KVKK ve GDPR çoğu zaman aynı programın farklı isimleri gibi anlatılır. Bu yaklaşım risklidir. İlkeler arasında benzerlik olsa da kapsam, veri işleme şartları, aydınlatma, aktarım, güvenlik tedbirleri, veri işleyen ilişkileri, ilgili kişi hakları ve kanıt beklentileri ayrı ayrı değerlendirilmelidir.
Yönetim için kısa özet
Şirketler için pratik amaç her maddeyi ezberlemek değil, üç soruya tutarlı cevap verebilmektir: hangi kişisel verileri işliyoruz, bu işleme hangi hukuki ve sözleşmesel zemine dayanıyor, kontrollerin çalıştığını hangi kanıtlarla gösteriyoruz?
AB müşterilerine hizmet veren bir Türk şirketi GDPR beklentileriyle karşılaşabilir. Türkiye kullanıcılarına hizmet veren yabancı bir SaaS şirketi KVKK beklentileriyle karşılaşabilir. Global bir tedarikçi ise ikisini birlikte yönetmek zorunda kalabilir.
Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.
Kimler için geçerli?
Bu rehber; SaaS şirketleri, pazar yerleri, servis sağlayıcıları, insan kaynakları platformları, fintech araçları, analiz ürünleri, destek operasyonları ve kişisel veri işleyen diğer teknoloji ekipleri için uygundur.
Yerel bir şirket kurmuş olmak veya kurmamış olmak tek başına yeterli cevap değildir. Kullanıcı, çalışan, müşteri, aday veya potansiyel müşteri verisinin nerede, neden, kim tarafından ve hangi tedarikçilerle işlendiği görünür olmalıdır.
Pratik karşılaştırma alanları
Kapsam ve sorumluluk
Önce politika metninden değil, işleme faaliyetinden başlayın. Veri sahibi grubu, veri kategorisi, sistem, amaç, sahip, saklama yeri, veri işleyen, saklama süresi ve aktarım yolu bilinmelidir.
Aydınlatma ve işleme şartı
Aydınlatma metinleri gerçek veri akışıyla uyumlu olmalıdır. Başka bir siteden alınan genel metin ürününüzü kapsamayabilir. Metinler ürün, rol, amaç, saklama, üçüncü taraflar ve hak talepleriyle uyumlu olmalıdır.
Tedarikçi ve veri işleyen riski
Büyüyen şirketler bulut, analiz, destek, e-posta, CRM, ödeme, AI aracı ve güvenlik tedarikçileri kullanır. Mahremiyet hazırlığı veri işleyen incelemesi, sözleşme kontrolü, güvenlik kanıtı, alt işleyen görünürlüğü ve yenileme kontrolünü içermelidir.
Yurt dışı aktarım
Uluslararası aktarımlar dikkatli değerlendirilmelidir. GDPR kapsamında Chapter V transfer mekanizmaları ve EDPB rehberleri vardır. KVKK da kendi aktarım kurallarına ve Kurul uygulamasına sahiptir. Aktarım çalışmasını tek cümlelik bir aydınlatma maddesi olarak değil, hukuki ve operasyonel kontrol olarak ele alın.
Pratik kontrol listesi
- Müşteri, çalışan, tedarikçi, aday ve web sitesi verisi için işleme envanteri oluşturun.
- Sistemleri, saklama lokasyonlarını, alt veri işleyenleri ve yurt dışı aktarım yollarını haritalayın.
- Aydınlatma metinlerini gerçek işleme faaliyetlerine göre kontrol edin.
- Hukuki sebep, rıza noktaları ve sözleşme bağımlılıklarını hukuk danışmanlarıyla gözden geçirin.
- İlgili kişi talebi için başvuru, kimlik doğrulama, süre ve yanıt sahiplerini tanımlayın.
- Erişim kontrolü, şifreleme, loglama, saklama, imha ve yedek süreçlerini kanıtlayın.
- Yüksek etkili veri işleyenler için mahremiyet ve güvenlik gözden geçirme ritmi kurun.
- Hukuk, güvenlik ve müşteri güven ekiplerinin kullanacağı ortak kanıt indeksi oluşturun.
Yaygın hatalar
İlk hata, KVKK ve GDPR çalışmalarını yalnızca web sitesi metinleri olarak görmektir. Metinler önemlidir, ancak veri envanteri, güvenlik kontrolleri, hak talepleri, tedarikçi yönetimi ve olay müdahalesiyle desteklenmelidir.
İkinci hata, yurt dışı aktarımları belirsiz ifadelerle geçiştirmektir. Müşteriler ve düzenleyiciler veri lokasyonu, alt tedarikçiler ve transfer güvenceleri konusunda daha net bilgi bekler.
Üçüncü hata, mahremiyeti güvenlikten koparmaktır. Kişisel verinin korunması erişim kontrolü, şifreleme, izleme, zafiyet yönetimi, olay müdahalesi ve tedarikçi risk yönetimine bağlıdır.
İlk ne yapılmalı?
En yüksek müşteri, çalışan veya düzenleyici etkiye sahip ilk beş işleme faaliyetini seçin. Her biri için amaç, veri kategorisi, sistem, sahip, veri işleyen, aktarım yolu, saklama süresi ve güvenlik kanıtını yazın. Sonra hangisinin hukuk incelemesi, hangisinin güvenlik iyileştirmesi gerektirdiğini ayırın.
İlgili başlangıç noktaları: KVKK ve GDPR Danışmanlığı, Yapay Zeka Yönetişimi, Tedarikçi Risk Yönetimi ve ISO 27701.
Resmi kaynaklar
KVKK için Kişisel Verileri Koruma Kurumu kaynakları, GDPR için Avrupa Komisyonu ve uluslararası aktarımlar için EDPB kaynakları esas alınmalıdır.
Sık sorulan sorular
Bu içerik hukuki danışmanlık mıdır?
Hayır. Bu yazı genel bilgilendirme amaçlıdır ve şirketinize özel hukuki değerlendirme yerine geçmez.
İlk adım ne olmalı?
En yüksek riskli kişisel veri işleme faaliyetleri için veri envanteri, sistem haritası, tedarikçi listesi, aktarım görünümü ve kanıt indeksi oluşturulmalıdır.
Kaynaklar
Bu içerik eğitim amaçlıdır. Hukuki görüş, resmi denetim sonucu veya uyumluluk garantisi değildir.