6698 sayılı Kişisel Verilerin Korunması Kanunu, Avrupa Birliği’nin 95/46/EC sayılı Direktifi çizgisinde hazırlanmış; 2016 yılında kabul edilip kademeli olarak yürürlüğe girmiştir. Direktifi yürürlükten kaldıran 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR) ise, Kanun’un kabulünden sonra Birlik içinde doğrudan uygulanmaya başlamıştır. 2/3/2024 tarihli ve 7499 sayılı Kanun ile KVKK’nın özellikle 6 ve 9 uncu maddeleri Tüzük’e daha yakın hâle getirilmiş olsa da, iki rejim hâlâ aynı metin değildir.
Bu yazı, iki düzenleme arasındaki başlıca farkları ve bir Türk şirketinin hangi şartlarda Tüzük kapsamına girebileceğini genel olarak açıklar. Amaç, “hangi kanun daha sıkıdır” karşılaştırması yapmak değil; uygulanacak metni doğru seçmektir. Somut faaliyetin yer bakımından Tüzük’e girip girmediği, işlenen verinin niteliği ve aktarım kanalları dosya bazında incelenir.
Kalemci Hukuk Bürosu, İzmir’de kişisel verilerin korunması ve GDPR ile bilişim hukuku alanındaki işleri yürütmektedir. Aşağıdaki bilgiler genel niteliktedir.
Yer bakımından uygulanma
KVKK, kural olarak Türkiye’de kişisel veri işleyen gerçek ve tüzel kişiler hakkında uygulanır. Yurt dışında yerleşik olup Türkiye’deki ilgili kişilere yönelik faaliyet yürüten veri sorumluları da, Veri Sorumluları Sicili mevzuatı ve Kurul uygulaması çerçevesinde yükümlülük altına girebilir; bu hâlde Türkiye’de temsilci atanması gündeme gelir.
GDPR’nin 3 üncü maddesi daha geniş bir yer bakımından uygulanma kuralı kurar. Tüzük, Birlik içinde yerleşik bir veri sorumlusu veya veri işleyenin, işleme faaliyeti Birlik içinde olmasa bile, kişisel verilerin işlenmesine uygulanır. Ayrıca, Birlik içinde yerleşik olmayan bir sorumlunun veya işleyenin, Birlik’teki ilgili kişilere mal veya hizmet sunması (ödeme yapılsın veya yapılmasın) ya da bu kişilerin Birlik’teki davranışlarını izlemesi hâlinde de Tüzük uygulanır. Bu ikinci hâl, Türkiye’de yerleşik şirketler yönünden pratik öneme sahiptir.
Bir e-ticaret sitesinin Avrupa Birliği’ndeki tüketicilere satışa açılması, Birlik dillerinde ve para birimlerinde ödeme kabul etmesi, Birlik’teki kişilere yönelik pazarlama yapması veya bu kişilerin site içi davranışlarını profillemek üzere izlemesi, Tüzük m.3 anlamında değerlendirmeyi gerektirir. Yalnızca bir Avrupa IP adresinden sitenin açılabilmesi, tek başına mal veya hizmet sunumu sayılmayabilir; tersine, “yalnızca Türkçe olduğu için Tüzük uygulanmaz” sonucu da otomatik olarak çıkmaz. Ölçüt, faaliyetin fiilen Birlik’teki kişilere yönelip yönelmediğidir.
Tüzük’ün uygulandığı hâlde, Türkiye’deki işleme faaliyetleri yönünden KVKK yükümlülükleri de kural olarak devam eder. İki rejimin aynı anda uygulanması, çatışma değil, çoğu kez yan yana uyum ihtiyacı doğurur.
