​Peki, siz GDPR' ın ne olduğunu biliyor musunuz?
GDPR nedir? GPDR açılımı nedir? İşte tüm detaylar.

​

Genel Veri Koruma Yönetmeliğinin (GDPR), yeni AB çerçevesi, tüm üye ülkelerdeki kuruluşlar için geçerlidir. Avrupa, Avrupa ötesindeki işletmeler ve bireyler için oldukça büyük etkileri vardır.

GDPR (General Data Protection Regulation), Avrupa Genel Veri Koruma Tüzüğü'dür. Avrupa genelinde, Avrupa Birliği vatandaşlarının kişisel verilerini korumaya yönelik oluşturulmuş bir yönetmeliktir. GDPR, Avrupa Birliği sınırları içerisindeki vatandaşların kişisel verilerini barındıran bütün işletmeleri kapsamaktadır.

Genel Veri Koruma Yönetmeliği (GDPR), bir Avrupa Birliği (AB) yönetmeliği olup AB vatandaşlarının kişisel verilerinin korunmasını amaçlamaktadır. GDPR, kapsamı itibariyle AB ile ticari ilişkisi bulunan tüm kuruluşları ilgilendirmektedir. Henüz yeni sayılan bir tüzük olduğundan kişiler ve kurumlar için GDPR nedir, GDPR’nin açılımı nedir, Genel Veri Koruma yönetmeliği nedir, GDPR davranış kuralları nelerdir, GDPR ülkeleri hangileridir gibi birçok soru önem kazanmıştır. Bu yazımızda bu soruları cevaplandırmaya çalışacağız.

​

Teknolojinin gelişmesi ile beraber bilgi güvenliği ve gizliliği konusu çok daha önemli hale geldi. Bu nedenle hükümetler, vatandaşlarının ve kurumlarının bilgilerinin en güvenli şekilde işlenebilmesi için belirli yasal düzenlemeler yapmaya başladı. Ülkemizdeki KVKK (Kişisel Verilen Korunması Kanunu) da bunlardan biridir. Hatta bu nedenle sıklıkla KVKK GDPR karşılaştırması yapılmaktadır. AB de Avrupa Birliği Veri Koruma Tüzüğü çerçevesinde GDPR’ yi yayınlayarak bu konuda çok önemli bir adım attı. GDPR ile sadece kendi içerisinde değil, AB dışında faaliyet gösteren kurumlara da belirli sorumluluklar yükledi.

AB ülkelerinde yaşayan insanlara veya kurumlara ürün veya hizmet sunan şirketlerden GDPR’ye uyum sağlaması; bu kapsamda müşterilerinin kişisel verilerini GDPR’ye göre işlemesi beklenmektedir. Bu yüzden AB ülkeleri ile ticari ilişkileri bulunan her şirket KVKK GDPR eğitimi alarak süreç hakkında detaylı sahibi olmakta ve sorumluluklarını yerine getirmeye çalışmaktadır.

GDPR Kapsamı/ Temel Prensibi Nedir?

Yürürlüğe girdikten sonra kişisel verilerin yönetimi ile ilgili birçok yeni gelişmeyi, kural ve ilkeyi de beraberinde getirdi. GDPR’nin kişisel verilerle ilgili en önemli ilkeleri şunlardır:

 

Doğruluk

İstenen verileri en aza indirme

Depolama sınırlaması

Hesap verebilirlik

Hukuka uygunluk, şeffaflık ve adalet

Amaç sınırlaması

Bilgilerin bütünlüğü, gizliliği ve güvenliği

​

GDPR, şirketlerden özetle şu konularla ilgili birtakım gereklilikleri yerine getirmesini beklemektedir:
•    Kişisel verilerin işlenmesi için verinin sahibinden izin / onay alınması
•    Olası veri ihlallerine karşı veri sahibine ve ilgili yetkililere bildirimde bulunulması
•    Verilerin bir yerden başka bir yere güvenli teknikler ve araçlar ile aktarılması
•    Toplanan verilerin anonim hale getirilerek depolanması
•    Kurumların kişisel veri yönetimi faaliyetlerinin GDPR ile uyumluluğunu denetlemek üzere yetkili birini ataması

​

GDPR Türkiye’de Geçerli mi?
GDPR yürürlüğe girdikten sonra, GDPR Kararları Türkiye’de geçerli mi, Türkiye GDPR ülkesi mi, GDPR Türkiye’yi kapsıyor mu gibi sorular da sorulmaya başlandı. Öncelikle şunu belirtmekte fayda var; GDPR, bir AB tüzüğüdür ve AB ülkelerinin vatandaşlarının kişisel verilerinin korunmasını amaçlamaktadır. Verilerin AB veya AB dışındaki bir kurum ile paylaşılmasında da aynı durum geçerlidir. Yani Türkiye’de faaliyet gösterip AB vatandaşlarının verilerini işleyen her kamu ve özel sektör kuruluşu GDPR uyum göstermelidir.

