GDPR Nedir, Kimleri Kapsar?

Avrupa Birliği (AB) sınırları içerisindeki bireylerin kişisel verilerini koruma altına alan ve küresel veri gizliliğinin anayasası olarak kabul edilen Genel Veri Koruma Tüzüğü (GDPR - General Data Protection Regulation), küresel ticarette veri işleme pratiklerini kökten değiştirmiştir. AB merkezli olmasa dahi birlik vatandaşlarına dijital hizmet sunan veya onların davranışlarını izleyen tüm küresel kuruluşlar bu tüzüğün getirdiği katı idari ve teknik yaptırımlarla karşı karşıyadır. Bu teknik rehberde, siber güvenlik altyapısını güçlendirmek, yasal uyumluluk sağlamak ve operasyonel risklerini en aza indirmek isteyen karar vericiler için GDPR Nedir, Kimleri Kapsar? konularını tüm hukuki ve teknik boyutlarıyla analiz ediyoruz.

GDPR (Genel Veri Koruma Tüzüğü) Nedir?

Genel Veri Koruma Tüzüğü (Regulation EU 2016/679), Avrupa Birliği bünyesinde kişisel verilerin gizliliğini, güvenliğini ve serbest dolaşımını düzenleyen en kapsamlı yasal mevzuattır. 24 Mayıs 2016 tarihinde yürürlüğe giren ve iki yıllık geçiş sürecinin ardından 25 Mayıs 2018 itibarıyla doğrudan uygulanmaya başlanan bu tüzük, 1995 tarihli Veri Koruma Direktifi'nin (Directive 95/46/EC) yerini almıştır. Eski direktiflerin aksine GDPR, üye ülkelerin iç hukukuna aktarılmasına gerek kalmaksızın tüm AB üyesi ülkelerde doğrudan uygulanma kabiliyetine (direct applicability) sahiptir. Bu durum, Avrupa genelinde parçalı veri koruma yasalarının birleştirilmesini ve tek bir dijital pazar standardının oluşmasını sağlamıştır.

Tüzüğün temel felsefesi, bireylerin kendi kişisel verileri üzerindeki kontrolünü yeniden kazanmalarını sağlamaktır. Dijital ağlarda izinsiz şekilde işlenen, satılan veya profilleme amacıyla kullanılan kişisel veriler, GDPR ile birlikte mülkiyet hakkına benzer bir koruma zırhına kavuşmuştur. Tüzük; veri sorumlusu (data controller) ve veri işleyen (data processor) olmak üzere iki temel aktör tanımlar. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen ana kuruluştur. Veri işleyen ise veri sorumlusu adına bu verileri teknik olarak işleyen, depolayan veya analiz eden üçüncü taraf hizmet sağlayıcılarıdır (SaaS sağlayıcıları, bulut sunucu şirketleri vb.).

Güvenlik mimarisi açısından GDPR, "Gizlilik Tasarımı" (Privacy by Design) ve "Varsayılan Olarak Gizlilik" (Privacy by Default) ilkelerini yasal bir zorunluluk haline getirir. Bir yazılım, dijital ürün veya sistem tasarlanırken veri koruma önlemlerinin projenin ilk kod satırından itibaren entegre edilmesi gerekir. Kullanıcılara sunulan varsayılan ayarlar ise her zaman en yüksek gizlilik seviyesinde olmalı, veri sahibinin açık rızası (explicit consent) olmadan hiçbir veri işleme faaliyeti otomatik olarak başlatılmamalıdır. Siber güvenlik uzmanları için bu durum, veri tabanı şifrelemesinden (encryption), kimlik doğrulama (MFA) protokollerine kadar geniş bir yelpazede teknik uyumluluk zorunluluğu anlamına gelir.

Tüzüğün Sınır Ötesi Etkisi: GDPR Kimleri Kapsar?