Hukuki sebepler ve özel nitelikli veriler
KVKK’nın 5 inci maddesi, kişisel verilerin kural olarak açık rıza ile işleneceğini; bentlerde sayılan hâllerde ise açık rıza aranmaksızın işlenebileceğini düzenler. Bu bentler arasında kanunî öngörülebilirlik, sözleşme, hukuki yükümlülük, alenileştirme, hakkın tesisi ve meşru menfaat yer alır. GDPR’nin 6 ncı maddesi de benzer hukuki sebepler içerir; ancak Tüzük’te açık rıza, diğer sebeplerle yan yana duran bir hukuki sebeptir, “asıl kural / istisna” biçiminde kurgulanmamıştır. Pratikte her iki rejimde de, elde başka bir hukuki sebep varken işlemenin yalnızca rızaya dayandırılması, rızanın özgürlüğü bakımından sorun doğurabilir.
Özel nitelikli veriler yönünden fark, 7499 sayılı Kanun’dan sonra azalmıştır. KVKK’nın 6 ncı maddesinin üçüncü fıkrası, özel nitelikli verilerin işlenmesini kural olarak yasaklar; ardından açık rıza, kanunî öngörülebilirlik, hayat ve beden bütünlüğünün korunması, alenileştirme iradesine uygunluk, bir hakkın korunması, sağlık hizmetleri, istihdam ve sosyal güvenlik yükümlülükleri ile belirli kâr amacı gütmeyen kuruluş faaliyetleri gibi hâlleri sayar. Ayrıca Kurulca belirlenen yeterli önlemler alınmak zorundadır (m.6/4). GDPR’nin 9 uncu maddesi de yasak + istisnalar modelini kullanır. Yine de istisna listeleri ve “yeterli önlem” standartları birebir aynı değildir; sağlık veya biyometrik veri işleyen bir şirket, her iki metni ayrı ayrı kontrol etmelidir.
İlgili kişinin hakları da büyük ölçüde örtüşür: öğrenme, erişim, düzeltme, silme, aktarılan üçüncü kişilere bildirim ve zararın giderilmesi her iki rejimde de vardır. İki görünür fark öne çıkar. Birincisi, Tüzük’ün 20 nci maddesindeki veri taşınabilirliği hakkı, KVKK’nın 11 inci maddesinde ayrı bir hak olarak düzenlenmemiştir. İkincisi, Tüzük’ün 22 nci maddesi, ilgili kişiye, hukuki sonuç doğuran veya benzer şekilde ciddi etkileri olan, münhasıran otomatik işleme (profilleme dâhil) tâbi olmama hakkı tanır ve bunu istisnalara bağlar. KVKK’nın 11 inci maddesinin (g) bendi ise, münhasıran otomatik sistemler vasıtasıyla analiz edilmesi suretiyle kişi aleyhine bir sonuç ortaya çıkmasına itiraz etme hakkını düzenler. Bu, önleyici bir yasak değil, sonuç doğduktan sonra kullanılabilen bir itiraz hakkıdır.
Yurt dışına aktarım
7499 sayılı Kanun ile yenilenen KVKK’nın 9 uncu maddesi, Tüzük’teki kademeli modele yaklaşmıştır. Aktarım, 5 ve 6 ncı maddelerdeki şartlardan birinin varlığı kaydıyla; yeterlilik kararı, uygun güvenceler veya sınırlı ve arızi istisnalar üzerinden yapılabilir. Yeterlilik kararını Kurul verir, Resmî Gazete’de yayımlar ve en geç dört yılda bir değerlendirir.
Yeterlilik kararı yoksa uygun güvenceler gündeme gelir. Bunlar arasında, Kurulca onaylanan bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşme, Kurul iznine bağlı yazılı taahhütname ve kamu kurumları arasındaki belirli anlaşmalar yer alır. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi zorunludur (m.9/5). Bu bildirimin yapılmaması, 18 inci maddenin (d) bendindeki idari para cezasına tabidir; bu ceza veri sorumlusunun yanında veri işleyen hakkında da uygulanabilir (m.18/2).
