KVKK + GDPR Uyum Kontrol Listesi

KONTROL LİSTESİ · 30 MADDE · 25 DK

KVKK + GDPR Uyum Kontrol Listesi

Türkiye ve AB veri koruma rejimlerine birlikte uyum için 30 maddelik kontrol listesi: kapsam ve uygulanabilirlik, hukuki dayanak ve aydınlatma, yurt dışına aktarım (Schrems II) ve operasyonel uyum. 2024 KVKK değişikliği, 72 saatlik ihlal bildirimi ve 30 günlük başvuru yanıt süresi esas alınmıştır.

Kontrol listesini açın

E-posta adresinizi girin ve Vircon Substack listesine katılarak bu kontrol listesine erişin. Girdikleriniz yalnızca kendi tarayıcınızda saklanır.

Vircon Substack listesine katılarak yeni içerik almayı kabul ediyorum.

0 / 30 Kaydedildi

BÖLÜM 1 8 MADDEKapsam ve Uygulanabilirlik BÖLÜM 2 8 MADDEHukuki Dayanak ve Aydınlatma BÖLÜM 3 8 MADDEYurt Dışına Aktarım BÖLÜM 4 6 MADDEOperasyonel Uyum

BÖLÜM 1 · 8 MADDE

Kapsam ve Uygulanabilirlik

Her bir rejimin hangi durumlarda uygulandığı. İki rejimin birlikte uygulanması kurucuların sandığından daha yaygındır: AB’de müşterisi olan bir Türk şirketi hem KVKK’ya hem GDPR’ye tabidir.

01KVKK ülkesel ve maddi kapsamıKVKK m.2 uyarınca Kanun, Türkiye’deki veri sahiplerini etkileyen ya da Türkiye’de yerleşik kuruluşlarca yapılan işlemelerde, veri sorumlusu ve veri işleyenin nerede kurulu olduğuna bakılmaksızın uygulanır.

02GDPR ülkesel kapsamı (Madde 3)GDPR, AB’de yerleşik veri sorumlusu ve veri işleyenlere; ayrıca AB dışında yerleşik olup (a) AB’deki veri sahiplerine mal veya hizmet sunan ya da (b) AB’deki veri sahiplerinin davranışlarını izleyen kuruluşlara uygulanır.

03İki rejimin birlikte uygulanması: AB’de müşterisi olan Türk şirketiAB’deki müşterilere SaaS satmak, AB’yi hedefleyen reklam kampanyaları yürütmek veya AB’deki iş adaylarının verilerini işlemek Türk şirketlerini GDPR kapsamına sokar. Bu durumda KVKK ve GDPR birlikte uygulanır.

04Çocuk verilerine ilişkin özel durumlarGDPR m.8 uyarınca bilgi toplumu hizmetlerinde 16 yaşından küçük çocuklar için ebeveyn rızası gerekir (üye devletler bu yaşı 13’e kadar indirebilir). KVKK belirli bir yaş eşiği öngörmez, ancak çocuk verilerini daha yüksek bir hassasiyetle ele alır.

05Özel nitelikli veri işleyip işlemediğinizSağlık, biyometrik ve genetik veriler, ırk, siyasi düşünce, dinî inanç, cinsel hayat ve sabıka kaydı. Bu veriler işlendiğinde KVKK m.6 (açık rıza veya sınırlı istisnalar) ve GDPR m.9 (10 istisna) devreye girer.

06Veri sorumlusu mu, veri işleyen mi?İşlemenin amaçlarını ve vasıtalarını kim belirliyor? Bu sınıflandırma; sözleşme yapısını (DPA), yükümlülüklerin paylaşımını ve ihlal bildirimi sorumluluğunu belirler.

07Müşterek veri sorumluluğuGDPR m.26 uyarınca müşterek veri sorumluları aralarındaki düzenlemenin özünü veri sahiplerinin erişimine sunmak zorundadır. KVKK’da bu konuda bir hüküm yoktur, ancak Kurul’un yaklaşımı müşterek veri sorumlularını müteselsilen sorumlu tutmaktır.

08Grup içi veri aktarımlarıGrup şirketleri arasındaki aktarımlar iki rejimde de istisna tutulmaz. Her aktarım için bir hukuki dayanak ve uygun güvenceler gerekir. Bu aktarımlar grup içi bir DPA veya bağlayıcı şirket kuralları (BCR) ile belgelenir.