GDPR'ı geleneksel mevzuatlardan ayıran en radikal özellik, tüzüğün 3. Maddesi ile düzenlenen sınır ötesi (extraterritorial) uygulama alanıdır. Bir kuruluşun fiziksel olarak Avrupa Birliği topraklarında bulunup bulunmaması, tüzüğe tabi olup olmadığını belirleyen tek kriter değildir. Tüzük, AB sınırları içindeki kişilerin verilerini işleyen dünya genelindeki tüm aktörleri hedef almaktadır. Bu durum, Türkiye, Amerika Birleşik Devletleri, Birleşik Krallık veya Birleşik Arap Emirlikleri gibi AB dışı bölgelerde kurulu olan ancak AB pazarı ile doğrudan ya da dolaylı ilişkisi bulunan tüm şirketlerin GDPR uyumluluğu sağlamasını mecbur kılar.

Avrupa Birliği İçinde Faaliyet Gösteren İşletmeler

Tüzüğün 3(1) maddesi uyarınca, veri işleme faaliyetinin kendisi Avrupa Birliği dışında gerçekleşse bile, AB içinde yerleşik bir şubesi, iştiraki, temsilciliği veya acentesi bulunan tüm veri sorumluları ve veri işleyenler istisnasız olarak GDPR kapsamındadır. Örneğin, merkezi ABD'de bulunan bir sosyal medya devinin Fransa'da sadece reklam satışı yapan küçük bir ofisinin bulunması, tüm platformun Avrupa genelindeki veri işleme süreçlerinde GDPR standartlarına uymasını gerektirir. Birlik içindeki yerleşiklik kriteri, faaliyetin hacmine veya şirket yapısının büyüklüğüne bakılmaksızın katı bir şekilde uygulanır.

Türkiye ve Diğer AB Dışı Ülkelerdeki İşletmelerin Sorumlulukları

Tüzüğün 3(2) maddesi, AB içinde hiçbir fiziksel varlığı bulunmayan ancak birlik dışından AB'deki veri sahiplerine (data subjects) ulaşan şirketleri hedefler. Aşağıdaki iki faaliyetten birini yürüten Türkiye veya diğer üçüncü ülkelerdeki işletmeler doğrudan GDPR kapsamına girer:

• Mal veya Hizmet Sunulması: AB sınırları içerisindeki kişilere bedelli veya bedelsiz olarak mal veya hizmet sunulması. Bir Türk e-ticaret sitesinin Euro para birimiyle ödeme kabul etmesi, web sitesinde Almanca veya Fransızca dil seçeneği bulundurması ya da AB ülkelerine sevkiyat yapacağını beyan etmesi "hedefleme" (targeting) niyeti olarak kabul edilir ve web sitesini GDPR uyumlu olmaya zorlar.

• Davranışların İzlenmesi: AB sınırları içindeki bireylerin internet üzerindeki davranışlarının izlenmesi, analiz edilmesi veya profillenmesi. Web sitesinde Google Analytics, Facebook Pixel veya benzeri çerez bazlı takip kodları kullanan, AB lokasyonlu kullanıcıların dijital ayak izlerini takip eden tüm global platformlar bu kapsama dahildir.

GDPR Kapsamında İşletmelerin Temel Yükümlülükleri

GDPR uyumluluğu, işletmelerin teknik mimarilerinde ve iş süreçlerinde köklü yapısal değişiklikler yapmasını gerektirir. Sadece bir gizlilik politikası yayınlamak veya basit bir çerez uyarısı eklemek tüzüğün gerekliliklerini karşılamaktan uzaktır. Veri sorumlularının, verinin ilk elde edilme anından imha edilme anına kadar süren yaşam döngüsünü (data lifecycle) güvenli bir şekilde yönetmesi şarttır.

Veri İşleme İlkeleri ve Açık Rıza Kriterleri

Tüzüğün 5. Maddesinde yer alan veri işleme ilkeleri, her türlü teknik sistemin tasarımında kılavuz olarak kabul edilmelidir. Bu ilkeler şunlardır:

1. Hukuka Uygunluk, Dürüstlük ve Şeffaflık: Veriler ancak yasal bir temele dayanarak dürüstlük kuralları içinde işlenebilir.