GDPR, biraz da yeni olmasından ötürü, birçok şirket tarafından henüz tam anlamıyla bilinmemektedir. Fakat AB ile ticari ilişkileri bulunan şirketlerin GDPR gereğince kişisel veri işleme sistemlerini ve uygulamalarını GDPR’ye uyumlu hale getirmelidir. Aksi takdirde birtakım cezalar söz konusu olabilmektedir. Alınacak ceza, ihlalin türüne ve süresine, uygulanan güvenlik önlemlerinin düzeyine, veri ihlalinden sonra atılan adımlara vs bağlı olarak değişebilmektedir.

​

GDPR Uyumluluğu Nedir?
GDPR uyumluluğu, AB üye ülkeleriyle ticari ilişkileri bulunan ve bu ülkelerdeki vatandaşlara ait verileri işleyen şirketleri ilgilendirmektedir. Bu şirketlerin veri işleme faaliyetlerinden ötürü GDPR uyumluluğunu sağlaması gerekmektedir. GDPR uyumluluğunu sağlamayan şirketlere uyumsuzluk türüne ve seviyesine göre çok ağır cezalar verilebilmektedir.

Uyumlu olmak için aşağıda yer alan maddeler dikkate alınmalıdır;
•    Kuruluştaki önemli kişilerin GDPR'ın önemini ve onunla uyumluluğunu anladığından emin olmak gerekir.
•    Eldeki kişisel verileri, nereden geldiğini ve kimlerle paylaşıldığı belgelenmelidir. Bunu yapmak için bir bilgi denetiminin düzenlenmesi gerekebilir.
•    Mevcut gizlilik bildirimleri incelenmeli ve gerekli değişiklikler yapılmalıdır.
•    Bireylerin kişisel verilerinin yaygın olarak kullanılan bir biçimde sunulması gereklidir. Kişilerin haklarının karşılanabileceğinden ve istek üzerine verilerinin silinebileceğinden emin olmak için prosedürlerin kontrol edilmesi gerekir.
•    Prosedürlerin güncellenmesi icap eder, böylece gelen talepler gerekli zaman çizelgesi içinde halledilebilir.
•    GDPR'daki veri işleme faaliyetinin yasal dayanağı belirlenmeli, belgelenmeli ve açıklamak için gizlilik bildirimleri güncellenmelidir.
•    İzin alma, kaydetme ve yönetme şekli ve herhangi bir değişiklik yapılmasının gerekli olup olmadığı gözden geçirilmelidir. 
•    Bireylerin yaşlarının nasıl doğrulanacağı ve herhangi bir veri işleme faaliyeti için ebeveyn veya veli onayını nasıl alınabileceği üzerine düşünülmelidir.
•    Kişisel bir veri ihlalini tespit etmek, bildirmek ve araştırmak için prosedürlerin olduğundan emin olunmalıdır.
•    Veri koruma uyumluluğu için sorumluluk alacak biri belirlenmeli ve resmi olarak bir Veri Koruma Görevlisi atamasının gerekip gerekmediği üzerine düşünülmelidir.
•    Birden fazla AB ülkesinde faaliyet gösteriliyorsa, önde gelen veri koruma denetim otoriteleri belirlenmelidir.

GDPR Eğitimi / GDPR’a yönelik farkındalığın olması
GDPR eğitimi, GDPR’ ye tabii olan şirketlerin alması gereken temel koşulu eğitimdir. Planlı ve sistematik bir eğitim süreci yapılmalıdır. Kuruluşun yeterliliklerinin artırılması ve veri koruma hedeflerine yönelik ilerleyebilmesine yardımcı olacak farkındalıklar ve eğitimler sağlanmalıdır.
Dokümantasyon, görev tanımı, personel yeterliliği, GDPR ile ilgili diğer mevzuatlar çok yönlü bir süreç olan GDPR için kritik öneme sahiptir. Bu nedenle şirketlerin özellikle bilgi güvenliği ve veri işlemeden sorumlu personellerine GDPR eğitimi aldırması gerekmektedir. Bunun yanında, şirket üst yönetiminin de GDPR konusundaki farkındalığını artırmak adına temel GDPR eğitimi almasında fayda vardır.

