyla öne çıkmaktadır. Gizliliğin Korunması Kanunu (PPL) 1981 yılından beri yürürlüktedir ve İsrail, AB tarafından kişisel veri aktarımları için "yeterli" koruma sağlayan bir ülke olarak tanınmaktadır. Ağustos 2024'te İsrail Parlamentosu (Knesset), 13. Değişiklik 'i onaylayarak gizlilik yasasını modernize etmiş ve bu değişiklik 14 Ağustos 2025tarihinde yürürlüğe girmiştir. Bu kapsamlı reform, İsrail'in çerçevesini GDPR'a daha da yaklaştırmaktadır. 13. Değişiklik kapsamındaki temel değişiklikler şunlardır: kişisel bilgi tanımının genişletilmesi (IP adresleri, konum verileri vb. açıkça kapsanmaktadır) ve "özellikle hassas" veri kategorisinin genişletilmesi (örneğin biyometrik veriler, genetik veriler, cinsel yönelim, finansal veriler); zorunlu Veri Koruma Görevlisi (DPO) atamaları (kamu kurumları, yoğun veri işleyen şirketler veya sistematik izleme yapan kuruluşlar için); daha sıkı rıza ve şeffaflık kuralları (rıza açık, belgelenmiş ve ayrıntılı olmalıdır – artık genel rıza uygulaması yoktur); ve eski veritabanı kaydı zorunluluğunun daraltılması (artık sadece çok büyük veritabanları veya belirli hassas veri içeren veritabanları kayıt yaptırmak zorundadır). Özellikle, İsrail yasası artık net bir ekstrateritoryal (ülke sınırlarını aşan) etki alanına sahiptir – İsrail'de yerleşik kişilerin verilerini işliyorsanız, yerel bir ofisiniz olmasa dahi yasaya uymak zorundasınız. Yaptırım yetkileri güçlendirildi: Gizlilik Koruma Kurumu (PPA), milyonlarca şekel (yaklaşık 500.000 ABD dolarının üzerinde, büyük ölçekli veya hassas veri ihlalleri için daha yüksek cezalarla) tutarında idari para cezaları uygulayabiliyor, veri işleme veritabanlarını askıya alabiliyor, bağlayıcı emirler verebiliyor ve hatta ihlalde bulunanları 4 yıla kadar kamuoyuna ifşa edebiliyor. Bireyler ayrıca zarar kanıtlama zorunluluğu olmaksızın gizlilik ihlalleri nedeniyle dava açmahakkı kazandı ve kişi başına 100.000 ₪ (~27.000 $) tutarına kadar yasal tazminat hakkı getirildi. İsrail'in güncellenmiş yasası, algoritmik hesap verebilirlik hükümlerini de dahil ederek yapay zeka ve otomatik karar verme süreçlerini ele alıyor. İsrail'de faaliyet gösteren veya İsrail'e ait kişisel verileri işleyen işletmeler için 2025 yılı, bazı yönlerden GDPR'ın ötesine geçen, özel hukuk davalarına olanak tanıyan ve yapay zeka kullanımını açıkça düzenleyen çok daha katı bir rejim anlamına geliyor. Şirketler, kişisel veri içeren tüm veritabanlarının güvenliğini sağlamalı, yeni kriterlere göre kayıt veya bildirim işlemlerini tamamlamalı, gerekliyse nitelikli bir Veri Koruma Görevlisi (DPO) atamalı, rıza formlarını ve gizlilik bildirimlerini yeni standartlara uygun şekilde güncellemeli ve PPA'nın daha aktif bir denetim ortamına hazırlıklı olmalıdır.

Yukarıdaki genel bakışın da gösterdiği gibi, Orta Doğu veri korumayı ciddiyetle benimsemiştir; artık çoğu ülkede özel gizlilik yasaları bulunmaktadır. Küresel standartlardan esinlenilse de, her ülkenin yasası işletmelerin dikkat etmesi gereken kendine özgü özelliklere sahiptir. Bir sonraki bölümde, bu yasalar arasındaki ortak noktaları ve temel farkları, AB GDPR ile karşılaştırmalı olarak inceleyeceğiz.

MENA Yasaları ile AB GDPR Arasındaki Benzerlikler

2025 yılı itibarıyla çoğu MENA veri koruma yasası, AB GDPR'ının temel ilkelerini yansıtmaktadır. Bu durum bilinçli bir tercihtir; ülkeler kişisel verileri uluslararası standartlarda korumayı ve küresel ticareti kolaylaştırmayı hedeflemektedir. Temel benzerlikler şunlardır:

