GDPR (General Data Protection Regulation – Genel Veri Koruma Yönetmeliği)
GDPR nedir, açılımı ne demek ve Türkiye’deki GDPR yükümlülüklerini kaleme aldık. Gizlilik politikası oluşturucu aracımız bugün GDPR Genel Veri Koruma Yönetmeliği nedir anlatıyor. Bir sonraki makale olan Gizlilik politikası örneği inceleyerek, gerekli web sitesi ve uygulama sözleşmelerinizi hazırlayın. Dijitaldeki evraklarınızı eksiksiz tamamlayın. Artık günümüz teknolojisinde de metne dayalı evrak şart.
Dijitalleşen dünyada kişisel verilerin güvenliği ve bireylerin mahremiyet hakkı, küresel düzeyde en önemli konulardan biri hâline gelmiştir. Avrupa Birliği’nin (AB) bu alandaki en kapsamlı düzenlemesi olan Genel Veri Koruma Yönetmeliği (GDPR), sadece Avrupa ülkeleri için değil, küresel çapta faaliyet gösteren tüm işletmeleri doğrudan etkileyen, çağımızın en önemli veri koruma düzenlemelerinden biridir. Bu yazıda, GDPR’ın ne olduğu, hangi şartları içerdiği, kimleri kapsadığı, yükümlülükleri ve uygulanabilirliğine dair tüm detayları en sade ve kurumsal dilde inceleyeceğiz.
GDPR Nedir?
GDPR (General Data Protection Regulation), 25 Mayıs 2018 tarihinde yürürlüğe giren ve Avrupa Birliği üye ülkelerinde geçerli olan kişisel verilerin korunmasına ilişkin kapsamlı bir yönetmeliktir. AB 2016/679 sayılı bu yönetmelik, bireylerin kişisel verileri üzerinde daha fazla kontrol sahibi olmasını amaçlamaktadır.
GDPR, yalnızca AB vatandaşlarının verilerini işleyen Avrupa merkezli şirketleri değil, dünyanın herhangi bir yerinde bulunan ve AB vatandaşlarına hizmet sunan tüm kurumları da kapsamaktadır. Bu yönüyle GDPR, veri gizliliği konusunda küresel bir standart hâline gelmiştir.
GDPR’ın Temel Amaçları
- Bireysel Hakları Güvence Altına Almak: Her bireyin kişisel verileri üzerindeki haklarını korumak.
- Veri İşleme Süreçlerinde Şeffaflık Sağlamak: Kişisel verilerin ne şekilde işlendiğini açık ve anlaşılır bir şekilde beyan etmek.
- Kurumsal Sorumlulukları Belirlemek: Veri sorumlularına ve işleyenlerine somut yükümlülükler yüklemek.
- Tek Bir Mevzuat ile Tüm AB Ülkelerinde Standartlaştırma: Önceden ülkelere göre farklılık gösteren veri koruma yasalarını tek bir çatı altında toplamak.
GDPR’ın Kapsamı
GDPR, veri sorumlusu ve veri işleyen olmak üzere iki temel aktör tanımlar:
- Veri Sorumlusu (Data Controller): Kişisel verilerin işlenme amaç ve yöntemlerini belirleyen kişi veya kuruluş.
- Veri İşleyen (Data Processor): Veri sorumlusunun talimatlarına göre verileri işleyen kişi veya kuruluş (örneğin bir dış kaynak hizmet sağlayıcısı).
Ayrıca, GDPR sadece AB içinde kurulu şirketleri değil, AB dışındaki şirketleri de kapsar; eğer bu şirketler AB’de yaşayan bireylerin verilerini topluyor, işliyor veya saklıyorsa bu yönetmelik onlar için de geçerlidir.
GDPR’a Göre Kişisel Veri Nedir?
Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi kapsar. Bu bilgiler şunları içerebilir:
- Ad, soyad
- Kimlik numarası
- IP adresi
- E-posta adresi
- Konum verileri
- Çerez verileri
- Genetik, biyometrik, sağlık bilgileri
- Sosyal, kültürel veya ekonomik kimlik bilgileri
GDPR ayrıca, “özel nitelikli kişisel veriler” olarak adlandırılan daha hassas veri türlerine (ırk, dini inanç, siyasi görüş, sağlık, cinsel yönelim vb.) yönelik çok daha sıkı kurallar getirir.
GDPR’ın Getirdiği Temel Haklar
GDPR kapsamında bireylere tanınan haklar şunlardır:
1. Erişim Hakkı (Right to Access)
Kişiler, hangi verilerin işlendiğini ve bu verilerin nasıl kullanıldığını öğrenme hakkına sahiptir.