​

KVKK GDPR Nedir?
Kişisel veriler, Genel Veri Koruma Yönetmeliğinin (GDPR) merkezinde yer alır. Ancak, birçok kişi hâlâ "kişisel verilerin" tam olarak ne anlama geldiğinden emin değildir. Neyin kişisel veri olup olmadığına dair kesin bir liste bulunmamaktadır, bu nedenle her nokta GDPR'ın tanımının doğru şekilde yorumlanması ile alakalıdır:

"Kişisel veriler, tanımlanmış veya tanımlanabilir gerçek bir kişi(veri konusu) ile ilgili herhangi bir bilgi anlamına gelir.”
Bu bağlamda kişisel veri, gerçek kişiye ilişkin akla gelebilecek her türlü veriye denilebilir. Aşağıda yer alanlar kişisel veridir;

•    İsim, 
•    Soy isim, 
•    Doğum tarihi,
•    Doğum yeri, 
•    Adres, 
•    Anlık konum takibi, 
•    Ip adresi, 
•    Biyometrik veriler,
•    Genetik veriler,
•    Dini inanç,
•    Irk,
•    Etnik köken,
•    Siyasi görüş

Belirlenebilir gerçek bir kişi, ismini ve soy ismini bilmediğimiz birinin, geri kalan bilgilerinden kim olduğunu çıkarabilmektir. Konuyla alakalı herhangi bir etkileşime geçilmeyen insanlar, sadece özel verilerin kişisel veri olduğunu düşünebilmektedir. Geri kalan bilgilerle alakalı bir anonimlik söz konusu olmasına gerek yok diye düşünebilirler. Akla gelebilecek en basit noktalar bile kişisel veridir, sadece gerçek kişiye ait olması yeterlidir.

GDPR ve KVKK Arasındaki Farklar
KVKK ile GDPR temelde aynı amacı taşıyan iki farklı düzenlemedir. 
KVKK Türkiye için GDPR ise AB ülkeleri için geçerlidir. 
KVKK ve GDPR’nin en önemli ortak özelliği ikisinde de aydınlatma metni bulunmasıdır. Bu metin, kişisel verisi talep edilen kişiye bilginin ne amaçla, ne zaman, nerede ve nasıl kullanıldığını anlatmaktadır. Kişisel veri işleyici taraf KVKK ve GDPR uyarınca bu metinleri ilgili kişi ya da kurumlara iletmek zorundadır. Bu metne istinaden kişisel verisi talep edilen kişiden verinin işlenmesi için açık rıza alınması gerekmektedir.

GDPR ve KVKK arasındaki farklardan en önemlisi iki yönetmeliğin uygulama alanlarında karşımıza çıkmaktadır. Bu bağlamda, GDPR’nin KVKK’ya göre daha geniş bir yetki alanı bulunduğunu söyleyebiliriz. Bunun yanı sıra, GDPR ve KVKK kapsamında özel görev tanımlamalarında da birtakım farklılıklar söz konusudur. KVKK’ daki veri sorumlusunun GDPR’deki karşılığı veri kontrolörüdür. Veri sorumlusu kişisel verilerin işlenmesi, toplanması, silinmesi, aktarılması vb gibi adımlardan sorumlu olurken veri kontrolörü GDPR’nin tüm temel ilkelerinden sorumludur.
GDPR ve KVKK arasındaki farklardan bir diğeri de cezai yaptırımlarla ilgilidir. 

​

Genel olarak bakıldığında şirketin konumu Avrupa Birliği sınırları içerisinde bulunmasa bile, Avrupa Birliği içinde yerleşik olan vatandaşların verileri toplanırsa, bu şirket GDPR’dan sorumlu tutulur. Yönetmelikte belirtildiği şekilde yapılmıyorsa ya da ilgili kişiden yani kişisel veri sahibinden açık bir onay alınmıyorsa hiçbir kişisel veri işlenemez. Kişisel veri sahibinden onay alınmalı, kanunda ya da tüzükte belirtilen şartlar yerine getirilmeli ya da açık rıza alınmalıdır. Açık rıza iptal edilebilmektedir. Verilen rızayı geri alabilmek konusunda sıkıntı yaşanmaz. Rızanın geri alınması durumunda geçmişte rızaya yönelik alınan ya da işlenen her veri silinmek zorundadır.

​

Aydınlatma Metni Nedir?
Aydınlatma metni, aydınlatma yükümlülüğü ile alakalıdır. KVKK’da da GDPR’da da aydınlatma metni vardır. Aydınlatma metni; kişisel bir verinin işlenmesi durumunda, bu kişisel verinin neden, hangi amaçla ve nerede işleneceği, ne kadar sağlanacağı ve yasal dayanağının ne olduğu ile alakalı ya da yapılan kişisel veri ile alakalı yapılan işlemin ne olduğu ile alakalı ilgili kişiyi bilgilendirme, yani aydınlatma yükümlülüğü vardır. Aydınlatma yükümlülüğü de aydınlatma metinleri ile sağlanmaktadır.

Örneğin; kişisel bir veriyle alakalı açık rıza alınması gerekiyor. Bu durumda, rızanın alınmasından önce, verinin neden işlendiği ve veriyle ne yapıldığını anlatmak için bir aydınlatma metnine ihtiyaç duyulur. Kişinin bilgilenmesi ve rızasının özgür iradesiyle gerçekleşebilmesi için konunun ne olduğunu anlayabilmesi gerekir. KVKK kanunun üçüncü bölümü Haklar ve Yükümlülükler kısmında veri sorumlusunun aydınlatma yükümlülüğü vardır. Kişisel verilerin elde edilmesi sırasında veri sorumlusu, veri sahibi ilgili kişiye, aşağıdaki kriterlere uygun şekilde aydınlatma yapmalıdır;

a) Veri sorumlusunun ve varsa temsilcisinin kimliği,
b) Kişisel verilerin hangi sebeple işleneceği,
c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
d) 11. maddede sayılan diğer hakları konusunda bilgi vermesi

Aydınlatma metinlerinin veri toplama süreçlerinin tamamında ayrı ayrı hazırlanması gerekmektedir. İlgili sürece uygun olarak hazırlanmalıdır. Özetle, veri işlenirken ilgili kişiyi bilgilendirmek için kullanılan metinlere aydınlatma metni denir.

Yeni GDRP Düzenlenmesinde Dikkat Çeken Noktalar
En büyük değişiklik, şirketin bulunduğu yere bakılmadan Avrupa Birliği’nde ikamet eden kişilerin verilerini işleyen tüm tüketicilerin GDPR’a tabi olmasıdır. Avrupa vatandaşlarına hizmet sunan işletmelere GDPR uygulama alanı bulmaktadır. Bu şirketler için irtibat veri koruma görevlisi atanması zorunluluk hale geldi. Yaptırımlar ağırlaştırıldı. 

Açık rızanın şartları güncellendi. Açık rıza, veri işlemenin amacına yönelik olarak anlaşılır ve kolay erişilebilir bir biçimde verilmesi çok önemlidir. Açık dille, sade bir şekilde, konuyu diğer konulardan açık ve ayırt edilebilir bir şekilde belirtilmelidir. Net olarak hangi kişisel amaç için ceza verildiğine yönelik bir ayrımın olması gereklidir. Her bir konu için ayrı ayrı rızaların yazması icap etmektedir. Geri alınması basit olmalıdır. Açık rıza metni; açık, anlaşılır ve sade olmalıdır.

​

Açık rızanın amaca uygun olarak verilmiş olması, yalın ve açık bir şekilde anlaşılması, neye açık rıza verildiğinin belirgin olması, rızanın alınmasının yolunun da kolay olacağı şekilde olması gerekmektedir. “Açık rıza veriyorum”. şeklinde bir tikleme olduğunda, “Açık rıza vermiyorum.” şeklinde de bir tiklemenin de olması çok olumlu olabilir. Hizmete bağlı bir durum olmadığını bize ifade etmektedir. “Açık rıza vermiyorum.” şeklinde de bir tiklemenin oluşturulmaması, karşı tarafı zorunda bırakıyormuş gibi bir algı oluşturabilir. “Ben bu açık rızayı istemiyorum.” kısmının da olması, bu seçeneğin gerçekten var olduğunu karşı tarafa daha fazla hissettirmektedir. Olumsuz kısmında açık rıza metninin altında yer alması oldukça önemsenilmektedir.

Bir şirketin açık rıza metni açık ve anlaşılır değilse, bu şirket Kişisel Verileri Koruma Kurumu’na şikâyet edilebilir. Kurum denetime geldiği sırada açık rıza metninin yalın olmadığı anlaşılabilir ve bunun doğru bir rıza olmadığını söyleyebilir. Açık rıza metni anlaşılır değilse, yani kişisel veri faaliyetine bağlanan bir yanlışlık söz konusuysa geçersizlik söz konusu olacaktır ve bu durumda işletmenin açık rıza metnine bağlı olarak işlediği kişisel verileri işlememesi gerektiği ortaya çıkacaktır. Açık rıza metni uygun olmamasına rağmen kişisel veriler işlendiği takdirde ise ise ağır cezalar uygulanacaktır. Miktar hakkında kesin bir şey söylenilmesi mümkün değildir. Ceza, kurumun takdirine bağlı olarak değişkenlik gösterebilir. Kısacası, cezasal durumlar söz konusu olabilir.

​

GDPR Yönetim Sürecinde Püf Noktalar Nedir?
Dokümantasyon Yönetimi
Dokümantasyonların yönetilmesi, izlenebilirliğinin ve güvenli erişilebilirliğinin sağlanması gerekir.

İlgili tarafla iletişimin güçlü olması
En etkili iletişim nasıl olacaksa, gelişme nasıl yönlendirileceğinin bulunması ve sağlanması, kurulun belirli bir iletişim stratejisi olması ve ilgili kişiyle sürekli temas halinde olunması gerekir. İletişimin araçlarının ne olduğu da çok önemlidir. Broşürler, posterler, reklamlar, basın toplantıları ve e posta gibi alakalı iletişim araçları kullanılabilir. İletişim yaklaşımları seçilirken hedef kitlenin ne olacağı, ihtiyaçlarının ne olduğu ve ilgi seviyesinin ne kadar olduğu belirlenmelidir. İletişimle alakalı değerlendirilmeler yapılmalıdır. İletişimin etkilerini görmek için yeterli süreye sahip olunmalıdır.

İhlal Yönetimi
Bir ihlal olduğu zaman ihlal olayının nasıl yönetileceğine yönelik bir tüzük, prosedür belirlenmesi icap etmektedir. Mümkün olduğu derecede tüzük uygulanmalıdır. Önce planın hazırlığı sonra ise müdahalenin nasıl gerçekleşeceği ve takibin devamının da getirilmesi oldukça önemlidir.

GDPR Hangi Şirketleri Etkiler?
GDPR genel olarak, Avrupa Birliği’nde yerleşik kişilere yönelik verilerin işletmeler tarafından tutulması durumunda varlığını sürdürebilir. İşletme, Avrupa Birliği’ne mal ya da hizmet sağlıyorsa, şirket GDPR’a tabiidir. Şirketin küçük olup olmadığının önemi yoktur. Verilerin kime ait olduğu ve hangi ülkenin vatandaşının verisi olduğu önemli olan noktadır. Amerika’da kapsamlı bir durum söz konusu değildir. Örneğin şu anda günümüzde olan WhatsApp ile ilgili gizlilikle alakalı güncellemenin Avrupa Birliği ülkelerine dayatılamamasının temel sebebi de GDPR’dır. Türkiye, Avrupa Birliği üyesi olmadığı için WhatsApp bize bu gizlilik ile alakalı güncellemeyi dayatmaktadır.

GDPR’a Uyulmazsa Ne Gibi Cezalar Uygulanır?
Para cezaları her vaka için etkili, orantılı ve caydırıcı olmalıdır. Cezanın değerlendirilip değerlendirilemeyeceği ve hangi düzeydeki cezanın değerlendirilebileceğine dair yetkililerin kararları için dikkate almaları gereken bir yasal kriter kataloğu vardır. Diğer şeylerin yanı sıra; kasıtlı ihlal, meydana gelen zararı hafifletmek için önlem alınmaması veya yetkililerle işbirliği yapılmaması cezaları artırabilir. 
Konunun ne kadar önemli olduğu, ne kadar dikkat edilmesi gerektiği, kamuoyunun bilinmesi ve buna yönelik önlemler, kapsamlar geliştirilmesi amacıyla cezalar yüksek tutulmaktadır.

GDPR cezaları zorunlu olmaktan ziyade isteğe bağlıdır. Durum bazında uygulanmalı ve “etkili, orantılı ve vazgeçirici” olmalıdır. Alabileceğiniz herhangi bir para cezası aşağıdakilere bağlı olacaktır;

•    İhlalin türü, ne kadar şiddetli olduğu ve ne kadar sürdüğü
•    Kasıtlı veya tesadüfi olup olmadığı
•    Bireylere (veri sahipleri) verilen zararı azaltmak için gerçekleştirdiğiniz eylemler
•    Güvenlik önlemleriniz
•    Bunun ilk GDPR ihlaliniz olup olmadığı
•    Sorunu çözerken ne kadar işbirlikçi davrandığınız
•    İlgili kişisel veri türleri
•    Denetim otoritesine kendiniz bildirip bildirmediğiniz
•    Onaylanmış davranış kurallarına veya sertifika programlarına uyup uymadığınız.