• Temel İlkeler: Orta Doğu yasaları; işlemede hukuka uygunluk, dürüstlük ve şeffaflık, amaç sınırlaması, veri doğruluğu, depolama sınırlaması, kişisel verilerin bütünlüğü ve gizliliği (güvenliği) gibi bilindik veri koruma ilkelerini benimsemektedir. Bunlar, GDPR'ın 5. maddesindeki ilkelerle örtüşmektedir. Örneğin, Ürdün yasası şeffaflık ve amaç sınırlaması gibi ilkeleri açıkça listelerken, Umman yasası verilerin gizliliğe ve insan onuruna saygı çerçevesinde işlenmesi gerektiğini belirtmektedir. Terminoloji biraz farklılık gösterse de öz aynıdır: Kişisel veriler sorumlu bir şekilde ve yalnızca meşru, açıklanmış amaçlar doğrultusunda işlenmelidir.
• Rıza ve Hukuki Dayanaklar: Bölgesel yasaların tümü hukuki bir dayanak kişisel verileri işlemek için, genellikle temel bir dayanak olarak rıza. Bu yasalara göre rıza, genellikle GDPR standartlarında olduğu gibi açık (ve bazen yazılı) ve bilgilendirmeye dayalı olmalıdır. Ayrıca, yaygın olarak kabul edilen diğer yasal dayanaklar arasında sözleşme gerekliliği, yasal yükümlülüklere uyum, hayati çıkarların korunması ile kamu yararı veya resmi yetki kullanımı yer alır. Örneğin, BAE Kişisel Verilerin Korunması Kanunu (PDPL) rızayı vurgularken, aynı zamanda sözleşmesel gereklilik, yasal yükümlülükler ve kamu yararı gibi durumlar için de işlemeye izin vermektedir. Suudi Arabistan’ın güncellenmiş PDPL’i ise meşru menfaatleri (sınırlamalarla birlikte) ve benzer alternatif dayanakları içermektedir. Dolayısıyla, kişisel veri işlemenin, izin verilen bir dayanak bulunmadığı sürece genel olarak yasak olduğu kavramı hem GDPR hem de Orta Doğu yasalarında ortaktır.
• Bireysel Haklar: Orta Doğu ve Kuzey Afrika (MENA) ülkelerindeki gizlilik yasaları, veri sahiplerine GDPR’ın erişim, düzeltme, silme (unutulma hakkı), işlemeye itiraz ve genellikle veri taşınabilirliği haklarına çok benzer bir dizi hak tanımaktadır. Örneğin, erişim ve düzeltme hakları evrensel olarak sağlanmaktadır. Ürdün; erişim, düzeltme, silme, itiraz etme, ayrımcı profillemeye tabi tutulmamave hatta veri ihlallerinden haberdar edilme hakkı tanımaktadırBAE, Bahreyn, Mısır, Suudi Arabistan ve diğerleri; bireylere, bir şirketin kendileri hakkında hangi verilere sahip olduğunu görme ve belirli durumlarda düzeltme veya silme talebinde bulunma hakkı tanımaktadır. Bu haklar belirli koşullara veya istisnalara tabi olsa da, bireyleri kişisel verileri üzerinde yetkilendirme felsefesi GDPR ile uyumludur.
• Veri Güvenliği ve İhlal Bildirimi: Tüm bu yasalar, kuruluşların güvenlik önlemleri almasını zorunlu kılar; bu durum GDPR'nin güvenlik ilkesi ve 32. Madde yükümlülüklerine benzer. Birçoğu ayrıca, GDPR'nin 72 saatlik ihlal bildirim kuralına benzer şekilde, zorunlu kişisel veri ihlali bildirimlerini düzenleyici kurumlara ve bazen de etkilenen bireylere yapma zorunluluğu getirir. Örneğin, Suudi Arabistan PDPL, bir ihlal durumunda 72 saat içinde SDAIA'ya ve etkilenen veri sahiplerine "makul olmayan bir gecikme olmaksızın" bildirimde bulunulmasını şart koşar. Ürdün yasası, düzenleyici kurumu bilgilendirmek için 72 saatlik bir süre ve eğer ihlal ciddi zarara yol açıyorsa bireyleri bilgilendirmek için oldukça kısa olan 24 saatlik bir son tarih belirler. BAE PDPL, (faaliyete geçtiğinde) BAE Veri Ofisi'ne ihlal raporları sunulmasını gerektirecektir; Bahreyn PDPL de ihlallerin düzenleyici kuruma bildirilmesini zorunlu kılar. Bu eğilim, GDPR'nin etkisini göstermektedir: Orta Doğu ve Kuzey Afrika'daki düzenleyiciler, harekete geçebilmek ve şirketlerin sorunları gidermesini sağlamak için veri olaylarından haberdar olmak istemektedir.
• Veri Koruma Görevlileri ve Hesap Verebilirlik: GDPR, belirli kuruluşlar için Veri Koruma Görevlisi atama kavramını getirmiş ve birçok Orta Doğu yasası da bu önlemi benimsemiştir. BAE, Suudi Arabistan, Mısır, Umman, Ürdün ve İsrail'in tümü, kuruluşların bir Veri Koruma Görevlisi (DPO) atamasını (veya benzer bir sorumlu kişi) belirli koşullar altında – genellikle işleme büyük ölçekliyse, hassas verileri içeriyorsa veya kuruluş bir kamu otoritesi ise – zorunlu tutar. Kesinlikle zorunlu olmadığı durumlarda bile işletmelerin, gizlilik uyumundan sorumlu bir personel (veya dış danışman) bulundurmaları teşvik edilir. Bu yasalardaki DPO rolü, GDPR'ninkine benzerdir: iç uyumu izlemek, personeli eğitmek, veri sahibi taleplerini yönetmek ve düzenleyici kurumlarla irtibat kurmak. Bu durum, hesap verebilirliğe verilen önemi yansıtır; kuruluşlar yalnızca kurallara uymakla kalmamalı, aynı zamanda dokümantasyon (işleme kayıtları, risk değerlendirmeleri gibi) ve özel gözetim rolleri aracılığıyla uyumluluklarını kanıtlamalıdır.
• Ülke Sınırlarını Aşan Etki: GDPR'nin Avrupa sınırlarının ötesindeki erişimine benzer şekilde, birçok Orta Doğu yasası, ülke içindeki bireylerin kişisel verilerini işleyen ülke dışındakişirketler için de açıkça geçerlidir. BAE, Suudi Arabistan, Katar, Bahreyn, Ürdün ve İsrail'in tümü bu ülke sınırlarını aşan etkiyi uygulamaktadırÖrneğin, BAE PDPL, BAE dışındaki veri sorumluları/işleyenleri için de geçerlidir; yani BAE içindeki bireylerin verilerini işleyen yurt dışı kuruluşları kapsar. İsrail'in yeni değişikliği de benzer şekilde İsrail'de ikamet edenleri hedef alan yabancı şirketleri kapsamına almaktadır. Suudi Arabistan PDPL ise, Suudi Arabistan'da veya yurt dışındaki kuruluşlar tarafından Suudi Arabistan'da ikamet edenlerin kişisel verilerinin işlenmesi durumunda uygulanır. Bu benzerlik, yabancı şirketlerin bu yasaları görmezden gelemeyeceği anlamına gelir: Eğer bu ülkelerdeki insanlara mal veya hizmet sunuyorsanız (veya davranışlarını izliyorsanız), tıpkı AB sakinleri için GDPR kapsamında olduğunuz gibi, muhtemelen yerel yargı yetkisine de tabi olursunuz.
• Ağır Para Cezaları (Kağıt Üzerinde): Uygulamadaki denetimler henüz hız kazanıyor olsa da, yasalar uyumsuzluk durumunda caydırıcı olması amacıyla parasal cezalar öngörmektedir. Orta Doğu yasalarındaki maksimum para cezaları, GDPR'nin 20 milyon Euro veya küresel cironun %4'ü olan potansiyel cezalarına kıyasla (mutlak değer olarak) genellikle daha düşüktür, ancak bazıları yine de ciddi boyutlara ulaşabilir. Örneğin, Suudi Arabistan'ın PDPL'si, ihlal başına 5 milyon SAR'a (yaklaşık 1,33 milyon dolar) kadar idari para cezasına izin vermekte olup, bu miktar tekrarlanan ihlallerde iki katına çıkabilmektedir. BAE'nin yakında çıkacak olan İdari Yönetmeliklerinin cezaları belirlemesi beklenmektedir (miktarlar henüz belli değildir). Umman yasası, ihlaller için para cezası ve hatta hapis cezası öngörmektedir (ayrıntılar idari yönetmeliklerde henüz netleşmemiştir). İsrail'in değiştirilen yasası, milyonlarca şekellik para cezalarına olanak tanımaktadır. Bahreyn yasası daha küçük para cezalarına (yaklaşık 2,6 bin dolardan başlayan) sahipken, Ürdün'ün yeni yasası cezaları yaklaşık 14 bin dolar ile sınırlandırmıştır. Buna ek olarak, cezai sorumluluk (hapis cezaları) bazı yasalarda belirli veri ihlalleri için yer almaktadır (örneğin, Suudi Arabistan, Bahreyn, Kuveyt ciddi ihlaller için hapis cezası uygulayabilir). GDPR'nin anlamlı cezalar felsefesiyle olan bu uyum, uyumluluğun önemini vurgulamaktadır; düzenleyici kurumlar, bu gücü kullanma konusunda şimdiye kadar temkinli davranmış olsalar bile, ihlal edenleri cezalandırmak için yasal araçlara sahiptir.

Özetle, GDPR ile uyumlu bir şirket, Orta Doğu gizlilik yasalarında tanıdık bir zemin bulacaktır: açık rıza formları ve gizlilik bildirimleri, erişim veya silme taleplerini yönetme süreçleri, veri güvenliği en iyi uygulamaları, ihlal müdahale planları ve tüm bunları yönetecek bir Veri Koruma Görevlisi (DPO). Ortak temel GDPR'nin öncülük ettiği, kullanıcı odaklı ve hesap verebilirlik temelli yaklaşımla aynıdır.