BÖLÜM 2 · 8 MADDE

Hukuki Dayanak ve Aydınlatma

İşlemenin hukuka uygunluğu ve şeffaflık yükümlülükleri. Yaptırımların çoğu yanlış dayanak seçimi veya yetersiz aydınlatmadan kaynaklanır.

09Hukuki dayanak seçimi: KVKK m.5/6 ve GDPR m.6/9KVKK’da kişisel veriler için 7, özel nitelikli veriler için 8 işleme şartı (m.6/3, 2024 değişikliği sonrası) bulunur; GDPR’de bu sayılar 6 ve 10’dur. Bu eşleştirme önemlidir, çünkü KVKK’daki meşru menfaat şartına (m.5/2-f) dayanılarak yapılabilen bir işleme, GDPR m.6(1)(f) kapsamındaki dengeleme testini geçemeyebilir.

10Açık rızanın alınmasıRıza her amaç için ayrı ayrı, özgür iradeyle, bilgilendirilerek ve belirli bir konuya ilişkin olarak alınmalı ve geri alınabilmelidir. Önceden işaretlenmiş kutular iki rejimde de geçersizdir. Rızayı geri almak, rıza vermek kadar kolay olmalıdır.

11Sözleşmenin ifası için gereklilikİki rejim de sözleşmenin ifası için gerekli olan işlemeye izin verir; ancak gereklilik dar yorumlanır. Pazarlama, analitik ve profilleme faaliyetleri bu şartı nadiren karşılar.

12Meşru menfaat dengeleme testi (LIA)Üç aşamalı testi belgeleyin: (a) meşru menfaatin tespiti, (b) işlemenin bu menfaat için gerekli olması, (c) dengenin veri sorumlusu lehine olması. Değerlendirme ölçütlerini KVKK Kurul Kararı 2018/63 belirler.

13KVKK aydınlatma metni ve GDPR m.13/14 bildirimiİki rejim de veriler toplanmadan önce bilgilendirme yapılmasını ister. İçerikler örtüşür ama aynı değildir: GDPR ayrıca uluslararası aktarımlara ilişkin ayrıntıları, saklama süresini ve profillemenin mantığını da ister.

14Katmanlı aydınlatma metni tasarımıVeri toplanırken kısa bir bilgilendirme, bağlantı üzerinden de ayrıntılı metin sunulur. Bu yaklaşım hem kullanıcı etkileşimini hem uyumu iyileştirir. Hassas işlemlerde, işlem anında gösterilen (just-in-time) bildirimler kullanılır.

15Çocuk rızası ve ebeveyn doğrulamaGDPR m.8 ve ulusal yaş sınırları (AB’de varsayılan 16, Birleşik Krallık’ta 13, İtalya’da 14). Ebeveyn rızasının nasıl doğrulandığı belgelenir. KVKK belirli bir yaş öngörmez, ancak Kurul’un yaklaşımı dikkate alınır.

16DPIA: etki değerlendirmesi ne zaman zorunlu?KVKK genel bir etki değerlendirmesi zorunluluğu öngörmez, özel nitelikli verilerde Kurul’un 31.01.2018 tarihli ve 2018/10 sayılı Kararı’ndaki yeterli önlemler uygulanır; GDPR tarafında m.35 ve EDPB’nin 9 kriteri esas alınır. GDPR, yüksek riskli işlemelerden (biyometri, profilleme, büyük ölçekli özel nitelikli veri işleme) önce DPIA yapılmasını zorunlu tutar; aynı değerlendirmeyi KVKK için de yapmak iyi uygulamadır.

BÖLÜM 3 · 8 MADDE

Yurt Dışına Aktarım

Verinin Türkiye’den veya AB’den çıktığı noktalar. Schrems II kararı bu alanı baştan değiştirdi; artık kamu makamlarının verilere erişimi riski ön planda.

17KVKK m.9 kapsamında aktarım mekanizmaları (2024 değişikliği sonrası)Kurul’un yeterlilik kararı (Kurum’un aktarım sayfasına göre henüz hiçbir ülke için verilmedi), uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, Kurul izniyle yazılı taahhütname) ve arızi aktarımlar için dar istisnalar. 1 Eylül 2024’ten sonra açık rıza tek başına aktarım dayanağı değildir; yalnızca arızi aktarım istisnalarından biridir.