2. Amaçla Sınırlılık: Veriler yalnızca önceden belirlenmiş, açık ve meşru amaçlarla toplanabilir; bu amaçlar dışında işlenemez.

3. Veri Minimizasyonu: Sadece belirlenen amaca ulaşmak için kesinlikle gerekli olan minimum veri miktarı işlenmelidir.

4. Doğruluk: İşlenen veriler doğru ve güncel olmalı; hatalı verilerin gecikmeksizin silinmesi veya düzeltilmesi için teknik mekanizmalar kurulmalıdır.

5. Depolama Sınırlılığı: Veriler, işleme amacının gerektirdiği süreden daha uzun süre sistemlerde tutulmamalıdır.

6. Bütünlük ve Gizlilik: Verilerin yetkisiz erişime, kayba veya hasara karşı şifreleme (encryption) ve erişim kontrol yöntemleriyle korunması zorunludur.

Bu ilkelerin hayata geçirilmesinde en kritik yasal dayanaklardan biri Açık Rıza (Explicit Consent) mekanizmasıdır. GDPR kapsamında rızanın geçerli olabilmesi için; özgürce verilmiş (freely given), belirli bir konuya ilişkin (specific), bilgilendirmeye dayanan (informed) ve duraksamaya yer vermeyecek açıklıkta bir beyan veya olumlu eylem (unambiguous indication) olması gerekir. Kullanıcıya önceden işaretlenmiş onay kutucukları (pre-ticked boxes) sunulması veya "hizmet şartlarımızı kabul ederek verilerinizin işlenmesini de onaylamış olursunuz" şeklinde dayatmalar (bundled consent) GDPR kapsamında tamamen geçersizdir.

Aydınlatma Yükümlülüğü ve Kullanıcı Hakları

Veri sorumluları, kişisel verileri toplama anında kullanıcılara anlaşılır, sade ve kolay erişilebilir bir dille hazırlanan Gizlilik Bildirimleri (Privacy Notices) sunmalıdır. Bu bildirimlerde veri sorumlusunun kimliği, verilerin hangi amaçla ve hangi hukuki sebeple işleneceği, verilerin kimlere aktarılacağı ve saklama süreleri açıkça belirtilmelidir.

Tüzük, veri sahiplerine veri sorumluları üzerinde kullanabilecekleri geniş haklar tanımaktadır:

• Erişim Hakkı (Right of Access): Bireyler, kendilerine ait hangi verilerin işlendiğini öğrenme ve bu verilerin bir kopyasını ücretsiz talep etme hakkına sahiptir.

• Düzeltme Hakkı (Right to Rectification): Eksik veya yanlış kişisel verilerin düzeltilmesini talep edebilirler.

• Unutulma Hakkı (Right to be Forgotten / Erasure): Belirli şartlar altında (örneğin rızanın geri çekilmesi veya verilerin hukuka aykırı işlenmesi durumunda) verilerinin sistemlerden kalıcı olarak silinmesini isteyebilirler.

• Veri Taşınabilirliği Hakkı (Right to Data Portability): Kullanıcılar, bir hizmet sağlayıcıda bulunan verilerini makine tarafından okunabilir yapılandırılmış bir formatta (örn. JSON veya XML) alıp başka bir sağlayıcıya doğrudan aktarılmasını talep edebilir.

Veri Koruma Görevlisi (DPO) Atama Zorunluluğu Hangi Durumlarda Geçerlidir?

GDPR'ın 37. Maddesi kapsamında, belirli kriterleri karşılayan veri sorumlularının ve veri işleyenlerin bir Veri Koruma Görevlisi (DPO - Data Protection Officer) ataması yasal olarak zorunludur. Aşağıdaki durumlarda DPO ataması yapılması kaçınılmazdır:

• Veri işleme faaliyetinin kamu kurumu veya kuruluşu tarafından gerçekleştirilmesi (mahkemeler hariç).

