Avrupa Birliği'nin Genel Veri Koruma Yönetmeliği (GDPR), 25 Mayıs 2018'de yürürlüğe girdiğinde yalnızca AB'de yerleşik şirketleri değil, AB vatandaşlarının kişisel verilerini işleyen tüm dünya genelindeki şirketleri kapsamına aldı. Bu "ekstraterritorial" (AB sınırları ötesinde geçerli) yapı, Türkiye'den Avrupa pazarına e-ticaret yapan işletmeler için önemli yükümlülükler doğurmaktadır.
Bu rehberde, GDPR'ın Türk e-ihracatçılara nasıl uygulandığını, ne tür yükümlülükler getirdiğini ve uyumu nasıl sağlayabileceğinizi ele alıyoruz.
GDPR Türk Şirketlerine Ne Zaman Uygulanır?
GDPR'ın uygulanabilirliği için AB'de fiziksel varlık zorunluluğu yoktur. Yönetmeliğin 3. maddesi, aşağıdaki iki durumdan birinin varlığında AB dışındaki şirketlere de uygulanır:
1. AB'deki Bireylere Mal veya Hizmet Sunma (Arz Testi)
Siteniz açıkça AB pazarına yönelik ise GDPR geçerlidir. AB'ye yönelik pazarlama işaretleri şunlardır:
- Sitenizin Almanca, Fransızca, İtalyanca veya diğer AB dilleri versiyonu
- Euro (€) veya diğer AB para birimleriyle fiyat gösterimi
.de,.fr,.eugibi AB TLD'leri- AB ülkelerine teslimat seçeneklerinin açıkça sunulması
- AB pazarını hedef alan dijital reklamlar
2. AB'deki Bireylerin Davranışlarını İzleme (İzleme Testi)
Çerezler, piksel izleme veya parmak izi teknikleriyle AB'deki bireylerin çevrimiçi davranışlarını izliyorsanız GDPR geçerlidir. Bu kriter, AB vatandaşları sitenize rastgele gelip alışveriş yapsa bile uygulanabilir.
Pratik Sonuç
Avrupa'ya ürün gönderiyorsanız veya Avrupa pazarına yönelik Google/Meta reklamları çalıştırıyorsanız, GDPR yükümlülükleri sizi bağlar.
GDPR ile KVKK Arasındaki Temel Farklar
Her ikisi de kişisel veri koruma mevzuatı olsa da önemli farklar bulunmaktadır:
| Konu | KVKK | GDPR |
|---|---|---|
| Veri ihlali bildirimi | Makul süre içinde | 72 saat içinde |
| Unutulma hakkı | Var (m.11) | Daha geniş kapsamlı (Art.17) |
| Veri taşınabilirliği | Yok | Var (Art.20) |
| DPO zorunluluğu | Yok | Belirli durumlarda zorunlu |
| İdari para cezaları | Sabit limitler | Global ciroya yüzde oranı (4% veya 20M€) |
| Açık rıza | Gerekli | Gerekli + daha katı koşullar |
| Veri koruma etki değerlendirmesi | Yok | Yüksek riskli işlemler için zorunlu |
GDPR cezaları Türkiye'de uygulanması açısından sınırlı olsa da AB'de sahip olduğunuz varlık, banka hesabı veya iş ortaklıkları üzerinden icra edilebilir. Ayrıca GDPR ihlali, AB'deki pazarlama ortaklarınız, ödeme sağlayıcılarınız veya kurumsal müşterilerinizle ilişkilerinizi doğrudan etkileyebilir.
AB Temsilcisi (EU Representative) Zorunluluğu
GDPR'ın 27. maddesi, AB'de yerleşik olmayan ancak GDPR kapsamındaki veri işleyen şirketlerin AB'de bir temsilci atamasını zorunlu kılar. Bu temsilci, denetim otoriteleri ve veri sahipleriyle iletişim noktası işlevi görür.
İstisnalar:- Kişisel veri işlemenin istisnai ve nadiren yapıldığı durumlar
- Geniş ölçekli özel kategori veri veya mahkûmiyet/suç verisi işlenmediği durumlar
AB temsilcisi bir kişi, şirket veya hukuk bürosu olabilir. Üye devletlerden herhangi birinde (örneğin Almanya, Hollanda veya Estonya) yerleşik olması yeterlidir.
Bu hizmeti sağlayan ticari servisler mevcuttur; yıllık birkaç yüz Euro ile bin Euro arasında değişen maliyetlerle AB temsilcisi hizmeti satın alabilirsiniz.
Veri Transfer Mekanizmaları
GDPR, kişisel verilerin AB dışına aktarılmasını sıkı kurallara bağlar. Türkiye'nin AB tarafından "yeterli koruma düzeyi sağlayan ülkeler" listesinde bulunmadığını (2026 itibarıyla bu statü değişmemiştir) hatırlatmak gerekir. Bu durum, AB'den Türkiye'ye kişisel veri aktarımını otomatik olarak gerçekleştiremeyeceğiniz anlamına gelir.
Standart Sözleşme Maddeleri (Standard Contractual Clauses - SCC)
AB Komisyonu tarafından onaylanmış ve 2021'de güncellenen SCC'ler, veri transferlerinin hukuka uygun biçimde gerçekleştirilmesini sağlayan sözleşme şablonlarıdır. AB'deki bir iş ortağı veya tedarikçiyle çalışıyorsanız, veri transferini meşrulaştırmak için SCC imzalamanız gerekmektedir.
