KVKK Uyum Rehberi’nin bir parçası: Rehbere git →
Özetle
GDPR (General Data Protection Regulation), Avrupa Birliği’nin 2018’de yürürlüğe giren kapsamlı veri koruma düzenlemesidir. AB sakinlerinin kişisel verilerini koruyan en sıkı yasalardan biridir ve dünya çapındaki şirketleri etkiler.
Özetle
GDPR, AB sakinlerinin kişisel verilerini işleyen tüm şirketleri (AB içinde veya dışında) kapsayan kuralları belirler. Temel ilkeleri: Yasallık, Adillik ve Şeffaflık, Amaç Sınırlaması, Veri Minimizasyonu, Doğruluk, Saklama Sınırlaması, Bütünlük ve Gizlilik, Hesap Verebilirlik. Kişisel veri tanımı çok geniştir: isim, e-posta, IP adresi, çerez tanımlayıcıları, hatta cihaz fingerprintleri bile kapsanır.
GDPR Bireysel Hakları:
GDPR bireylere güçlü haklar verir: Right to Access (verilerinizi görme hakkı), Right to Rectification (yanlış verileri düzeltme), Right to Erasure (“Right to be Forgotten”: silinme hakkı), Right to Restrict Processing, Right to Data Portability (verilerinizi başka servise taşıma), Right to Object, Right to Refuse Automated Decision-Making. Şirketler bu haklara ilişkin taleplere kural olarak bir ay içinde yanıt vermek zorundadır; taleplerin karmaşıklığı ve sayısı dikkate alınarak bu süre iki ay daha uzatılabilir.
GDPR’a Uyum:
GDPR uyumluluk için şirketlerin yapması gerekenler: Veri envanteri (data mapping), Privacy Policy ve Notice güncellemeleri, Consent management (rıza yönetimi), Data Protection Impact Assessment (DPIA), Data Protection Officer (DPO) ataması (büyük işleme durumunda), 72 saat içinde data breach bildirimi, Vendor management (data processing agreements: DPA), International data transfer kontrolleri (SCCs, BCRs), Privacy by Design ilkeleri, ve düzenli training.
GDPR Cezaları:
GDPR cezaları muazzamdır: 20 milyon Euro veya yıllık global cironun %4’ü (hangisi yüksekse). Önemli cezalar: Meta: 1.2 milyar Euro (2023), Amazon: 746 milyon Euro, Whatsapp: 225 milyon Euro şeffaflık eksikliği. Bu cezalar GDPR uyumluluğunu CEO seviyesinde bir öncelik haline getirmiştir.
Hukuki Dayanak ve Amaç Sınırlaması
GDPR kapsamındaki her işleme faaliyetinin bir hukuki dayanağı (rıza, sözleşme, meşru menfaat vb.) bulunmalıdır. Veriler belirli amaçlarla sınırlı olarak işlenmelidir (amaç sınırlaması). İşleme rızaya dayanıyorsa rıza açık, bilgilendirilmiş ve özgür iradeyle verilmiş olmalıdır. Yüksek riskli işleme faaliyetleri için Veri Koruma Etki Değerlendirmesi (DPIA) yapılması gerekir.
Ülke Dışı Uygulama Alanı
GDPR 25 Mayıs 2018’de yürürlüğe girmiştir. AB dışında yerleşik kuruluşlar da AB’deki veri sahiplerine mal veya hizmet sunmaları ya da bu kişilerin davranışlarını izlemeleri halinde GDPR’a tabidir; bu durum AB’de müşterisi bulunan küçük ölçekli ABD startup’larını da kapsar. AB dışındaki şirketlerin çoğu zaman AB’de bir temsilci ataması gerekir. Brexit sonrasında Birleşik Krallık’ta, AB GDPR’ı ile esasen aynı olan ancak ayrı ve paralel bir denetim rejimine tabi UK GDPR oluşmuştur. Uluslararası veri aktarımları son yargı kararları sonrasında daha sıkı incelemeye tabidir.
Denetim ve Yaptırım Mekanizması
GDPR’ın uygulanması ulusal veri koruma otoriteleri aracılığıyla yürütülür; uygulamadaki tutarlılığı Avrupa Veri Koruma Kurulu (EDPB) gözetir. İdari yaptırımların yanında toplu davalar ve bireysel talepler, özel hukuk yoluyla ek bir yaptırım katmanı oluşturur.
Kaynak. (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR).