AB Genel Veri Koruma Tüzüğü’ne Uyum
Genel Veri Koruma Tüzüğü (GDPR), Avrupa Birliği’nde 25 Mayıs 2018’den bu yana uygulanan ve kişisel verilerin işlenmesine ilişkin kuralları belirleyen düzenlemedir. AB’de yerleşik olmasa da AB’deki kişilere ürün veya hizmet sunan ya da onların davranışlarını izleyen şirketleri de kapsar.
Avrupa’ya ihracat yapan, e-ticaret sitesi işleten, AB’li müşterilere yazılım veya bulut hizmeti sunan ya da AB’li bir şirket adına veri işleyen Türk şirketleri için GDPR uyumu, sözleşme ve iş ilişkilerinin ön koşulu haline geldi.
GDPR Uyum Danışmanlığı Adımları
- Kapsam analizi: Hangi faaliyetlerin GDPR’a tabi olduğu, veri sorumlusu ya da veri işleyen rolünüz belirlenir.
- İşleme faaliyetleri kaydı: GDPR’ın 30. maddesine uygun kayıt envanteri hazırlanır.
- Hukuki dayanaklar ve şeffaflık: Her işleme amacı için hukuki dayanak belirlenir; gizlilik bildirimleri ve çerez politikası hazırlanır.
- Veri koruma etki değerlendirmesi (DPIA): Yüksek riskli işleme faaliyetleri için etki değerlendirmesi yapılır.
- Uluslararası aktarımlar: AB dışına aktarımlar için standart sözleşme maddeleri (SCC) ve aktarım etki değerlendirmeleri hazırlanır.
- İlgili kişi hakları ve ihlal yönetimi: Başvuru süreçleri ve 72 saatlik ihlal bildirim prosedürü kurulur.
- Teknik ve organizasyonel tedbirler: Güvenlik önlemleri, veri işleyen sözleşmeleri (DPA) ve eğitimler tamamlanır.
GDPR uyumunuzu bağımsız denetimle göstermek istiyorsanız ISO 27701, Türkiye’deki yükümlülükleriniz için KVKK danışmanlığı sayfalarımıza göz atabilirsiniz.
Kapsam analiziyle başlayalım; yükümlülüklerinizi kısa bir görüşmede netleştirelim.
GDPR Hakkında Sıkça Sorulan Sorular
Türkiye’deki bir şirket GDPR’a tabi olur mu?
Evet, olabilir. GDPR’ın 3. maddesine göre AB’de yerleşik olmayan bir şirket; AB’deki kişilere ürün veya hizmet sunuyorsa ya da AB’deki kişilerin davranışlarını izliyorsa (örneğin çevrim içi takip ve profilleme) GDPR kapsamına girer.
KVKK’ya uyumluysam GDPR’a da uyumlu muyum?
Tam olarak değil. İki düzenleme benzer ilkelere dayansa da GDPR’da veri koruma etki değerlendirmesi, işleme faaliyetleri kaydı, AB temsilcisi atanması, 72 saat içinde ihlal bildirimi gibi ek veya farklı yükümlülükler bulunur. Mevcut KVKK çalışmanızı GDPR farklarıyla tamamlıyoruz.
GDPR cezaları ne kadar?
GDPR’da ciddi ihlaller için idari para cezası 20 milyon Avro’ya veya şirketin dünya genelindeki yıllık cirosunun %4’üne kadar (hangisi yüksekse) çıkabilir.