Dikkat: Schrems II kararının ardından SCC tek başına yeterli olmayabilir; ayrıca Transfer Impact Assessment (TIA) yapılması ve gerektiğinde teknik önlemler alınması beklenmektedir.
Bağlayıcı Şirket Kuralları (Binding Corporate Rules - BCR)
Çok uluslu şirket gruplarına yönelik bu mekanizma, grup içi veri transferlerini düzenler. Küçük ve orta ölçekli e-ticaret işletmeleri için pratikte kullanışlı değildir.
Açık Rıza
Bireyden açık ve aydınlatılmış rıza alınması da bir transfer mekanizması olarak kullanılabilir. Ancak bu seçenek, toplu veri işleme için ölçeklenebilir değildir ve rıza geri çekildiğinde işleme durdurulmalıdır.
Privacy by Design ve Privacy by Default
GDPR'ın 25. maddesi, veri koruma ilkelerinin ürün ve hizmetlere baştan entegre edilmesini zorunlu kılar.
Privacy by Design İlkeleri
- Veri toplama tasarım aşamasında minimize edilir (yalnızca gerekli veri).
- Veri güvenliği baştan sisteme entegre edilir.
- Şifreleme, pseudonymization gibi teknikler varsayılan olarak kullanılır.
- Kullanıcı kontrol mekanizmaları kullanıcı arayüzünün ayrılmaz parçasıdır.
Privacy by Default
Varsayılan ayarlar her zaman en gizlilik-dostu seçenek olmalıdır. Örneğin yeni kullanıcı kaydında:
- Pazarlama onay kutularının varsayılan olarak boş gelmesi
- Analitik çerezlerin rıza olmadan yüklenmemesi
- Profil görünürlüğünün varsayılan olarak "gizli" olması
Veri İşleme Faaliyetleri Kaydı (ROPA)
GDPR'ın 30. maddesi, 250'den az çalışanı olan işletmelere kural olarak bir istisna tanısa da risk taşıyan veri işlemleri için kayıt yine de tutulmalıdır. E-ticaret işletmeleri ödeme verileri ve kişisel veri profilleme yaptığından bu kapsama girer.
ROPA, KVKK'daki veri envanterine benzer ancak farklı yapıdadır ve şunları içermelidir:
- Veri işleme faaliyetinin adı ve amacı
- İşlenen veri kategorileri
- Alıcı kategorileri
- Üçüncü ülkelere transfer ve güvenceler
- Saklama süreleri
- Teknik ve idari güvenlik önlemleri
Veri Koruma Görevlisi (DPO): Zorunlu musunuz?
GDPR, aşağıdaki durumlardan birinin varlığında DPO atanmasını zorunlu kılar:
- Kamu otoritesi veya kamu kurumu olunması
- Geniş ölçekli ve düzenli veri izleme yapılması (profilleme, hedefli reklamlar)
- Geniş ölçekli özel kategori veri veya mahkûmiyet verisi işlenmesi
Büyük bir AB e-ticaret kitlesi hedefleyen ve kapsamlı profilleme yapan bir işletme büyük olasılıkla DPO atamakla yükümlüdür. DPO, şirket içi bir çalışan ya da dışarıdan hizmet alınan uzman olabilir.
Pratik Uyum Yol Haritası
AB'ye e-ihracat yapan bir Türk işletmesi için minimum uyum adımları:
1. Hazırlık:- GDPR'ın uygulanıp uygulanmadığını değerlendirin.
- Veri akışlarını haritalayın; AB vatandaşlarının verisi ayrı ele alınmalıdır.
- ROPA oluşturun.
- Veri işleme sözleşmelerini (DPA) iş ortaklarıyla güncelleyin.
- SCC'leri gerektiği durumlarda imzalayın.
- AB ziyaretçilerine özel GDPR uyumlu çerez banner'ı ekleyin.
- Gizlilik bildirimi GDPR gereksinimlerini karşılayacak şekilde düzenleyin.
- Veri sahibi hakkı talep formlarını hayata geçirin.
- AB kullanıcı verilerini ayrı segmentte işleyebilmek için altyapı hazırlayın.
- Veri ihlali tespiti ve 72 saatlik bildirim sürecini tasarlayın.
- AB temsilcisi atayın.
- DPO değerlendirmesi yapın; gerekiyorsa atayın.
- Çalışanları GDPR ilkeleri konusunda eğitin.
Sonuç
GDPR, Türkiye'den AB'ye satış yapan e-ticaret işletmeleri için gerçek bir yükümlülük getirmektedir. Bu yükümlülüğü göz ardı etmek hem hukuki risk hem de iş ortaklarıyla (ödeme sağlayıcıları, lojistik firmaları, marketplace'ler) ilişkileri tehlikeye atma riski taşır.
GDPR uyumunu gereksiz bir yük olarak değil, AB pazarına erişimin biletiymiş gibi düşünmek bakış açısını değiştirir. Güçlü veri koruma uygulamaları, Avrupalı tüketicilerin güvenini kazanmak ve sürdürülebilir büyüme sağlamak için rekabetçi bir avantaja dönüşür.