MENA Yasaları ile GDPR Arasındaki Temel Farklar

GDPR etkisine rağmen, Orta Doğu veri koruma yasaları birebir kopyası değildir Avrupa hukukunun. Her yargı bölgesi kurallarını yerel bağlama göre uyarlamış, bu da önemli farklılıklara ve benzersiz gerekliliklere yol açmıştır. Şirketler bu temel farkların ve nüansların farkında olmalıdır:

• Sınırlı Hukuki Dayanaklar (Rıza Odaklı Rejimler): Çarpıcı bir fark, birçok MENA yasasının “meşru menfaatleri” tanımamasıdır veri sorumlusunun kişisel verileri işlemesi için bir dayanak olarak; bu, GDPR'nin esnekliğinden bir sapmadır. BAE'nin federal yasası “veri sorumlusunun meşru menfaatlerine dayalı işlemeye izin vermemektedir”, bunun yerine rızayı veya diğer belirli gerekçeleri (kamu yararı, sözleşme gerekliliği vb.) vurgulamaktadır. Umman ve Ürdün yasaları da benzer şekilde meşru menfaati yasal bir dayanak olarak dışlamaktadır. Bu, şirketlerin GDPR'de olduğu gibi ticari menfaatler ile kullanıcı gizliliği arasında bir dengeleme testine güvenemeyeceği anlamına gelir; bu ülkelerde, GDPR kapsamında meşru menfaate dayanabileceğiniz birçok durumda rıza alınması gerekebilir. Buna karşılık, Bahreyn yasası meşru menfaati içermektedir ve Suudi Arabistan da son değişiklikleriyle bunu (hassas verilere ilişkin kısıtlamalarla birlikte) eklemiştir. Pratik sonuç: İşletmeler, belirli MENA ülkelerinde yasal dayanaklarını gözden geçirmek ve GDPR'a kıyasla daha sık rıza almak durumunda kalabilirler.
• Veri Aktarımı Kısıtlamaları ve Yerelleştirme Eğilimleri: Veri aktarım kuralları ülkeden ülkeye farklılık gösterir (AB Standart Sözleşme Maddelerinin her yerde geçerli olduğunu varsaymayın):GDPR yeterlilik kararına, Standart Sözleşme Maddelerine (SCC)ve Bağlayıcı Şirket Kurallarına (BCR)dayanır. MENA bölgesinde ise mekanizmalar yargı yetkisine özeldir. Suudi Arabistan (KSA) sözleşme maddeleri/BCR gibi güvenceleri ve bazı durumlarda aktarım risk değerlendirmesiniaçıkça tanımaktadır. BAE (anakara) yeterlilik listeleri ve sınırlı istisnalar öngörmektedir; ayrıntılı araçlar ise tam kapsamlı Uygulama Yönetmeliklerini beklemektedir. Ürdün aktarımlara esasen yeterli görülen destinasyonlara veya dar kapsamlı istisnalar dahilinde izin vermektedir. Mısır genellikle düzenleyici kurum izni/lisansı gerektirmektedir. Uygulamada, ülke bazlı aktarım değerlendirmeleri planlamalı ve gerektiğinde verileri bölgesel olarak barındırmaya veya yönlendirmeye hazır olmalısınız.
• Kayıt ve Lisanslama Gereklilikleri: GDPR'ın "genel kayıt zorunluluğu olmaması" ilkesinin aksine, bazı MENA rejimleri resmi prosedürleri korumaktadır. Mısır bir lisans/izin modeli (e-pazarlama dahil) uygulamaktadır. Lübnan Bakanlığa ön bildirimde bulunulmasını (muafiyetler saklı kalmak kaydıyla) şart koşmaktadır. İsrail ise daraltıldı 13. Değişiklik kapsamında veritabanı kaydı, ancak büyük/hassas veritabanları hala eşikleri tetiklemektedir. Bahreyn belirli durumlarda kayıt ve ücret yükümlülüğü getirmektedir. Suudi Arabistan veri sorumlusu kaydı gerektirebilir. SDAIA portalı üzerinden yapılan bu idari işlemlerin ihmal edilmesi başlı başına bir ihlal teşkil edebilir; veri işlemeye başlamadan önce bu süreçleri tamamlamak için zaman ayırın. Eylem maddesi: Şirketler, ilgili yargı bölgelerinde veri işlemeye başlamadan önce yerel kayıt, izin veya ücret gerekliliklerini yerine getirmek için zaman ayırmalıdır.
• Hükümet ve Sektörel Muafiyetler: Orta Doğu yasaları genellikle kamu otoriteleri veya belirli sektörler için geniş muafiyetleriçermekte olup, bu durum yerel hukuki öncelikleri yansıtmaktadır. GDPR hem özel hem de kamu sektörünü kapsarken (bazı üye devlet istisnaları ile birlikte), örneğin BAE Kişisel Verilerin Korunması Kanunu (PDPL) açıkça hükümet verileri veya kamu kurumları için geçerli değildir; ayrıca diğer özel federal yasalarla (sağlık ve bankacılık verileri gibi) halihazırda düzenlenen veriler için de uygulanmaz. Umman yasası; ulusal güvenlik, kamu yararı ve güvenlik birimleri tarafından veya diğer yasalara uygun olarak işlenen verileri muaf tutmaktadır. Bu muafiyetler, bazı ülkelerde bireylerin hükümet veritabanlarına karşı veri koruma yasası kapsamında hiçbir başvuru hakkının bulunmadığıanlamına gelmekte olup, kamu ihaleleriyle ilgilenen şirketler için farklı kurallar geçerli olabilir. Uygulamada bu durum özel şirketlerin yapması gerekenleri doğrudan etkilemese de, kamu kurumlarının genellikle işletmelerle benzer gizlilik yükümlülüklerine tabi olduğu AB ile kıyaslandığında dengesiz bir rekabet ortamına işaret etmektedir.
• Uygulama Kapsamı (Elektronik vs. Tüm Veriler): Bazı bölgesel yasalar, GDPR'ye kıyasla daha dar bir veri kapsamına sahiptir. GDPR, otomatik yollarla veya yapılandırılmış manuel dosyalama sistemlerinde işlenen kişisel veriler için geçerlidir. Mısır ve Umman yasalarının kapsamını elektronik işleme ile sınırlandırmaktadır. Dijital ortama aktarılmamış kağıt kayıtlar bu yasaların kapsamı dışında kalabilir. Bu durum, müşteri kayıtlarının eski usul kağıt üzerinde tutulmasının Mısır'ın Kişisel Verilerin Korunması Kanunu (PDPL) gerekliliklerini tetiklemeyebileceği anlamına gelebilir (yine de gizlilikle ilgili diğer genel yasalar geçerli olabilir). İşletmeler verinin saklandığı ortama dikkat etmelidir; örneğin Mısır veya Umman'da önemli miktarda manuel kaydınız varsa, veri koruma yasası bunları erişim yanıtlarına veya koruma önlemlerine dahil etmenizi zorunlu kılmayabilir (yine de tüm kişisel verileri korumak kesinlikle iyi bir uygulamadır). Ancak dijital dönüşüm her yerde olduğu için bu boşluk zamanla daralmaktadır.
