GDPR: sınırı aşan kapsam

Altay Kargo yıllardır yalnız Türkiye'deki alıcılara teslimat yapıyor. Yönetim şimdi Almanya ve Avusturya'daki alıcılara doğrudan hizmet vermek istiyor. Pazarlama ekibi Almanca bir takip sayfası hazırladı, ödeme ekranına avro seçeneği ekledi.

Uyum ekibinin ilk sorusu basit: Bu karar şirketi Avrupa Birliği'nin kişisel veri kurallarına bağlar mı? Cevap Genel Veri Koruma Tüzüğü'nde, kısa adıyla GDPR'da durur. Bu derste önce tüzüğün kapsam maddesini okuyacaksın.

Sonra hedefleme göstergelerini gerçek bir sayfa yanıtında bulacaksın. Ardından temsilci, kayıt ve değerlendirme yükümlülüklerine geçeceksin. En sonda başvuru süresini, ihlal bildirimini ve ceza tavanlarını KVKK ile yan yana koyacaksın.

GDPR, 2016/679 sayılı Avrupa Birliği tüzüğüdür ve 25 Mayıs 2018'den beri uygulanıyor. KVKK, GDPR'ın kabulünden birkaç hafta önce, 7 Nisan 2016'da Resmî Gazete'de yayımlandı.

Örnek aldığı metin, GDPR'ın yerini aldığı 95/46 sayılı direktifti. Bu yüzden iki düzenleme aynı kavramları kullanır: veri sorumlusu, veri işleyen, ilgili kişi ve açık rıza. Aradaki en büyük fark hukuki araçta durur.

KVKK bir kanundur ve Türkiye'de geçerlidir. GDPR ise tüzüktür ve bütün üye devletlerde doğrudan uygulanır; üye devletin ayrıca kanun çıkarmasına gerek kalmaz. Bir tüzüğün sınırını metnin kendi kapsam maddesi çizer. GDPR'da bu madde 3'tür.

Madde 3 kapsamı iki ana yolla çizer. Birinci yol yerleşim yeridir (madde 3/1). Veri sorumlusunun ya da veri işleyenin Birlik'te bir işyeri varsa, o işyerinin faaliyetleri kapsamındaki işleme tüzüğe tabidir. İşlemenin Birlik içinde ya da dışında yapılması sonucu değiştirmez.

İkinci yol, Birlik'te yerleşik olmayan şirketler içindir (madde 3/2). Burada tüzük iki faaliyete bakar. Birincisi, Birlik'te bulunan kişilere mal ya da hizmet sunmaktır; hizmetin ücretli olması gerekmez.

İkincisi, bu kişilerin Birlik içindeki davranışını izlemektir. İki faaliyette de ölçüt, kişinin o anda Birlik'te bulunmasıdır. Vatandaşlık ve ikamet belirleyici değildir. Avrupalı bir turist Türkiye'deyken kargo gönderirse, o işlem ikinci yolun dışında kalır.

Uyum ekiplerinin en sık yaptığı hata, kapsamı şirket merkezine göre belirlemektir. "Avrupa'da ofisimiz yok" cümlesi yalnız birinci yolu kapatır, ikinci yol açık kalır. İkinci sık hata, KVKK uyumunu GDPR uyumu saymaktır. İki metin benzer kavramlar kullanır, ama süreleri, kayıt araçları ve yaptırımları farklıdır.

Biri ötekinin yerine geçmez; kapsama giren şirket ikisine ayrı ayrı uyar. Kapsam testi bu yüzden pazarlama kararından sonra değil, önce yapılır. Sayfa yayına girdikten sonra yapılan test çoğu zaman bir eksik listesine dönüşür.

Hizmet sunma yolu, şirketin Birlik'teki kişileri hedefleme niyetine bakar. Tüzüğün 23. gerekçe paragrafı ölçütü yazar. Sitenin Birlik'ten açılabilmesi tek başına yetmez.

Bir e-posta adresi ya da şirketin kendi ülkesinde konuşulan dil de yetmez. Buna karşılık bir üye devletin dili ya da parasıyla sipariş verilebilmesi niyeti gösterir. Birlik'teki müşterilerden söz edilmesi de aynı sonuca götürür.

Avrupa Veri Koruma Kurulu (EDPB), 3/2018 sayılı rehberinde listeyi genişletir. Bir üye devletin hizmetle birlikte adıyla anılması, Birlik kitlesine yönelik reklam, bir üye devletin alan adı uzantısı ve Birlik'e teslimat teklifi de gösterge sayılır. Göstergeler tek tek değil, birlikte tartılır.

Altay Kargo'nun uyum ekibi yeni sayfayı tarayıcıda açmakla yetinmez. Tarayıcı yanıt başlıklarını ve çerezleri ilk bakışta göstermez; komut satırı ise hepsini düz metin olarak döker. Ekip aşağıdaki iki komutu şirketin kendi takip sitesine karşı çalıştırır. İlk komut yanıt başlıklarını ekrana, sayfa gövdesini bir dosyaya yazar.

