KVKK, büyük ölçüde Avrupa Birliği'nin eski veri koruma direktifinden esinlenerek hazırlandı. GDPR ise 2018'de yürürlüğe girip çıtayı yükseltti. Bu yüzden iki mevzuat benzer görünür ama bazı noktalarda ayrışır.
Yurt dışı müşterisi olan işletmeler için bu fark teoride kalmaz; ikisine birden uymanız gerekebilir.
Bu yazı bilgilendirme amaçlıdır, hukuki görüş değildir.
Kapsam farkı
KVKK, Türkiye'de veri işleyenleri kapsar.
GDPR ise coğrafi olarak değil, veri öznesine göre çalışır: AB'de bulunan kişilere mal veya hizmet sunuyorsanız ya da davranışlarını izliyorsanız, Türkiye'de olsanız bile GDPR kapsamına girersiniz.
Yani AB'li müşteriye satış yapan bir Türk işletmesi her iki mevzuata da tabidir.
Hukuki sebepler
İki mevzuat da rızayı tek dayanak saymaz ve alternatif sebepler tanır.
GDPR'da "meşru menfaat" açıkça düzenlenmiştir ve yaygın kullanılır.
KVKK'da da meşru menfaat vardır ancak uygulamada Kurul yorumları daha dardır. Aynı işlemi GDPR'da meşru menfaatle yapabilirken KVKK'da farklı değerlendirilebilir.
İlgili kişi hakları
Ortak haklar: bilgi talep etme, düzeltme, silme, işlemeye itiraz.
GDPR'da ek olarak veri taşınabilirliği hakkı vardır: kişi verilerini makine tarafından okunabilir biçimde alıp başka sağlayıcıya taşıyabilir. KVKK'da bu hak açıkça yer almaz.
Yanıt süreleri de farklıdır. KVKK'da en geç 30 gün, GDPR'da bir ay (uzatılabilir).
Veri koruma görevlisi
GDPR belirli hallerde veri koruma görevlisi (DPO) atanmasını zorunlu kılar.
KVKK'da DPO kavramı yoktur; bunun yerine VERBİS kaydı ve irtibat kişisi düzeni vardır. VERBİS kayıt zorunluluğu yazımıza bakabilirsiniz.
Yurt dışına aktarım
İki mevzuatın en çok ayrıştığı ve uygulamada en çok sorun çıkaran başlık budur.
GDPR'da yeterlilik kararı, standart sözleşme maddeleri gibi araçlar tanımlıdır.
KVKK'da yurt dışına aktarım için de benzer mekanizmalar bulunur ve 2024'teki değişikliklerle standart sözleşme yolu netleştirilmiştir. Yine de aktarım öncesi hukuki değerlendirme şarttır.
Bulut hizmeti kullanıyorsanız verinin fiziksel olarak nerede tutulduğunu bilmeniz gerekir.
İhlal bildirimi
GDPR'da 72 saat içinde denetim otoritesine bildirim yapılır.
KVKK'da da 72 saat kuralı geçerlidir. Veri ihlali bildirimi nasıl yapılır yazımızda süreci anlattık.
Pratik yaklaşım
İki mevzuata birden tabiyseniz, daha sıkı olan kurala göre kurgulayın.
Tek bir veri envanteri tutun ve her veri için hangi mevzuatın uygulandığını işaretleyin.
Aydınlatma metinlerinizi iki dilde hazırlayın; AB'li müşteriye Türkçe metin sunmak yeterli olmaz.
Sık Sorulan Sorular
Türkiye'deki işletme GDPR'a tabi olur mu?
AB'de bulunan kişilere hizmet sunuyor ya da davranışlarını izliyorsanız tabi olabilirsiniz.
KVKK ile GDPR'ın cezaları aynı mı?
Hayır. GDPR'da cezalar cirodan hesaplanabilir ve çok daha yüksek üst sınırlara ulaşır.
İki mevzuata birden nasıl uyum sağlanır?
Daha sıkı olan kurala göre süreç kurmak, iki ayrı sistem yürütmekten pratiktir.
Veri taşınabilirliği KVKK'da var mı?
GDPR'daki gibi açık bir hak olarak düzenlenmemiştir.