• Veri İhlali Bildirim Eşikleri: İhlal bildirimi birçok yasada ortak olsa da, tetikleyici koşullar ve süreler farklılık göstermektedir. GDPR, risk temelli bir tetikleyici ("hak ve özgürlükler için bir risk oluşturma olasılığı") ve yetkililer için 72 saatlik bir süre kullanır. Ürdün "ciddi zarara" yol açan her türlü ihlalden tüm etkilenen veri sahiplerinin 24 saat içinde haberdar edilmesini – oldukça katı bir süre – ve ayrıca düzenleyici kuruma 72 saat içinde bilgi verilmesini şart koşmaktadır. İsrail geçmişte ihlal bildirimlerini zorunlu tutmuyordu, ancak 13. Değişiklik düzenleyici kuruma emir verme yetkisi tanıdı ve bireylerin bilgilendirilmesine ilişkin yeni rehberler görebiliriz. Bahreyn ihlallerin yetkililere bildirilmesini zorunlu tutar, ancak talimat verilmedikçe bireylere bildirilmesi şart değildir. Suudi Arabistan şu şekilde ayrışır: önemli ihlallerde 72 saat içinde düzenleyici kuruma bildirimde bulunulması ve ihlalin zarar teşkil etmesi durumunda bireylerin gecikmeksizin bilgilendirilmesi gerekir. BAE’nin yasası, yönetmelikler netleştiğinde muhtemelen 72 saatlik standardı yansıtacaktır. Temel fark, bazı MENA ülkelerindeki şirketlerin etkilenen kullanıcıları daha kolay veya daha düşük eşiklerde bilgilendirmesinin gerekebilmesi veya tam tersine, bazı yasaların bireyleri bilgilendirmeyi açıkça zorunlu kılmamasıdır (bunu düzenleyici kurumun kararına bırakır). Her ülkedeki kesin kuralları bilmek, olay müdahale planları için hayati önem taşır.
• Cezalar ve Uygulama Yaklaşımı: Para cezalarının miktarı bir yana, uygulamanın doğası farklılık gösterebilir. Avrupa'daki GDPR uygulaması idari niteliktedir; veri koruma otoriteleri soruşturma yürütür ve para cezaları veya yaptırım kararları verir. Bazı Orta Doğu yargı bölgelerinde ise ceza hukuku unsuru daha güçlüdür. Örneğin, Suudi Arabistan veya Mısır yasalarının belirli hükümlerinin (özellikle hassas veriler veya hukuka aykırı ifşa ile ilgili) ihlal edilmesi, hapis cezası potansiyeliyle birlikte cezai kovuşturmaya yol açabilir. Bu durum şirket yöneticileri için göz korkutucu olabilir (uç durumlarda yerel yöneticiler yasa önünde sorumlu tutulabilir). Öte yandan, özel hukuk davaları , İsrail (artık yasal tazminat içeren hukuk davalarına izin veriyor) ve muhtemelen Lübnan (bireylerin ihlaller için mahkemeye gidebildiği) dışında MENA bölgesinde veri koruma hukuku kapsamında nadirdir. Uygulama organları da farklılık gösterir: birçoğu yeni kurulmuş ajanslar veya bakanlık bünyesindeki birimlerdir; bunlar (en azından başlangıçta) Avrupa'daki veri koruma otoritelerinin kaynaklarına veya bağımsızlığına sahip olmayabilir. Bu durum, uygulamanın daha çok şikayet odaklı veya temkinliolabileceği anlamına gelebilir. Ayrıca, bazı Körfez ülkeleri (BAE gibi), çerçeveleri hız kazanırken henüz herhangi bir para cezasını kamuoyuna açıklamamıştır. Uygulamada bu fark, şirketlerin şu durumla karşılaşabileceği anlamına gelir: geçiş süreci veya tavsiye odaklı yaklaşım düzenleyicilerden ilk etapta gelebilir; ancak yaptırım uygulanmıyor olmasına güvenmek risklidir, çünkü yasalar yürürlüktedir ve her an ceza kesilebilir.
• Yerel Dil ve Kültürel Hususlar: GDPR, veri sahiplerine sağlanan bilgilerin kısa, şeffaf ve anlaşılır bir biçimde – genellikle kişinin kendi dilinde – sunulmasını şart koşar. Orta Doğu'da, gizlilik bildirimlerinin ve rıza formlarının Arapça (veya diğer yerel dillerde) sunulması gerekliliklerinibekleyebilirsiniz. Örneğin, Suudi Arabistan'ın PDPL uygulama yönetmelikleri, bildirimlerin Arapça olması gerektiğini belirtir (gerçi netlik sağlamak adına İngilizce/Arapça iki dilli kullanım yaygındır). Katar veya BAE gibi ülkelerde, iş dünyasında İngilizce yaygın olarak kullanılsa da, tüketicilerle işlem yaparken gizlilik politikalarının Arapça çevirisi yasal olarak zorunlu olabilir veya şiddetle tavsiye edilir. Ayrıca, neyin "hassas" veri sayıldığı kültürel farklılıklar gösterebilir; örneğin, İsrail'in yeni yasası belirli finansal bilgileri ve cinsel yönelimi "özellikle hassas" olarak tanımlarken, bazı Arap yasaları bireyin ailesi veya kabilesi hakkındaki bilgileri hassas kabul eder. Uygulamadaki fark: Şirketler, uyumluluk materyallerini (hem dil hem de içerik açısından) her ülkenin beklentileri ve sosyal normlarıyla uyumlu hale getirmek için yerelleştirmelidir. Örneğin, Körfez bölgesindeki bir bireyden rıza alırken farklı bir ifade biçimi gerekebilir (ve bildirimlerde yerel kimlik numaralarının veya ulusal tanımlayıcıların belirtilmesi gerekebilir, çünkü bunlar genellikle düzenlemeye tabidir).

Özetle, GDPR bir şablon oluşturmuş olsa da, "kopyala-yapıştır" uyumluluğu bu farklılıklar nedeniyle Orta Doğu'da başarısız olacaktır. İşletmeler, ek düzenleyici onay katmanlarını (kayıtlar, lisanslar) yönetmeli, bazı durumlarda daha katı rıza kurallarına uyum sağlamalı, sınır ötesi veri akışlarını dikkatle ele almalı ve her yargı bölgesindeki benzersiz yükümlülükleri takip etmelidir. Şimdi, bunun kuruluşlar için pratikte ne anlama geldiğine ve bu yükümlülüklerin nasıl verimli bir şekilde yönetileceğine geçiyoruz.

İşletmeler İçin Pratik Çıkarımlar ve Uyumluluk Eylem Noktaları

2025 yılında MENA bölgesinde faaliyet göstermek veya büyümek, veri gizliliğini iş planınıza ilk günden dahil etmek anlamına gelir. İşte şirketlerin ve Veri Koruma Görevlilerinin (DPO) Orta Doğu veri koruma yasalarına uyumu sağlamaları için pratik adımlar ve eylem noktaları:

1. Coğrafi Olarak Uygulanabilir Yasaları Haritalandırın: Bir veri haritalama ve yasal değerlendirmeile başlayın. Hangi ülkelerin kişisel verilerini işlediğinizi belirleyin – örneğin, BAE'de kullanıcılarınız mı var? Suudi Arabistan'da çalışanlarınız mı var? Mısır'da hizmet sağlayıcılarınız mı var? – ve bu veri setleri için hangi ulusal yasaların geçerli olduğunu saptayın. Bu yasaların birçoğunun sınır ötesi etkiye sahip olduğunu unutmayın; bu nedenle yerel ofisi olmayan yabancı bir şirket bile yerel sakinlerin verilerini işliyorsa uyum sağlamak zorundadır. İlgili her yargı bölgesi için bir yükümlülük kontrol listesi oluşturun. Bu kulağa zahmetli gelebilir, ancak genellikle en katı yasa (örneğin GDPR veya en yakın eşdeğeri) bir temel oluşturabilir ve gerektiğinde yerel eklemelerle desteklenebilir.
2. Gizlilik Bildirimlerini ve Rıza Mekanizmalarını Yerelleştirin: Gizlilik politikanızın, web sitesi/uygulama bildirimlerinizin ve rıza formlarınızın her ülkenin gerekliliklerini karşıladığından emin olun. Bu şu anlama gelir:
   • Açık, kapsamlı ve gizlilik bildirimleri gerekli tüm bilgileri (örneğin işleme amaçları, hangi verilerin toplandığı, kimlerle paylaşıldığı, veri sahibi hakları, size veya temsilcinize nasıl ulaşılacağı vb.) kapsayan. Birçok yasa, GDPR'nin 13-14. maddelerine benzer şekilde kesin açıklama noktaları belirtir. Bu bildirimleri gerektiğinde her ülke için uyarlayın ve hedef kitleniz tarafından kolayca anlaşılabilmeleri için resmi dile (Arapça, İbranice vb. veya iki dilli formatta) çevirin.
   • Şunları gözden geçirin: açık rıza formları (pazarlama, hassas veriler vb. için) açık ve net olduklarından emin olun. Örneğin, Umman ve İsrail artık çoğu durumda kişisel verilerin işlenmesi için açık yazılı rıza alınmasını zorunlu kılmaktadır. Farklı amaçlar için ayrıntılı rıza onay kutucukları uygulamanız (toplu rıza almaktan kaçınmanız) ve kanıt olarak alınan rızaların kayıtlarını tutmanız gerekebilir.
   • Başka bir yasal dayanağa (izin verilen durumlarda "sözleşmenin ifası" veya "meşru menfaat" gibi) güveniyorsanız, gerekçenizi belgeleyin. Ancak dikkatli olun: meşru menfaatin tanınmadığı ülkelerde (BAE, Umman, Ürdün), büyük olasılıkla rıza almanız veya başka bir istisnanın (örneğin yasal bir yükümlülük için gerekli olması) uygulanıp uygulanamayacağına bakmanız gerekir.
3. Veri Koruma Görevlisi veya Temsilcisi Atayın: Bir gizlilik uyum sorumlusubelirleyin. Faaliyetleriniz Suudi Arabistan, BAE, Mısır, Ürdün, İsrail gibi yargı bölgelerinde büyük ölçekli veya hassas veri işlemeyi içeriyorsa, yasal olarak bir Veri Koruma Görevlisi (DPO) atamanız gerekebilir. Zorunlu olmasa bile, bir DPO'ya (veya en azından bir gizlilik liderine) sahip olmak son derece faydalıdır. Bu kişi (veya ekip) şunları yapmalıdır:
   • Her ülkedeki mevzuat gelişmelerini takip etmek.
   • Veri işleme kayıtlarınızı tutmak ve yerel gerekliliklerin (örneğin Lübnan veya İsrail'de veri işleme kaydı) yerine getirilmesini sağlamak.
   • Haklarını kullanan veri sahipleri için iletişim noktası olmak ve veri koruma otoriteleriyle iletişimi yürütmek.
   • Veri koruma konusunda çalışan eğitimlerini koordine etmek – tüm bölgesel ofislerde kurum içi bir gizlilik uyum kültürü oluşturmak.
   • Yerel varlığı olmayan yabancı bir şirketseniz, bazı yasalar (Suudi Arabistan ve gelecekteki BAE düzenlemeleri gibi) bir yerel temsilci düzenleyici kurumla iletişim kurmak için. Bunun sizin için geçerli olup olmadığını kontrol edin ve gerekirse bir temsilci atayın.
4. Gerekli İzinleri Alın veya Kayıt Yaptırın: Belirtildiği üzere, bazı ülkeler kayıt veya lisans gerektirmektedir. Bu bürokratik süreçlere uyum sağlamak için zaman ayırdığınızdanemin olun:
   • Mısır'da, Kişisel Verileri Koruma Merkezi'ne lisans başvurusu hazırlayın (mali ve teknik yeterliliklerinizi kanıtlamanız gerekir). Onay süreci 90 günü bulabileceğinden planlamanızı buna göre yapın.
   • Lübnan'da, açık bir muafiyetiniz (yalnızca veri sahiplerinin önceden rızasıyla işleme yapmak gibi, bu durum bildirim zorunluluğunu ortadan kaldırır) yoksa, Ekonomi ve Ticaret Bakanlığı'na beyanname verin.
   • Bahreyn'de, gerekliyse PDPL Kurumu'na bildirimde bulunduğunuzdan ve gerekli ücretleri ödediğinizden emin olun.
   • Suudi Arabistan'da, kuruluşunuzu kaydettirmek (ve ihlal bildirimlerini etkinleştirmek) için geçerliyse SDAIA platformunu kullanın.
   • İsrail'de, 13. Değişiklik sizi etkiliyorsa, veritabanlarınızın zorunlu kayıt eşiklerini (örneğin, hassas veriye sahip 100 binden fazla veri sahibi) aşıp aşmadığını belirleyin ve gerekiyorsa bildirimde bulunun.
   • Lisansların, izinlerin veya kayıt belgelerinin kopyalarını saklayın; düzenleyici kurumlar kanıt isteyebilir ve bu, uyumluluk sürecinizin bir parçasıdır.
5. Veri Sahibi Hakları Süreçlerini Uygulayın: Tüm bu yasalar kapsamında bireylerin taleplerini karşılamak için sağlam bir prosedüre ihtiyacınız olacak. Aşağıdakiler için standart bir süreç (ve mümkünse çevrimiçi bir portal) geliştirin:
   • Talepleri alma (veriye erişim, düzeltme, silme, işlemeye itiraz, veri taşınabilirliği vb.). Örneğin, Dubai'deki bir kullanıcı "Hakkımda hangi verilere sahipsiniz?" diye sorarsa veya Riyad'daki bir müşteri "Hesabımı ve kişisel bilgilerimi silin" derse, ekibiniz yasal süre içinde yanıt vermeye hazır olmalıdır. GDPR bir aylık süre öngörür; bazı MENA yasalarında benzer veya açık bir süre belirtilmemiş olabilir, ancak şikayetleri önlemek için hızlı hareket etmek her zaman daha iyidir.
   • Dolandırıcılığı önlemek için talep sahibinin kimliğini doğrulama.
   • İlgili yasal nüansları kontrol etme: Örneğin Ürdün'de, bir istisna geçerliyse verilerin silinmesi talebi reddedilebilir, ancak yasa "belirli koşullara bağlı olarak" silme hakkı tanır. İsrail'de ise yeni hukuk davası hükümleriyle birlikte, geçerli bir erişim talebini yerine getirmemek davaya yol açabilir. Personelinizi bu incelikler konusunda eğitin.
   • Tüm taleplerin ve nasıl ele alındıklarının kaydını tutun; bir düzenleyici kurumun sorgulaması veya denetim yapılması durumunda dokümantasyon kilit öneme sahiptir.