18KVKK standart sözleşmelerinin (SCC) uygulanmasıKurum, dört standart sözleşmeyi Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik’le (RG 10.07.2024, 32598) birlikte yayımladı: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene ve veri işleyenden veri sorumlusuna. İmzalanan sözleşme beş iş günü içinde Kurum’a bildirilir (m.9/5).

19GDPR Bölüm V kapsamında aktarım mekanizmalarıYeterlilik kararı, SCC, BCR, davranış kuralları, sertifikasyon ve m.49 istisnaları. Schrems II sonrasında her biri için aktarım etki değerlendirmesi (TIA) gerekir.

20Schrems II ve Aktarım Etki Değerlendirmesi (TIA)Aktarımdan önce yapılan değerlendirme: alıcı ülkenin gözetim mevzuatı, başvurulabilecek yargısal yollar ve ek önlemler (şifreleme, takma adlandırma, sözleşmesel güvenceler).

21ABD’ye aktarımlar (DPF, SCC, ek önlemler)2023’ten beri yürürlükte olan AB-ABD Veri Gizliliği Çerçevesi (DPF), çerçeveye katılan ABD şirketlerine yapılan aktarımlarda yeterlilik sağlar. DPF dışındaki aktarımlar için SCC, TIA ve ek teknik önlemler gerekir.

22Bulut ve SaaS sağlayıcılarında aktarım zincirinin çıkarılmasıAWS, Azure, GCP ve M365’te birden fazla alt veri işleyen katmanı bulunur. Aktarım zincirini baştan sona çıkarın. Sağlayıcının standart DPA’sı gerçek veri akışını kapsamayabilir.

23Sonraki aktarımlar ve kamu makamlarının erişimi riskiAktarılan veri, alıcı tarafından başka üçüncü ülkelere de aktarılabilir. Schrems II, hem ilk alıcı ülkenin hem de sonraki aktarımların yapıldığı ülkelerin değerlendirilmesini gerektirir. ABD’deki FISA 702 ve CLOUD Act riski ayrıca derecelendirilir.

24Ek önlemler: şifreleme, takma adlandırmaTeknik önlemler (anahtarların AB’deki veya Türkiye’deki veri aktaranda kaldığı uçtan uca şifreleme), idari önlemler (bölünmüş işleme) ve sözleşmesel önlemler (şeffaflık, itiraz hakları). Hepsi belgelenir ve doğrulanır.

BÖLÜM 4 · 6 MADDE

Operasyonel Uyum

Politikaları hayata geçiren günlük kontroller. Uygulamaya yansımayan, yalnızca kâğıt üzerinde kalan uyum, yaptırımların en yaygın sebebidir.

25DPO ataması: hangi durumlarda zorunlu?KVKK veri koruma görevlisi (DPO) atanmasını zorunlu tutmaz, ancak Kurul bunu tavsiye eder. GDPR m.37 ise kamu kurumları ile büyük ölçekli sistematik izleme veya büyük ölçekli özel nitelikli veri işleme yapanlar için DPO atanmasını zorunlu kılar.

26VERBİS kaydı ve GDPR m.30 işleme kayıtlarıVERBİS (KVKK m.16), eşiği aşan veri sorumluları için kamuya açık bir sicildir. GDPR m.30 ise şirket içinde tutulan işleme faaliyetleri kaydını düzenler. İkisi de güncel olmalıdır: KVKK’da değişiklikler 7 gün içinde işlenir, GDPR’de kayıt herhangi bir talep beklenmeden güncel tutulur.

27Veri ihlalinin 72 saat içinde bildirilmesiKVKK’da ihlal 72 saat içinde Kurum’a, ayrıca veri sahiplerine bildirilir (Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı Kararı). GDPR’de m.33 uyarınca 72 saat içinde denetim makamına, m.34 uyarınca yüksek riskli ihlallerde veri sahiplerine bildirim yapılır. İki bildirimi paralel yürüten bir süreç kurun.

