GDPR (Genel Veri Koruma Tüzüğü)

Diğer adları: Genel Veri Koruma Tüzüğü, General Data Protection Regulation, AB Veri Koruma Tüzüğü

Kısaca

Avrupa Birliği'nde 25 Mayıs 2018'den beri uygulanan ve AB'deki kişilere mal veya hizmet sunan ya da onların davranışlarını izleyen AB dışındaki şirketlere de uygulanan genel veri koruma düzenlemesi.

GDPR (General Data Protection Regulation), Avrupa Birliği’nde 25 Mayıs 2018’den beri uygulanan Genel Veri Koruma Tüzüğü’dür. KVKK’nın da esinlendiği Avrupa veri koruma geleneğinin bugünkü temel düzenlemesidir.

Türk Şirketlerine Ne Zaman Uygulanır?

GDPR yalnızca AB’de kurulu şirketlere uygulanmaz. AB dışındaki bir şirket de şu iki durumda GDPR’a tabidir:

AB’deki kişilere mal veya hizmet sunuyorsa (ücretli olup olmamasından bağımsız olarak),
AB’deki kişilerin AB içindeki davranışlarını izliyorsa; örneğin internet sitesi ziyaretçilerini profilleme veya davranışsal reklam amacıyla takip ediyorsa.

Avrupa’ya satış yapan bir e-ticaret sitesi, Avrupalı kullanıcılara hizmet veren bir yazılım şirketi veya AB’deki ziyaretçilerini izleyen bir uygulama bu kapsama girebilir. AB’de kuruluşu olmayan ancak GDPR’a tabi olan şirketler, kural olarak AB’de bir temsilci atamak zorundadır.

Yaptırımlar

GDPR’a aykırılığın yaptırımı, 20 milyon avroya veya bir önceki mali yıldaki küresel yıllık cironun yüzde dördüne kadar (hangisi yüksekse) çıkabilen idari para cezalarıdır. Cezalar, ilgili AB ülkesinin denetim otoritesi tarafından verilir.

KVKK ile Temel Farklar

Hukuki sebepler: GDPR’da açık rıza ile diğer hukuki sebepler arasındaki ilişki ve meşru menfaatin kullanımı farklı düzenlenmiştir.
İtiraz hakkı: GDPR meşru menfaate dayanan işlemeye karşı genel bir itiraz hakkı tanır; KVKK’da böyle genel bir hak yoktur.
Veri koruma görevlisi: GDPR belirli durumlarda veri koruma görevlisi atanmasını zorunlu tutar; KVKK’da böyle bir zorunluluk yoktur.
İhlal bildirimi: Her iki düzenlemede de süre 72 saattir; ancak GDPR düşük riskli ihlaller için bildirim istisnası tanır.
Kayıt yükümlülüğü: KVKK’da VERBİS kaydı vardır; GDPR’da merkezi bir sicil yerine şirket içinde veri işleme faaliyetleri kaydı tutulur.
Profilleme: GDPR yalnızca otomatik kararlara ilişkin daha katı bir rejim öngörür.

AB’den Türkiye’ye Veri Aktarımı

Avrupa Komisyonu’nun Türkiye hakkında bir yeterlilik kararı bulunmadığından, AB’deki bir müşteri veya grup şirketi Türkiye’ye veri gönderirken genellikle Avrupa Komisyonu’nun standart sözleşme hükümlerine dayanır. Türkiye’den AB’ye yapılan aktarımlar için ise KVKK’nın kendi standart sözleşmesi kullanılır; iki sözleşme birbirinin yerine geçmez.

Sık Sorulan Sorular

KVKK'ya uyumluysak GDPR'a da uyumlu sayılır mıyız?

Hayır. İki düzenleme benzer ilkelere dayansa da hukuki sebepler, kayıt ve belgelendirme yükümlülükleri, ihlal bildirimi ve yurt dışına aktarım gibi konularda farklıdır. KVKK uyumu iyi bir başlangıç noktasıdır; GDPR için bunun üzerine bir boşluk analizi yapılması gerekir.

AB'de temsilci atamamız gerekir mi?

AB'de kuruluşu olmayan ancak GDPR'a tabi olan şirketler kural olarak Birlik'te bir temsilci atamak zorundadır. Arızi nitelikte, büyük ölçekte özel nitelikli veri içermeyen ve kişiler için risk oluşturmayan işlemeler için sınırlı bir istisna vardır.

← Tüm Kavramlar