6. Veri İşleme ve Saklama Uygulamalarını Gözden Geçirin (Veri Minimizasyonu ve Yerelleştirme): Yalnızca gerçekten ihtiyaç duyduğunuz verileri toplamanız gerektiği vurgusundan hareketle, bir veri minimizasyonu incelemesigerçekleştirin. Örneğin Ürdün yasaları minimizasyondan açıkça bahsetmese de, dünya genelindeki düzenleyici kurumlar bunu beklemektedir. İhtiyacınız olmayan verileri silin, mümkün olan yerlerde anonimleştirin ve yerel yasalara uygun saklama süreleri belirleyin (bazı ülkeler belirli saklama sınırları getirebilir veya verilerin tutulması için gerekçe sunmanızı isteyebilir). Ayrıca, kişisel verileri nerede sakladığınızı değerlendirin:
   • Tüm kullanıcı verilerini Avrupa veya ABD gibi yerlerdeki sunucularda merkezileştiriyorsanız, bunun her bir MENA ülkesinin veri aktarım kuralları kapsamında izin verilen bir durum olduğunu teyit edin. Değilse, bölgesel veri merkezleri kurmayı veya Orta Doğu'da veri merkezleri bulunan bulut sağlayıcılarını kullanmayı düşünün (şu anda BAE, Suudi Arabistan, Bahreyn gibi ülkelerde bu tür merkezler mevcuttur). Bu, daha katı aktarım rejimlerine uyumu kolaylaştırabilir.
   • Bir ülkeden gelen verilerin, başka bir ülkenin yasalarını ihlal edecek şekilde yanlışlıkla saklanmadığından veya erişilmediğinden emin olun. Örneğin, Mısır'daki destek ekibiniz Suudi Arabistanlı müşterilerin verilerine erişebiliyorsa, bunun Suudi Arabistan'ın aktarım kuralları kapsamında izin verilen bir durum olduğunu doğrulamanız gerekir (bu durum, güvence gerektiren grup içi aktarım kapsamında değerlendirilebilir).
7. Tedarikçiler ve İş Ortaklarıyla Sözleşmeleri Uyarlayın: veri işleme sözleşmelerinizi ve tedarikçi sözleşmelerinizi yerel gereklilikleri yansıtacak şekilde güncelleyin. GDPR odaklı veri işleme sözleşmelerinde AB kavramları (Standart Sözleşme Maddeleri vb.) yer alıyorsa, Orta Doğu yasalarına yönelik maddeleri de dahil edin:
   • İşleyicinin yerel uyum süreçlerine yardımcı olma yükümlülüklerini ekleyin (örneğin, bir bulut sağlayıcısı kullanıyorsanız, uyumlu kalmanız için gerekliyse, verileri size bildirmeden ülke dışına çıkarmayacaklarını taahhüt etmelidirler).
   • Mısır veya Suudi Arabistan gibi veri aktarımı için düzenleyici kurum onayı gerekebilecek ülkelerde faaliyet gösteriyorsanız, yasal koşulların değişmesi durumunda hizmetleri sonlandırma veya değiştirme hakkını sözleşmeye ekleyin (böylece yasa dışı bir işleme düzenine bağlı kalmazsınız).
   • Sözleşmelerdeki ihlal bildirim yükümlülüklerini netleştirin: tedarikçileriniz, yetkili makamlara karşı 24 veya 72 saatlik bildirim sürelerine uyabilmeniz için herhangi bir olayı size derhal bildirmeyi kabul etmelidir.
   • Pazarlama ve veri paylaşımı sözleşmelerini kontrol edin da geçerlidir; örneğin Bahreyn ve BAE'de pazarlama amacıyla veri paylaşımı rıza gerektirir, bu nedenle iş ortaklarınızla (analitik, reklam vb. için) paylaştığınız tüm verilerin uygun rıza ve sözleşme şartları kapsamında olduğundan emin olun.
8. Veri İhlalleri ve Güvenlik Olaylarına Hazırlıklı Olun: Bir ihlal gerçekleşirse, MENA bölgesinde muhtemelen hızlı hareket etmeniz gerekecektir. Aşağıdakileri kapsayan bir ihlal müdahale planı oluşturun:
   • Bir ihlalin ciddiyetinin nasıl değerlendirileceği ve bildirim gerektirip gerektirmediği. Ürdün'de ciddi ihlaller için bireyleri bilgilendirmeye yönelik katı 24 saatlik kural ve birçok yargı bölgesinde 72 saatlik düzenleyici bildirim süresi göz önüne alındığında, hız çok önemlidir. Bir olay müdahale ekibiniz hazır olsun ve olayları değerlendirmeye yardımcı olması için her kilit ülkedeki hukuk danışmanlarınızın iletişim bilgileri elinizin altında bulunsun.
   • Kullanıcılara veya düzenleyici kurumlara hızlı bir şekilde bildirim gönderebilmek için önceden taslak bildirim mektupları (örneğin İngilizce ve Arapça olarak) hazırlayın. Bildirim, yasal olarak gerekli tüm bilgileri (ihlalin niteliği, ilgili veriler, alınan önlemler, bilgi için iletişim noktası vb.) içermelidir.
   • İletişim kanallarını bildiğinizden emin olun: Örneğin, Suudi Arabistan'daki SDAIA'nın ihlal raporları için çevrimiçi bir portalı vardır; giriş bilgilerinizi hazır bulundurun; BAE Veri Ofisi de (faaliyete geçtiğinde) muhtemelen benzer bir mekanizmaya sahip olacaktır. Diğer yerlerde bu bir e-posta veya manuel bir mektup olabilir. Bunu önceden bilmek değerli zaman kazandırır.
   • Bir tatbikat yapın. Bu hem bir güvenlik hem de uyumluluk önlemidir; düzenleyici kurumlar veri güvenliğini ciddiye aldığınızı takdir edecektir. Ayrıca, birçok yasaya göre (İsrail'in güncellenmiş yasası gibi), düzenleyici kurumlar bir ihlal olmasa bile yetersiz güvenlik kontrolleri nedeniyle yaptırım uygulayabilir.
9. Bilgi Sahibi ve Esnek Kalın: MENA bölgesinde veri koruma sürekli değişen bir alandır. Yeni düzenlemeleri ve rehberleri yakından takip edin. Örneğin, Umman'ın yürütme yönetmelikleri (yayımlandığında) rıza veya Veri Koruma Görevlisi (DPO) görevlerine ilişkin ayrıntılar ekleyebilir. BAE Veri Ofisi, uyuyan hükümleri harekete geçirecek Yürütme Yönetmeliklerini her an yayımlayabilir. Suudi Arabistan'daki SDAIA düzenli olarak rehberler veya Soru-Cevap açıklamaları yayımlamaktadır. İsrail, değiştirilen yasası kapsamında (yapay zeka veya otomatik kararların pratikte nasıl ele alınacağı gibi) daha fazla kural getirebilir. En son uyumluluk ipuçlarını almak için saygın hukuk firmalarından veya endüstri gruplarından (IAPP'nin MENA ağları vardır) güncellemelere abone olun. Ayrıca, bu bölgedeki düzenleyici kurumlar genellikle sektörle etkileşim halindedir; ihtiyaç duyarsanız onlardan açıklama istemekten çekinmeyin; bazıları uygulama yaklaşımlarını geliştirirken diyaloğa açıktır.
10. Uygulama Yeni Olsa Bile "Hesap Verebilirlik" Duruşunu Benimseyin: İnsan "bu yasalar yeni ve uygulama seyrek, neden şimdi yatırım yapayım?" diye düşünebilir. Ancak bu kısa vadeli bir bakış açısıdır. Düzenleyici kurumlar, ilk uygulamaların hafif olduğunu (örneğin, Körfez İşbirliği Konseyi ülkelerinde henüz büyük para cezaları yok) belirtmiş olsalar da, hazırlıklarını sürdürüyorlar ve uyumluluk bekliyorlar. Bir gizlilik olayı veya şikayeti, şirketinizi emsal vaka haline getirebilir; bu, hazırlıksız yakalanmak istemeyeceğiniz bir durumdur. Dahası, uyumluluğu göstermek bir iş avantajı olabilirKörfez'deki hükümetler sözleşme verirken genellikle yerel yasalara uyumu kontrol eder; kurumsal müşteriler veya yatırımcılar ise kişisel verileri nasıl yönettiğinize dair durum tespiti yapar. Bu süreci, rakiplerinizin önünde yer alarak güven inşa etmek için bir fırsat olarak kullanın. Gizlilik etki değerlendirmeleri, eğitim oturumları ve güvenlik denetimleri gibi her şeyi belgeleyin; böylece gün geldiğinde, uyum sağlamak için attığınız adımları düzenleyici kuruma kolayca gösterebilirsiniz (bu durum, kurumun yaptırım kararını veya ceza miktarını etkileyebilir).