2. Düzeltme Hakkı (Right to Rectification)
Yanlış, eksik ya da güncelliğini yitirmiş verilerin düzeltilmesini talep edebilirler.
3. Silinme Hakkı (Right to be Forgotten)
Belirli koşullarda kişisel verilerinin silinmesini talep edebilirler.
4. Veri Taşınabilirliği (Data Portability)
Kişisel verilerin başka bir veri sorumlusuna aktarılmasını isteyebilirler.
5. İşlemeye İtiraz Hakkı (Right to Object)
Verilerinin işlenmesine (özellikle pazarlama amaçlı) itiraz edebilirler.
6. Otomatik Karar Almaya Karşı Korunma
Tamamen otomatik sistemlerle alınan kararlar (örneğin kredi skorları) hakkında açıklama isteyebilirler ve insan müdahalesi talep edebilirler.
GDPR Uyum Süreci: Şirketler Ne Yapmalı?
GDPR’a uyumlu olmak isteyen şirketlerin yerine getirmesi gereken başlıca yükümlülükler:
1. Açık Rıza Almak
Kişisel verilerin işlenmesi için açık, özgür iradeye dayalı, bilgilendirilmiş ve net rıza alınmalıdır.
2. Veri İşleme Envanteri Hazırlamak
İşlenen tüm veri türlerinin, nereden alındığının, kimlerle paylaşıldığının ve ne kadar süreyle saklandığının detaylı şekilde belgelenmesi gerekir.
3. Veri Koruma Görevlisi (DPO) Atamak
Bazı kurumlar için zorunlu olan DPO, veri işleme faaliyetlerini izler ve yönetmeliklere uyumu sağlar.
4. Veri İhlali Bildirimi
Herhangi bir veri sızıntısı veya ihlali durumunda, 72 saat içinde ilgili denetleyici kuruma ve gerekirse ilgili kişilere bildirim yapılmalıdır.
5. Kişisel Veri Etki Analizi
Özellikle yüksek riskli veri işleme faaliyetleri için önceden risk analizi yapılmalıdır (DPIA).
GDPR’a Uyulmamasının Cezaları
GDPR, veri koruma yasalarına uyulmaması durumunda oldukça ağır yaptırımlar getirmiştir. Cezalar şu şekilde olabilir:
- 1. Seviye Cezalar: Yıllık küresel cironun %2’sine kadar veya 10 milyon Euro’ya kadar.
- 2. Seviye Cezalar: Yıllık küresel cironun %4’üne kadar veya 20 milyon Euro’ya kadar.
Bu cezalar, yapılan ihlalin boyutuna, kasti olup olmadığına ve şirketin düzeltici adımlarına göre belirlenmektedir.
GDPR Türkiye’deki Şirketleri Nasıl Etkiler?
Türkiye, Avrupa Birliği üyesi olmamasına rağmen, AB ile dijital ortamda iş yapan ya da AB vatandaşlarının verilerini işleyen tüm Türk şirketleri de GDPR’a uymakla yükümlüdür. Bu, e-ticaret siteleri, SaaS hizmetleri, oteller, havayolu şirketleri ve veri analiz firmaları gibi pek çok sektörü kapsar.
Ayrıca Türkiye’de yürürlükte olan KVKK (Kişisel Verilerin Korunması Kanunu) ile GDPR arasında bazı benzerlikler ve farklar mevcuttur. Ancak GDPR, daha katı ve detaylı bir düzenlemedir.
GDPR ve Teknolojik Dönüşüm
GDPR, sadece yasal bir zorunluluk değil; aynı zamanda kurumsal itibar, kullanıcı güveni ve dijital etik açısından da şirketlere önemli avantajlar sunar. Müşteri verilerine saygı gösteren, şeffaf ve etik bir yaklaşım sergileyen şirketler, rekabet avantajı elde eder.
Bu kapsamda;
- Veri güvenliği yatırımları,
- Politika güncellemeleri,
- Personel eğitimleri
GDPR uyum sürecinin ayrılmaz parçalarıdır.
Sonuç: GDPR’a Uyum Bir Tercih Değil, Zorunluluktur
Küresel ölçekte dijitalleşmenin hız kazandığı bir dünyada, veri mahremiyeti yalnızca bireylerin hakkı değil, şirketlerin sürdürülebilirliği için bir zorunluluktur. GDPR, bu noktada sadece Avrupa için değil, tüm dünya için etik, şeffaf ve sorumlu veri yönetiminin temelini oluşturan bir çerçevedir.
GDPR’a uyum sağlamak, şirketinizin sadece yasal sorumluluklarını yerine getirmesini değil, aynı zamanda müşteri güveni inşa etmesini, marka değerini artırmasını ve global pazarda güvenle yer almasını sağlar.