GDPR’de yeterlilik, standart sözleşmeler, bağlayıcı şirket kuralları ve sınırlı istisnalar benzer biçimde yer alır. Ancak yeterlilik kararlarını Avrupa Komisyonu verir; standart sözleşmelerin içeriği ve denetim otoritesine bildirim usulü Tüzük ve Komisyon kararlarıyla ayrıca düzenlenir. Bir Türk şirketinin hem KVKK m.9 hem de Tüzük’ün 44 ve devamı maddeleri kapsamına girmesi, özellikle ortak bulut altyapısı ve grup içi aktarımlarda iki ayrı güvence setinin kurgulanmasını gerektirebilir.
İhlal bildirimi, görevli atama ve etki değerlendirmesi
KVKK’nın 12 nci maddesinin beşinci fıkrası, verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, durumun en kısa sürede ilgili kişiye ve Kurula bildirilmesini ister. “En kısa sürede” ifadesi, Kurul’un 24.01.2019 tarihli ve 2019/10 sayılı kararıyla 72 saat olarak yorumlanmıştır. Süre, ihlalin öğrenildiği andan itibaren işler. Tüzük’ün 33 üncü maddesinde 72 saat kuralı bizzat Tüzük metnindedir. Ayrıca Tüzük, ihlalin gerçek kişilerin hak ve özgürlükleri bakımından bir riske yol açmasının muhtemel olmadığı hâllerde denetim otoritesine bildirim zorunluluğunu kaldırır; 34 üncü madde, yüksek risk hâlinde ilgili kişiye bildirim öngörür. KVKK m.12/5, bu risk eşiğini açıkça yazmaz.
Tüzük’ün 37 nci maddesi, kamu kuruluşları, özel nitelikli verilerin geniş ölçekte işlenmesi veya ilgili kişilerin düzenli ve sistematik biçimde geniş ölçekte izlenmesi hâllerinde veri koruma görevlisi (DPO) atanmasını zorunlu kılar. KVKK’da genel bir DPO zorunluluğu yoktur. Sicile bildirilen irtibat kişisi, veri sorumlusunu temsile yetkili değildir ve DPO’nun yerini tutmaz. Tüzük’ün 35 inci maddesindeki veri koruma etki değerlendirmesi (DPIA) de KVKK’da genel bir kanuni yükümlülük olarak düzenlenmemiştir. Bu, risk değerlendirmesi yapılmayacağı anlamına gelmez; 12 nci maddedeki tedbir ve denetim ödevi, yüksek riskli işleme faaliyetlerinde belgelenmiş bir analizi fiilen gerektirir.
Yaptırımlar
KVKK’nın 18 inci maddesi, aydınlatma, veri güvenliği, Kurul kararlarına uyma, Sicile kayıt ve standart sözleşme bildirimi için ayrı idari para cezası aralıkları öngörür. Kanun metnindeki tutarlar, Kabahatler Kanunu’nun 17 nci maddesinin yedinci fıkrası uyarınca her yıl yeniden değerleme oranında artırılarak uygulanır. Kurum’un 31 Aralık 2025’te yayımladığı 2017–2026 tablosuna göre, 2026 yılı için uygulanan aralıklar şöyledir: aydınlatma yükümlülüğü (m.18/1-a) 85.437–1.709.200 Türk lirası; veri güvenliği (m.18/1-b) 256.357–17.092.242 Türk lirası; Kurul kararlarını yerine getirmeme (m.18/1-c) 427.263–17.092.242 Türk lirası; Sicile kayıt ve bildirim (m.18/1-ç) 341.809–17.092.242 Türk lirası; standart sözleşmenin Kuruma bildirilmemesi (m.18/1-d) 90.308–1.806.177 Türk lirası. 7499 sayılı Kanun ile, Kurul cezalarına karşı dava yolu idare mahkemeleri olarak belirlenmiştir (m.18/3).