Bu adımları izleyerek şirketler, düzenleyici risklerini büyük ölçüde azaltabilir ve hatta gizlilik uyumunu rekabetçi bir güce dönüştürebilirler. Evet, çok fazla detay içeriyor ancak bunların çoğu, GDPR uyumundan zaten sahip olabileceğiniz küresel iyi uygulamalarla örtüşüyor. Bu süreç genellikle her ülke için tekerleği yeniden icat etmekten ziyade, mevcut gizlilik programınızı MENA bağlamına uyacak şekilde düzenlemek ve genişletmekle ilgilidir.

Yaptırım Eğilimleri, Riskler ve Yerel Zorluklar

Yaptırımlar ve sahadaki gerçeklik üzerine son bir not: MENA bölgesinde yerel yaptırım uygulamaları henüz gelişme aşamasındadır; bu durum işletmeler için hem riskler hem de zorluklar barındırır. Bu ortamı anlamak, uyum çabalarınızı doğru şekilde ayarlamanıza yardımcı olabilir:

• Yaptırımlar artıyor ancak henüz dengesiz (Kasım 2025 itibarıyla):
  Körfez İşbirliği Konseyi (KİK) ülkelerinde kamuya açık, yerel (onshore) yaptırımlar şu ana kadar sınırlı kalmış olup, düzenleyiciler farkındalık ve altyapı (portallar, rehberlik) çalışmalarına öncelik vermiştir. Buna karşılık, DIFC/ADGM (BAE serbest bölgeleri) ve İsrail daha olgun bir denetim faaliyeti sergilemektedir. Prosedürel çerçeveler ve uygulama kuralları tam olarak oturduğunda, KİK yerel otoritelerinin soruşturmaları artırmasını bekleyin. Uyum planınızı şimdiden yapın; şu anki dikkat çekici ceza eksikliğine güvenmeyin.
• Düzenleyici Zorluklar: Birçok MENA düzenleyicisi (köklü İsrail PPA veya Dubai DIFC Komiserliği dışında) başlangıçta kaynak ve uzmanlık kısıtlamaları ile karşı karşıyadır. Yanıt vermekte yavaş olabilirler veya rehberlikleri net olmayabilir. Örneğin, belirtildiği üzere BAE Veri Ofisi 2024 itibarıyla henüz faaliyette değildi; bu da şirketlerin (ihlal bildirimi gibi) yükümlülükleri olduğu halde pratikte bildirim yapacak bir merci bulamadıkları anlamına geliyordu. Bu durum sinir bozucu olabilir ancak iyileşme kaydediliyor. Ürdün'de Veri Koruma Birimi bir bakanlığa bağlıdır, bu da bağımsızlık ve proaktiflik konusunda endişelere yol açmaktadır (sivil toplum tarafından dile getirilen bir eleştiri). Dolayısıyla yaptırımlar dengesiz olabilir; bazı sorunlar gözden kaçabilirken, diğerleri siyasi veya kamuoyu baskısı nedeniyle yüksek öncelik kazanabilir (örneğin, seçimlerde kişisel verilerin kötüye kullanılması veya kritik altyapıyı etkileyen siber güvenlik olayları hızlı müdahaleyi tetikleyebilir).
• İş Kültürü ve Farkındalık: Bir diğer zorluk ise yerel işletmelerin, özellikle küçük olanların, bu yeni yasalardan tam olarak haberdar olmayabilmesi veya diğer ekonomik zorluklar arasında bunlara öncelik vermemeleridir. Bu, yabancı bir şirket veya uyum sağlamaya çalışan bölgesel bir lider iseniz, bazı ortaklarınızın veya rakiplerinizin aynı şeyi yapmadığını görebileceğiniz anlamına gelir. Kısa vadede kestirmeden gitme baskısı olabilir ("XYZ yerel firması bu evrak işleriyle uğraşmıyor, biz neden uğraşalım?"). Ancak düzenleyiciler, bilgisizliğin bir savunma olmadığını belirtmiştir. Yasalar olgunlaştıkça yaptırımların daha dengeli hale gelmesini bekleyin. Erken uyum aslında bir satış noktası olabilir; örneğin, bazı çok uluslu müşteriler, tedarik zinciri riskini azalttığı için uyum gösteren ortakları tercih edebilir.
• Cezalar ve İtibar Riski: Bazı ülkelerdeki cezalar düşük görünebilse de (örneğin Ürdün veya Bahreyn'de ilk ihlaller için birkaç bin dolar), iki şeyi unutmayın: (1) cezalar tekrarlanan ihlaller için veya olay başına katlanabilir (bu nedenle binlerce kişiyi etkileyen bir veri ihlali, daha küçük ceza rejimlerinde bile teorik olarak milyonlarca dolara ulaşabilir) ve (2) itibar kaybı gizlilik ihlalleri nedeniyle ifşa edilmenin maliyeti oldukça yüksek olabilir. Gizliliğin çok konuşulduğu bir çağda, örneğin Suudi Arabistan veya BAE yasaları kapsamında halka açık bir şekilde cezalandırılan ilk şirket olmak, olumsuz bir basına yol açabilir. İsrail'in PPA'sı gibi düzenleyici kurumlar artık ihlalde bulunanların isimlerini 4 yıla kadar yayınlama yetkisine sahip; bu da esasen kamuoyu önünde utandırılmaları anlamına geliyor. MENA bölgesindeki müşteri ve iş ortakları gizlilik konusunda giderek daha bilinçli hale geliyor, bu nedenle yaşanacak bir güven kaybı, doğrudan cezalardan çok daha fazlasına, pazar payı kaybına bile neden olabilir.
• Yerel Boşluklar ve Gri Alanlar: Bu yasalarda belirsizlik yaratan bazı boşluklar hala mevcut. Örneğin, “yeterlilik” kararları nasıl alınacak? – BAE veya Suudi Arabistan yakında ülke listeleri yayınlayacak mı? Eğer yayınlamazlarsa, şirketler geçici çözümler üretmek zorunda kalacak. Düzenleyici kurumlar nasıl koordine olacak? – Birden fazla MENA ülkesindeki kullanıcıları etkileyen bir veri ihlali yaşanırsa, her ülkenin düzenleyici kurumuna ayrı ayrı bildirimde mi bulunulacak? (Büyük olasılıkla evet, çünkü GDPR'ın yetkili otorite mekanizması gibi tek bir merkezden yönetim sistemi bulunmuyor.) Diğer yasalarla çelişkiler ne olacak? – Örneğin, bazı ülkelerdeki gözetim ve ulusal güvenlik yasaları gizlilik yasalarının önüne geçebilir; veri koruma yasaları genellikle bu tür çıkarlara öncelik verir ancak şirketler arada kalmış hissedebilir (özellikle hükümetten veri talebi alan iletişim ve internet şirketleri). Ayrıca, kamu sektörüne yönelik yaptırımlar (bazı yasalarda muaf tutulmuştur) bu yasalar kapsamında gerçekleşmeyecek; bu durum, hükümetin veri kullanımı konusunda endişeli olan bireyleri hayal kırıklığına uğratabilir ve dolaylı olarak özel şirketler üzerindeki incelemelerin artmasına yol açabilir. Bu belirsizlikler, Veri Koruma Görevlilerinin (DPO) tetikte olması ve belki de temkinli davranması gerektiği anlamına geliyor.
• Gelecekteki Gelişmeler: Beklentimiz bölgesel uyum ve iyileştirmeleryönünde. Daha fazla Orta Doğu ülkesinin AB "yeterlilik" statüsü arayışında olduğuna dair söylemler var (İsrail zaten bu statüye sahip; Dubai'nin DIFC ve Abu Dabi'nin ADGM çerçeveleri GDPR ile oldukça uyumlu ve kendilerini uluslararası veri merkezleri olarak konumlandırıyorlar). Yeterlilik statüsüne ulaşmak, ülkeleri yaptırımları sıkılaştırmaya ve yasal boşlukları kapatmaya itebilir. Ayrıca, bu yasalar olgunlaştıkça yerel mahkemeler de sürece dahil olabilir (örneğin, bireylerin İsrail'in yeni hükümleri kapsamında dava açması veya bir kuruluşun düzenleyici kurumun kestiği cezaya mahkemede itiraz etmesi gibi). İçtihatlar, belirsiz noktaları netleştirecektir. Şimdilik kuruluşlar, pratik kılavuzların oluşturulmasına yardımcı olmak için profesyonel ağlarla ve mümkünse düzenleyici kurumların kendileriyle (örneğin sektör dernekleri veya kamu istişareleri aracılığıyla) aktif bir şekilde etkileşimde bulunmalıdır.