• Veri sorumlusunun veya veri işleyenin ana faaliyetlerinin, veri sahiplerinin geniş ölçekte, düzenli ve sistematik olarak izlenmesini gerektirmesi (örn. konum takibi yapan mobil uygulamalar, telekomünikasyon şirketleri, büyük veri analitiği yapan SaaS platformları).

• Ana faaliyetlerin, özel nitelikli kişisel verilerin (sağlık, biyometrik veri, ceza mahkumiyeti, etnik köken vb.) geniş ölçekte işlenmesini içermesi (örn. hastaneler, sigorta şirketleri, genetik test laboratuvarları).

DPO, veri koruma otoriteleriyle iletişim noktası olarak görev yapan, şirket içi süreçlerin tüzüğe uygunluğunu denetleyen ve doğrudan en üst düzey yönetime raporlama yapan bağımsız bir aktördür. Gerekli teknik ve hukuki donanıma sahip olmayan kişilerin DPO olarak atanması veya DPO'nun görevini yaparken çıkar çatışması yaşaması (örneğin aynı zamanda BT yöneticisi veya pazarlama direktörü olması) tüzüğe aykırılık teşkil eder.

İhlal Durumunda Karşılaşılacak Yaptırımlar ve Para Cezaları

GDPR'ı siber güvenlik ve iş dünyasının en çok konuştuğu konulardan biri haline getiren temel unsur, uyumsuzluk veya veri ihlali durumlarında uygulanan cezaların yıkıcı boyutlarda olmasıdır. Avrupa Birliği Veri Koruma Otoriteleri (DPA'lar), ihlalin boyutuna, ciddiyetine, kasti olup olmadığına ve şirketin aldığı güvenlik önlemlerine bakarak cezaları belirler.

Kademeli Ceza Sistemi: 20 Milyon Euro veya Küresel Cironun %4'ü

Tüzükte öngörülen idari para cezaları, ihlal edilen maddelerin niteliğine göre iki ana kategoriye ayrılmıştır:

Bu oranlar şirketlerin sadece Avrupa'daki ciroları üzerinden değil, dünya genelindeki tüm iştiraklerinin toplam cirosu üzerinden hesaplanır. Büyük küresel holdingler için bu yaptırımlar milyarlarca dolarlık finansal riskler anlamına gelmektedir. Örneğin, Meta ve Amazon gibi dev şirketlere kesilen yüz milyonlarca Avro'luk cezalar bu hesaplama yöntemine dayanmaktadır.

Veri İhlali Bildirim Süreci (72 Saat Kuralı)

Güvenlik ekiplerinin en çok dikkat etmesi gereken operasyonel kurallardan biri, tüzüğün 33. Maddesinde düzenlenen ihlal bildirim yükümlülüğüdür. Kişisel verilerin yetkisiz kişilerin eline geçmesi, silinmesi veya kaybolması gibi bir veri ihlali (data breach) yaşandığında, veri sorumlusu bu durumu tespit ettiği andan itibaren en geç 72 saat içinde ilgili denetleyici otoriteye (supervisory authority) bildirmekle yükümlüdür.

İhlalin, veri sahibinin hak ve özgürlükleri üzerinde yüksek bir risk oluşturması durumunda (örneğin finansal bilgilerin veya şifrelerin sızdırılması), ihlal durumu herhangi bir gecikmeye mahal verilmeksizin doğrudan etkilenen kullanıcılara da bildirilmelidir. Zamanında bildirim yapılmaması, veri ihlalinin kendi cezasının yanı sıra, tüzüğe aykırılıktan dolayı ek idari para cezalarının uygulanmasına yol açar.

GDPR ve KVKK Arasındaki Temel Farklar Nelerdir?

