GDPR'a Uyumlu Şirket KVKK'ya da Uyumlu Sayılır mı? 10 Kritik Fark

GDPR uyumu neden yetmeyebilir?

Avrupa Birliği'nde faaliyet gösteren pek çok grup şirketi, Türkiye'deki iştirakine GDPR (AB Genel Veri Koruma Tüzüğü, 2016/679) için hazırlanmış politika setini gönderir ve uyum çalışmasının tamamlandığını varsayar. Gdpr kvkk farkları ise bu varsayımı çoğu zaman ilk denetimde, ilk ilgili kişi başvurusunda ya da ilk yurt dışı aktarım sorusunda boşa çıkarır.

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), AB'nin eski 95/46/EC sayılı Direktifinden esinlenerek hazırlandı ve 2024'te 7499 sayılı Kanunla önemli değişiklikler geçirdi. Bu nedenle iki rejim aynı kavramları kullanır ama aynı sonuçları her zaman doğurmaz. Bu yazıda ortak zemini ve Türkiye operasyonu için kritik olan on farkı özetliyoruz.

Ortak ilkeler

İki düzenlemenin omurgası benzerdir. KVKK'nın 4. maddesi; hukuka ve dürüstlük kurallarına uygunluk, doğruluk ve güncellik, belirli, açık ve meşru amaçlar, amaçla bağlantılı, sınırlı ve ölçülü olma ile gerekli süre kadar muhafaza ilkelerini sayar. GDPR'ın 5. maddesi de benzer ilkeleri içerir; ayrıca hesap verebilirliği (ilkelere uyumu ispat yükümlülüğü) açıkça düzenler.

Aydınlatma yükümlülüğü, ilgili kişi hakları, veri güvenliği tedbirleri, veri sorumlusu ile veri işleyen ayrımı ve özel nitelikli verilere sıkı koruma her iki rejimde de vardır. Bu ortaklık, GDPR'a hazırlanmış bir kurumun veri envanteri, erişim yönetimi ve tedarikçi sözleşmeleri gibi altyapıyı büyük ölçüde yeniden kullanabileceği anlamına gelir.

Sorun, ortak kavramların arkasındaki ayrıntılardadır. Örneğin KVKK'da “meşru menfaat” de vardır, “açık rıza” da; fakat bu kavramların hangi sırayla ve hangi koşulla kullanılacağı GDPR'dan farklı kurulmuştur. Uyum programı bu ayrıntılar gözden kaçırılarak yerelleştirilirse, belgeler doğru görünse bile işlemler hukuki dayanaksız kalabilir.

Hukuki sebeplerde farklar

GDPR'ın 6. maddesi altı hukuki sebebi eşit seviyede sayar; rıza bunlardan yalnızca biridir. KVKK'nın 5. maddesi ise kuralı “kişisel veriler ilgili kişinin açık rızası olmaksızın işlenemez” cümlesiyle kurar ve ardından açık rıza aranmayan şartları sayar: kanunlarda açıkça öngörülmesi, fiili imkânsızlık, sözleşmenin kurulması veya ifası, hukuki yükümlülük, alenileştirme, bir hakkın tesisi, kullanılması veya korunması ve meşru menfaat.

Uygulamada iki fark öne çıkar. Birincisi, GDPR'daki “kamu yararına yürütülen görev” sebebinin KVKK'da doğrudan bir karşılığı yoktur. İkincisi, KVKK'daki meşru menfaat şartı “zorunlu olma” ve ilgili kişinin temel hak ve özgürlüklerine zarar vermeme koşuluna bağlıdır; GDPR için yapılmış bir meşru menfaat değerlendirmesi Türk hukukuna göre yeniden yazılmalıdır.

Özel nitelikli verilerde de liste farklıdır. KVKK'nın 6. maddesi; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri sayar. “Kılık ve kıyafet” GDPR'ın 9. maddesinde yer almaz; ceza mahkûmiyeti verileri ise GDPR'da ayrı bir madde (10. madde) altında düzenlenir. 7499 sayılı Kanunla değişen 6. madde, özel nitelikli veriler için kendi kapalı şart listesini getirmiştir.

Aydınlatma ve açık rızanın aynı metinde birleştirilmesi de sık görülen bir aktarım hatasıdır. Kurul, aydınlatma ile açık rızanın ayrı yürütülmesi gerektiğini ilke kararıyla vurgulamıştır; bu konuyu aydınlatma ve açık rıza ayrımı yazımızda ele aldık.

Yurt dışı aktarım rejimi

Aktarım, global şirketler için en pahalı farktır. 7499 sayılı Kanunla yeniden düzenlenen KVKK'nın 9. maddesi GDPR'a benzer üç kademeli bir yapı kurdu: yeterlilik kararı, uygun güvenceler ve arızi aktarımlar için istisnai hâller. Ancak kademelerin içi farklı doldurulur.

Yeterlilik kararı: Yeterlilik kararını Kişisel Verileri Koruma Kurulu verir ve Resmî Gazete'de yayımlar. AB Komisyonu'nun bir ülke için verdiği yeterlilik kararı Türkiye bakımından sonuç doğurmaz. Yazının hazırlandığı tarihte Kurul'un yayımlanmış bir yeterlilik kararı bulunmadığı görülmektedir; güncel durum Kurum internet sitesinden kontrol edilmelidir.

Standart sözleşme: AB'nin standart sözleşme maddeleri (SCC) Türkiye'den yapılan aktarımlar için kullanılamaz. Kurul'un ilan ettiği dört tür standart sözleşmeden uygun olanı, metni değiştirilmeden imzalanır ve imzadan itibaren beş iş günü içinde Kurum'a bildirilir.