GDPR’nin 83 üncü maddesi, ihlalin türüne göre 10 milyon avro veya bir önceki mali yıl dünya cirosunun yüzde 2’si ile 20 milyon avro veya cironun yüzde 4’ünden hangisi yüksekse o tavan üzerinden idari para cezası öngörür. İki sistemin hesaplama yöntemi farklıdır; birinin rakamının diğerine çevrilerek “daha ağır” veya “daha hafif” denmesi, somut ihlalin niteliği görülmeden yanıltıcı olur.
Ayrıca KVKK’nın 17 nci maddesi, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu’nun 135 ila 140 ıncı maddelerine atıf yapar. Tüzük bir ceza kanunu değildir; üye devletler kendi ceza hükümlerini ayrıca düzenler.
Türk şirketleri yönünden pratik sonuç
Avrupa Birliği’ndeki kişilere mal veya hizmet sunan, Birlik’teki davranışları izleyen, Birlik’te şube, bağlı şirket veya temsilci bulunduran ya da Birlik’te yerleşik bir işleyen kullanan Türk şirketlerinin, KVKK uyumunun yanında Tüzük m.3’ü de değerlendirmesi gerekir. Bu değerlendirme; gizlilik bildiriminin Tüzük haklarını kapsayıp kapsamadığı, AB temsilcisi atanıp atanmayacağı (Tüzük m.27), yurt dışı aktarım güvenceleri, ihlal müdahale planındaki 72 saat kuralının her iki rejim yönünden işletilip işletilemeyeceği ve gerekip gerekmediği ölçüde DPO ile etki değerlendirmesi sorularını içerir.
Yalnızca Türkiye’deki kişilere yönelik faaliyet yürüten bir şirket için asıl metin KVKK’dır. Bu hâlde bile, kullanılan yazılım ve barındırma hizmetinin veriyi yurt dışına aktarması, 9 uncu maddeyi gündeme getirir. Uyum, bir kez doldurulup kapanan bir form değil; iş modelleri, tedarikçiler ve aktarım kanalları değiştikçe güncellenen bir çerçevedir.
Sıkça sorulan sorular
KVKK’ya uyan bir şirket otomatik olarak GDPR’ye de uymuş sayılır mı? Sayılmaz. 7499 sayılı Kanun ile bazı hükümler yaklaşmış olsa da, yer bakımından uygulanma, veri taşınabilirliği, otomatik karar, DPO, etki değerlendirmesi, ihlalde risk eşiği ve yaptırım rejimi hâlâ farklıdır.
Türk şirketine GDPR ne zaman uygulanır? Tüzük m.3 uyarınca, şirket Birlik’te yerleşikse veya Birlik’teki ilgili kişilere mal ya da hizmet sunuyor yahut bu kişilerin Birlik’teki davranışlarını izliyorsa Tüzük uygulanabilir. Her somut faaliyet ayrıca değerlendirilir.
İrtibat kişisi DPO midir? Değildir. KVKK’daki irtibat kişisi, Sicil işlemlerinde iletişim sağlar ve veri sorumlusunu temsil etmez. Tüzük m.37’deki DPO, belirli hâllerde zorunlu olan ayrı bir roldür.
Yurt dışına veri aktarımı artık yalnızca açık rıza ile mi olur? Hayır. 7499 sayılı Kanun ile değişen m.9, yeterlilik kararı, uygun güvenceler (standart sözleşme, bağlayıcı şirket kuralları, taahhütname) ve sınırlı arızi istisnalar öngörür. Açık rıza, istisnai aktarım hâllerinden yalnızca biridir ve muhtemel riskler hakkında bilgilendirmeye bağlıdır.
72 saat kuralı her iki metinde de aynı mıdır? Süre olarak benzerdir; dayanak farklıdır. GDPR’de 72 saat Tüzük m.33’te yazılıdır ve belirli hâllerde risk eşiği vardır. KVKK’da süre, m.12/5’teki “en kısa sürede” ifadesinin 2019/10 sayılı Kurul kararıyla yorumudur.