Türkiye'de 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) yürürlükte olduğundan, pek çok Türk işletmesi KVKK uyumluluğu sağladığında GDPR'a da otomatik olarak uyum sağladığını düşünmektedir. Bu yaklaşım son derece risklidir. KVKK, büyük oranda GDPR'ın öncülü olan 95/46/EC sayılı direktif esas alınarak hazırlanmıştır. Dolayısıyla, 2018'de yürürlüğe giren modern GDPR kuralları, KVKK'ya göre çok daha katı, kapsamlı ve teknik detaylar içermektedir. İki mevzuat arasındaki temel operasyonel farklar aşağıdaki tabloda detaylandırılmıştır:

Türkiye'de faaliyet gösteren ve yurt dışına (özellikle AB ülkelerine) açılmayı hedefleyen bir teknoloji şirketinin, veri tabanı şemasını ve rıza akışlarını sadece KVKK'ya göre kurgulaması yetersiz kalacaktır. Bu şirketlerin sistem mimarilerini geliştirirken GDPR standartlarını temel almaları, ilerleyen süreçlerde global ölçekte veri işleme engelleriyle karşılaşmalarını önleyecektir.

GDPR Uyumluluğu İçin İşletmelerin Atması Gereken İlk 5 Adım

Teknik kararları veren yöneticiler ve siber güvenlik mimarları için GDPR uyumluluk süreci, teorik yasal analizlerin ötesinde pratik mühendislik çözümleri gerektirir. Sistemlerin tüzüğe uyumlu hale getirilmesi için sırasıyla uygulanması gereken en kritik 5 operasyonel adım şunlardır:

1. Veri Haritalama ve İşleme Faaliyetleri Envanteri (ROPA) Oluşturma: Şirket bünyesinde hangi kişisel verilerin toplandığı, bu verilerin nerede saklandığı (veri tabanları, lokal sunucular, bulut sağlayıcıları), kimlerle paylaşıldığı ve ne kadar süreyle saklanacağı net bir şekilde listelenmelidir. Tüzüğün 30. Maddesi kapsamında bu envanterin (Records of Processing Activities) güncel olarak tutulması zorunludur.

2. Yasal Dayanak ve Açık Rıza Mekanizmalarının Güncellenmesi: Toplanan her bir veri kategorisi için yasal dayanak (sözleşmenin ifası, meşru menfaat, yasal yükümlülük veya açık rıza) belirlenmelidir. Eğer yasal dayanak açık rıza ise, web sitelerindeki çerez onay duvarları, bülten kayıt formları ve üyelik sözleşmeleri "seçmeli" (granular) ve aktif onay gerektirecek şekilde yeniden tasarlanmalıdır.

3. Güvenlik Protokollerinin ve Şifreleme Altyapısının Güçlendirilmesi (Privacy by Design): Verilerin saklandığı veri tabanlarında AES-256 gibi güçlü şifreleme algoritmaları kullanılmalı, aktarım aşamasında ise TLS 1.3 protokolleri zorunlu kılınmalıdır. Verilerin kimliksizleştirilmesi (pseudonymisation) ve maskelenmesi (data masking) gibi teknik yöntemler sisteme entegre edilmelidir.

4. Üçüncü Taraf Tedarikçi Sözleşmelerinin (DPA) Revize Edilmesi: Verilerin aktarıldığı tüm bulut sağlayıcılar, e-posta pazarlama araçları, analitik araçları ve SaaS platformları ile GDPR Madde 28 uyumlu "Veri İşleme Anlaşmaları" (Data Processing Agreement - DPA) imzalanmalıdır. Tedarikçilerin de aynı teknik güvenlik standartlarını karşıladığından emin olunmalıdır.

5. İhlal Müdahale ve Veri Sahibi Başvuru Süreçlerinin Kurulması: Olası bir veri ihlali durumunda 72 saatlik süreyi yönetebilecek bir "Veri İhlali Müdahale Planı" (Incident Response Plan) hazırlanmalı ve teknik ekipler bu konuda eğitilmelidir. Ayrıca kullanıcıların "unutulma" veya "erişim" taleplerini iletebilecekleri ve bu taleplerin en geç 30 gün içinde teknik olarak sonuçlandırılabileceği bir destek mekanizması hayata geçirilmelidir.