Özetle: 2025 yılında Orta Doğu'daki veri koruma ortamı, hem büyük fırsatlar hem de sorumluluklarbarındırıyor. Gizlilik uyumunu doğru şekilde sağlayan şirketler, pazara daha kolay giriş yapacak, yasal mayın tarlalarından kaçınacak ve hem kullanıcılar hem de yetkililer nezdinde güven inşa edecektir. Değişim dalgasını görmezden gelenler ise artan bir tehlikeyle karşı karşıyadır; çünkü yasalar yürürlüktedir ve yaptırım sesleri giderek yükselmektedir.

Sonuç

Orta Doğu'daki veri koruma ve gizlilik yasaları, 2025 yılında işletmeler için kritik bir uyumluluk alanı haline gelerek hızla gelişti. Körfez ülkelerinden Levant bölgesine kadar tüm ülkeler, kişisel verilerin tıpkı GDPR "altın standardı" altında olduğu gibi saygı görmesi ve korunması gerektiğinin sinyalini veriyor. Temel ilkeler evrensel olsa da, yerel yasalardaki farklılıklar şirketlerin ülkeye özgü bir yaklaşım benimsemelerini zorunlu kılıyor.

İster Dubai'de bir teknoloji girişimi kurucusu, ister Suudi pazarına göz diken bir fintech uyum sorumlusu, ister Mısırlı kullanıcı verilerini işleyen bir e-ticaret platformu veya çok uluslu bir şirketin Veri Koruma Görevlisi olun; bu nüansları anlamak artık MENA bölgesinde iş yapmanın bir parçası. Mesele sadece cezalardan kaçınmak değil, aynı zamanda büyümeyi desteklemektir. Şeffaf gizlilik uygulamaları ve kullanıcı verilerine gösterilen saygı, markanızın itibarını artırabilir ve (daha olgun kuruluşların durum tespiti kontrollerini karşılayacağınız için) ortaklıkları kolaylaştırabilir.

Genişleme planları yaparken veya mevcut operasyonlarınızı denetlerken, stratejinizi oluşturmak için bu rehberden yararlanın:

• Her pazardaki yasayı öğreninve tek bir çözümün herkese uyacağını varsaymayın.
• Tasarım gereği gizliliği ürün ve hizmetlerinize dahil edin; böylece uyumluluk önlemleri sonradan eklenen bir detay değil, sistemin entegre bir parçası olur.
• Ekiplerinizi eğitin ; müşteri verilerini toplayan ön hat çalışanları, uygulamalarınızı geliştiren yazılımcılar ve kampanyalar yürüten pazarlamacılar, "yapılması ve yapılmaması gerekenler" konusunda bilgi sahibi olmalıdır (örneğin, birden fazla yasa kapsamında yasa dışı olabilecek uygun izinler alınmadan toplu pazarlama e-postaları göndermemek gibi).
• Uzmanlardan veya yerel danışmanlardan destek alın ; lisans alma veya devlet veri taleplerini yasalara uygun şekilde yönetme gibi belirsiz gereklilikleri aşmak için gerektiğinde bu desteğe başvurun.

Orta Doğu'daki gidişat net: Veri koruma giderek daha önemli hale geliyor. GDPR Avrupa'daki iş uygulamalarını nasıl yeniden şekillendirdiyse, yeni MENA yasaları da bölgemizdeki uygulamaları yeniden şekillendiriyor. 2025 yılı bir dönüm noktası; birçok geçiş süreci sona eriyor ve düzenleyici kurumlar farkındalık kampanyalarından yaptırım aşamasına geçiyor. Şimdi harekete geçerek ve gizlilik uyumunu operasyonel risk yönetiminizin temel bir parçası olarak görerek, kuruluşunuzu sadece cezalardan kaçınacak şekilde değil, aynı zamanda uzun vadede müşterilerin, çalışanların ve düzenleyici kurumların güvenini kazanacak şekilde konumlandırırsınız.

Sonuç olarak, kişisel verileri korumak, insanları korumaktır ; yani müşterilerin güvenini, çalışanların haklarını ve şirketin kendi itibarını korumaktır. Orta Doğu hükümetleri beklentileri ortaya koydu. Bu zorluğun üstesinden gelmek, etkili veri koruma programları uygulamak ve böylece önümüzdeki yıllarda gizliliğe saygılı, dijital olarak gelişen bir MENA ekonomisinin yolunu açmak işletmelere ve profesyonellere düşüyor.

Kaynaklar:

• Clyde & Co – Orta Doğu'da Veri Koruma ve Gizlilik Görünümü clydeco.com
• Clyde & Co – Ürdün ilk kişisel verilerin korunması kanununu çıkardı clydeco.com
• DLA Piper – Suudi Arabistan'ın yeni Kişisel Verilerin Korunması Kanunu yürürlükte dlapiper.com
• Bird & Bird – BAE PDPL ve GDPR karşılaştırması twobirds.com
• Safetica – İsrail'in 13. Değişikliği açıklandı safetica.com
• Addleshaw Goddard – Umman Veri Koruma Kanunu 2022 addleshawgoddard.com
• DLA Piper – Lübnan'daki veri koruma kanunları dlapiperdataprotection.com
• Bahreyn İş Hukuku – Kişisel Verilerin Korunması Kanunu (Bahreyn) bahrainbusinesslaws.com
• Ve makale genelinde atıfta bulunulan diğer kaynaklar.

‍

İlgili rehberler ve pratik sonraki adımlar

• Suudi Arabistan PDPL (2025): Kapsamlı Bir İnceleme
• BAE Kişisel Verilerin Korunması Kanunu'nu (PDPL) Anlamak
• Mısır Kişisel Verilerin Korunması Kanunu
• Umman PDPL 2026: Gereklilikler ve Uyum Yol Haritası
• KVKK ve GDPR boşluk analizi