İkinci komut gövdede dil etiketini, teslimat cümlesini ve fiyat biçimini arar. Böylece kapsam kararı bir izlenime değil, kaydedilebilir bir kanıta dayanır.

$ curl -s -D - -o sayfa.html https://takip.altaykargo.example/de/sendungsverfolgung
HTTP/2 200
content-type: text/html; charset=utf-8
content-language: de-DE
set-cookie: ak_waehrung=EUR; Path=/; Secure
set-cookie: _rk_profil=u-7f3a91c2; Domain=.altaykargo.example; Max-Age=31536000; Secure

$ grep -o -E 'lang="de"|Lieferung nach [[:alpha:] ]+|[0-9]+,[0-9]{2} €' sayfa.html
lang="de"
Lieferung nach Deutschland und Österreich
4,90 €

Çıktıyı satır satır oku. Adres yolundaki /de/ bölümü ve content-language: de-DE başlığı, sayfanın Almanca konuşan kitleye yazıldığını gösterir. Almanca Türkiye'de yaygın kullanılan bir dil olmadığı için gösterge sayılır. İlk çerez ödeme ekranının avroyla açıldığını kaydeder; avro bir üye devlet parasıdır.

İkinci çerez bir reklam profili kimliği taşır ve bir yıl yaşar; onu bir sonraki bölümde izleme açısından ele alacaksın. Gövdedeki lang="de" etiketi dil göstergesini doğrular. "Lieferung nach Deutschland und Österreich" cümlesi, iki üye devleti adıyla anan bir teslimat teklifidir.

Avroyla yazılmış 4,90 € fiyatı sipariş imkânını tamamlar. Tek gösterge tartışılabilir, ama dördü birlikte açık bir niyet çizer. Sonuç: sayfa madde 3/2(a) kapsamındadır.

Kapsama girmek sayfayı kapatmak anlamına gelmez. Şirket tüzüğün yükümlülüklerini üstlenir ve hizmeti sürdürür. İlk somut adım, madde 27 uyarınca Birlik'te bir temsilci atamaktır; ayrıntısını sonraki bölümde göreceksin. Ekip kararı da yazıya döker: hangi göstergeye bakıldı, hangi sonuca varıldı, kararı kim onayladı.

Komut çıktısı bu kayda kanıt olarak eklenir. Bir denetim otoritesi yıllar sonra soru sorduğunda, şirket kapsamı bilerek değerlendirdiğini bu kayıtla gösterir. Sayfa değiştikçe test de yenilenir; yeni bir dil ya da ülke eklemek kararı yeniden açar.

Kapsamın ikinci yolu, Birlik'teki kişilerin davranışını izlemektir (madde 3/2(b)). Tüzüğün 24. gerekçe paragrafı izlemeyi, kişinin internette takip edilmesi ve hakkında profil çıkarılması diye açıklar. Amaç çoğu zaman tercihleri, davranışları ve tutumları çözümlemek ya da tahmin etmektir.

EDPB rehberi örnekleri sayar: davranışsal reklam, pazarlama amaçlı konum takibi, çerezle çevrim içi izleme ve kişiselleştirilmiş sağlık analizleri. Altay Kargo'nun sayfasındaki _rk_profil çerezi tam bu gruba girer. Reklam eklentisi, Almanya'daki ziyaretçilerin hangi sayfalara baktığını bir yıl boyunca aynı kimlikle eşleştirir. Sayfa Türkçe olsaydı bile, Birlik'teki ziyaretçiler bu yolla profillendiği sürece izleme yolu açık kalırdı.

Madde 3/2 kapsamına giren şirket, madde 27 uyarınca Birlik'te yazılı olarak bir temsilci atar. Temsilci, verisi işlenen kişilerin bulunduğu üye devletlerden birinde yerleşik olur; Altay Kargo için bu Almanya ya da Avusturya demektir. Temsilci, otoritelerin ve ilgili kişilerin şirkete ulaştığı adrestir. Atama şirketin kendi sorumluluğunu kaldırmaz.

İstisna dardır ve üç şartın birlikte gerçekleşmesini ister: işleme arızidir, büyük ölçekte özel nitelikli veri ya da ceza verisi içermez ve kişiler için risk doğurması beklenmez. Kamu kurumları da muaftır. Altay Kargo her gün teslimat yaptığı için işleme arızi değildir, istisna uygulanmaz. Temsilci atamamak, madde 83/4 kapsamında 10 milyon avroya ya da küresel cironun yüzde 2'sine kadar ceza riski taşır.

Kapsama giren şirket kayıt ve değerlendirme yükümlülüklerini de üstlenir. Madde 30, işleme faaliyetlerinin kaydını ister; uygulamada buna ROPA denir. Kayıt amaçları, veri kategorilerini, alıcıları, aktarımları ve saklama sürelerini gösterir.