Bağlayıcı şirket kuralları: GDPR kapsamında onaylanmış bağlayıcı şirket kuralları (BCR) Türkiye'de kendiliğinden geçerli değildir; Kurul'dan ayrıca onay alınması gerekir.

Arızi aktarım: Açık rıza veya sözleşmenin ifası gibi istisnai hâller yalnızca düzenli olmayan, tek veya birkaç sefer gerçekleşen aktarımlarda kullanılabilir.

Yönetmelik, yurt dışındaki bir kişinin veriye erişebilir hâle getirilmesini de aktarım sayar. Bu nedenle merkezdeki bir ekibin Türkiye'deki sistemlere uzaktan erişmesi de bu rejimin kapsamındadır. Kurum'un uygulama rehberine ilişkin değerlendirmemizi yurt dışına veri aktarımı rehberi yazısında bulabilirsiniz.

VERBİS ve kayıt

GDPR'ın 30. maddesi, işleme faaliyetlerinin kurum içinde kayıt altına alınmasını ister; bu kayıt bir kamu siciline yüklenmez ve denetim makamının talebi üzerine sunulur. KVKK'nın 16. maddesi ise kamuya açık bir Veri Sorumluları Sicili öngörür ve kayıt, Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) üzerinden yapılır.

Kurul kararlarıyla belirlenen istisna, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumlularını kapsar; ana faaliyeti özel nitelikli veri işlemek olanlar için eşikler daha düşüktür. Ayrıntıları VERBİS istisnası yazımızda anlattık.

Global şirketler için iki nokta önemlidir. Türkiye'deki iştirak ayrı bir tüzel kişi olarak kendi eşiklerine göre değerlendirilir. Türkiye'de yerleşik olmayan bir veri sorumlusu ise Türkiye'deki ilgili kişilerin verisini işliyorsa, Türkiye'de yerleşik bir tüzel kişiyi veya Türk vatandaşı bir gerçek kişiyi “veri sorumlusu temsilcisi” olarak atayarak kayıt olur. Sicile kayıtlı veri sorumluları ayrıca Kurum ile iletişimi sağlayacak bir irtibat kişisi bildirir; bu rol GDPR'daki veri koruma görevlisi (DPO) ile aynı değildir.

İhlal bildirimi ve başvuru süreleri

Veri ihlali bildirimi: GDPR'ın 33. maddesi, ihlalin gerçek kişilerin hak ve özgürlükleri için risk oluşturmasının muhtemel olmadığı hâller dışında, denetim makamına mümkünse 72 saat içinde bildirim ister. KVKK'nın 12. maddesinin beşinci fıkrası ise böyle bir risk eşiği içermez: veriler kanuni olmayan yollarla başkaları tarafından elde edilmişse veri sorumlusu durumu en kısa sürede ilgilisine ve Kurul'a bildirir. Kurul, 2019/10 sayılı kararında bu süreyi ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlamıştır.

İlgili kişi başvuruları ve şikâyet: GDPR'da başvurular bir ay içinde yanıtlanır ve gerekirse iki ay uzatılabilir. KVKK'nın 13. maddesi ise talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde, kural olarak ücretsiz yanıt verilmesini ister; uzatma imkânı yoktur. Hak listesi de farklıdır: KVKK'nın 11. maddesinde GDPR'daki veri taşınabilirliği ve işlemenin kısıtlanması hakları ayrıca düzenlenmemiştir.

Şikâyet usulü de ayrışır. GDPR'da ilgili kişi doğrudan denetim makamına başvurabilir. KVKK'nın 14. maddesine göre ise önce veri sorumlusuna başvurmak gerekir; şikâyet, cevabın öğrenildiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurul'a yapılabilir.

10 farkın özet tablosu

Aşağıdaki tablo, Türkiye operasyonu için gözden geçirilmesi gereken on farkı tek bakışta gösterir. Yaptırımlar da farklıdır: KVKK idari para cezalarının yanında, 17. maddesiyle Türk Ceza Kanunu'nun 135–140. maddelerine atıf yaparak cezai sorumluluk da öngörür. Güncel ceza tutarlarını 2026 KVKK cezaları yazımızda bulabilirsiniz.

Tablo, karşılaştırmayı kolaylaştırmak için sadeleştirilmiştir; her satırın somut olaya uygulanması ayrı değerlendirme gerektirir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

GDPR ve KVKK: 10 kritik fark

Sonuç ve sonraki adım

GDPR'a uyumlu bir şirket KVKK'ya sağlam bir zeminden başlar; ancak bu zemin otomatik uyum anlamına gelmez. Gdpr kvkk farkları en çok hukuki sebeplerin kurgusunda, yurt dışı aktarım araçlarında, VERBİS kaydında, ihlal bildiriminde ve başvuru sürelerinde ortaya çıkar. Bu alanlardaki boşluklar, belgeler eksiksiz görünse bile Türkiye'deki işlemleri dayanaksız bırakabilir.

İlk adım olarak Türkiye'deki veri akışlarını, özellikle merkeze ve grup şirketlerine giden akışları çıkarmak ve yukarıdaki on maddeyle karşılaştırmak yerinde olur. GDPR ile KVKK arasındaki geçişe dair daha geniş bir çerçeve için KVKK'dan GDPR'a geçiş yazımıza, kurumsal yol haritası için KVKK danışmanlığı sayfamıza göz atabilirsiniz.

Sık sorulan sorular