28Veri sahibi başvurularının yönetimiKVKK m.13: başvurular 30 gün içinde yanıtlanır. GDPR m.12/3: süre bir aydır, karmaşık veya çok sayıda talepte iki ay daha uzatılabilir. İki rejimin yanıt yükümlülüklerini birlikte karşılayan tek bir başvuru kanalı kullanın.

29Tedarikçi ve veri işleyen yönetimi (DPA ve m.28)Her veri işleyenle şu konuları kapsayan bir DPA yapılmalıdır: talimatlar, gizlilik, güvenlik, alt veri işleyen onayı, denetim hakları ve sözleşme sona erdiğinde verilerin iadesi veya silinmesi. Bu kontrol yapılmadan hiçbir tedarikçi satın alma sürecinden geçmemelidir.

30Olay müdahale planı ve periyodik denetimÜç ayda bir masa başı tatbikatı yapın. Dış denetim (GDPR m.32 / KVKK m.12/3) yılda bir yapılır. İki rejim için de denetim kayıtlarını en az 5 yıl saklayın.

Karar Matrisi: Çift Rejim Uyumumuz Sağlam mı?

İşaretlediğiniz maddelerin dağılımı uyum olgunluğunuzu gösterir:

Bölüm 1 7+/8: Hangi rejimlere tabi olduğunuz net. İki rejimin birlikte uygulandığı durumları doğru tespit etmişsiniz.
Bölüm 2 7+/8: Hukuki dayanakların eşleştirmesi ve aydınlatma metinleri tamam.
Bölüm 3 7+/8: Yurt dışına aktarımlar güvence altında. Schrems II analizi belgelenmiş.
Bölüm 4 4+/6: Operasyonel kontroller işliyor. Denetime hazırsınız.
Bölüm 2-3 zayıf: Yaptırım riski yüksek. KVKK Kurul kararları ve EDPB rehberleri doğrultusunda eksikleri hızla giderin.
Aktarım haritası eksikse: Bulut sağlayıcılarındaki aktarım zinciri baştan sona çıkarılmalı. SCC ve TIA olmadan yapılan aktarım korumasız kalır.
72 saatlik müdahale planı yoksa: İhlal anında hızlı hareket etme kapasitesi yok. Masa başı tatbikatı şart.
Dört bölüm eşik üstü: KVKK ve GDPR uyumunuz üst seviyede. Yıllık dış denetim ve düzenli güncellemelerle bu seviyeyi koruyun.

Hukuki uyarı. Bu belge yalnızca bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. Atıfta bulunulan KVKK, GDPR, KVKK Kurul Kararları, EDPB rehberleri ve diğer mevzuat genel atıflardır; bunların şirketinize nasıl uygulanacağı veri koruma alanında deneyimli bir hukukçu tarafından değerlendirilmelidir. Vircon Legal: [email protected]

Kaynak. (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR); 6698 sayılı Kişisel Verilerin Korunması Kanunu. Kanun bağlantıları mevzuat.gov.tr üzerindeki güncel resmî metinlere gider.

Benzer bir konuyu mu değerlendiriyorsunuz?Turunuzun hızında çalışan bir hukuk ekibiyle konuşun.

Görüşme planla →

KARDEŞ CHECKLİSTLER

Bunlar da ilginizi çekebilir

VERBİS Kayıt Yükümlülüğü

Aç →

ETBİS Kayıt Yükümlülüğü

Aç →

Bir sonraki adım

30 dakikalık ücretsiz tanışma görüşmesi planlayın

Bu checklist'i geçtikten sonra, size özel risk değerlendirmesi ve eksik maddelerin önceliklendirilmesi için aşağıdan uygun bir zaman dilimi seçebilirsiniz.

Burada sunulan bilgiler yalnızca genel bilgilendirme amaçlıdır; hukuki, finansal, muhasebe veya vergi danışmanlığı niteliği taşımaz. Vircon Legal yalnızca Türkiye Cumhuriyeti hukuku kapsamında danışmanlık verir; Amerika Birleşik Devletleri dahil yabancı hukuk düzenlerinde hukuki danışmanlık hizmeti sunmaz.

Linkedin Youtube

Faaliyet Alanları
İçgörüler
Hakkımızda
Sözlük
Bize ulaşın
Bültene Abone Olun

Gizlilik Politikası