KVKK'daki karşılığı veri işleme envanteridir. Madde 35, yüksek risk taşıyan işlemeden önce veri koruma etki değerlendirmesi (DPIA) ister; büyük ölçekli profil çıkarma tipik bir örnektir. Madde 37, ana faaliyeti büyük ölçekte düzenli ve sistematik izleme olan şirketten veri koruma görevlisi (DPO) atamasını ister.

VERBİS'in Birlik'te doğrudan karşılığı yoktur. GDPR merkezî bir kamu sicili kurmaz; şirket kaydı kendi tutar ve otorite isteyince gösterir. Altay Kargo bu yüzden Alman müşterilerine dair işlemeleri hem envantere hem ROPA'ya yazar.

GDPR ilgili kişiye geniş haklar tanır: erişim, düzeltme, silme, işlemeyi kısıtlama, taşınabilirlik ve itiraz. Silme hakkına gündelik dilde unutulma hakkı da denir. Usul madde 12/3'te yazılıdır. Şirket başvuruyu gecikmeden ve en geç bir ay içinde yanıtlar.

Başvuru karmaşıksa ya da sayıca çoksa süre iki ay daha uzar. Uzatma kararı ve gerekçesi ilk ay içinde kişiye bildirilir. Şikâyet yolu ise ayrı bir kapıdır.

Madde 77'ye göre kişi, tüzüğün ihlal edildiğini düşünürse denetim otoritesine doğrudan şikâyet edebilir. Önce şirkete başvurmak şart değildir. KVKK'da sıra zorunludur: kişi önce veri sorumlusuna başvurur, şikâyet yoluna ancak sonra gider (madde 13 ve 14).

KONU              GDPR                                KVKK
----------------  ----------------------------------  -------------------------------------
Başvuruya yanıt   Bir ay, gerekirse +2 ay (md. 12/3)  30 gün (md. 13)
Şikâyet           Doğrudan otoriteye (md. 77)         Önce veri sorumlusuna başvuru (md. 14)
İhlal bildirimi   Mümkünse 72 saat (md. 33)           72 saat (Kurul kararı 2019/10)
Kişiye bildirim   Yüksek riskte gecikmeden (md. 34)   Makul olan en kısa sürede
Kayıt aracı       Madde 30 kaydı, merkezî sicil yok   Envanter ve VERBİS
Ceza tavanı       20 milyon avro ya da ciro %4        TL tutarı, her yıl yeniden değerlenir

Tabloyu satır satır oku. İlk iki satır usul farkını gösterir: Alman müşteri Altay Kargo'ya hiç yazmadan da kendi otoritesine şikâyet edebilir. İhlal bildiriminde süreler benzer görünür.

Madde 33, ihlalin farkına varıldıktan sonra mümkünse 72 saat içinde otoriteye bildirim ister. Gecikirse bildirime gecikmenin gerekçesi eklenir. İhlalin kişiler için risk doğurması beklenmiyorsa bildirim gerekmez, ama her ihlal kayda geçirilir.

Madde 34, yüksek risk varsa ilgili kişilere de gecikmeden bildirim ister. Birlik dışı şirket için önemli bir ayrıntı daha var. Temsilci atamış olsa bile ihlali, etkilenen kişilerin yaşadığı her üye devletin otoritesine ayrı ayrı bildirir. Kayıt aracı satırında VERBİS'in karşılığı yoktur; son satır ise ceza hesabının mantığını gösterir.

Ceza tavanı iki kademelidir. Ağır kademe madde 83/5'te durur. Temel ilkelerin, ilgili kişi haklarının ya da yurt dışı aktarım kurallarının ihlali bu kademeye girer.

Tavan 20 milyon avro ya da önceki yılın küresel yıllık cirosunun yüzde 4'üdür; hangisi yüksekse o uygulanır. Madde 83/4 ise temsilci, kayıt, ihlal bildirimi ve veri koruma görevlisi gibi yükümlülükler için 10 milyon avro ya da yüzde 2 sınırını koyar. Ciro yalnız Birlik'teki gelir değildir, şirketin bütün dünyadaki cirosudur.

Gerçek hayatta milyar avroyu aşan kararlar görüldü: 2023'te bir sosyal ağ şirketine, Birlik'ten ABD'ye veri aktarımı yüzünden 1,2 milyar avro ceza verildi. Küçük bir e-ticaret sitesi de aynı kurala tabidir; ölçek yalnız ceza miktarını belirler.

GDPR tek Avrupa Birliği düzenlemesi değildir. Siber güvenlik tarafında da benzer bir sınır sorusu vardır, ama cevap farklı bir yoldan gelir. Sıradaki derste NIS2 direktifini göreceksin.

NIS2, GDPR gibi kişiye değil, kuruluşun sektörüne ve büyüklüğüne bakar. Türk şirketine de çoğu zaman kanun olarak değil, bir Avrupa müşterisinin sözleşmesi olarak ulaşır. Önce son bir alıştırmayla bu dersin kapsam sorusunu kendi cümlenle kur.