GDPR ve Türk Şirketleri: AB'ye Dokunan Herkesin Bilmesi Gerekenler

GDPR bir AB tüzüğü — ama uygulama alanı AB'de kurulu şirketlerle sınırlı değil. Madde 3(2), tüzüğün en az bilinen ve Türk şirketleri için en kritik hükmüdür: AB'de bulunan kişilere mal veya hizmet sunuyorsanız ya da onların davranışlarını izliyorsanız, şirketiniz nerede kurulu olursa olsun GDPR size uygulanır.

"AB'ye satış yapmıyoruz" yeterli bir savunma mı?

Madde 3(2), tüzüğün en az bilinen ve Türk şirketleri için en kritik hükmüdür: AB'de bulunan kişilere mal veya hizmet sunuyorsanız ya da onların davranışlarını izliyorsanız, şirketiniz nerede kurulu olursa olsun GDPR size uygulanır.

Şu sorulara bakın: Web siteniz euro fiyat gösteriyor mu? Almanca veya Fransızca içeriğiniz var mı? AB ülkelerinden müşteri kabul ediyor musunuz? Sitenizde AB'li ziyaretçilerin davranışını izleyen analitik ve reklam çerezleri çalışıyor mu? Bu sorulardan birine bile "evet" diyorsanız, GDPR tartışması sizin için teorik değildir.

Yapay zekâ bu tabloyu ağırlaştırıyor

GDPR yükümlülükleriniz varken çalışanlarınızın AB'li müşteri verilerini yapay zekâ araçlarına girmesi, riski katlar: veri, sözleşmesel güvencesi kurulmamış bir işleyiciye ve muhtemelen üçüncü bir ülkeye gider. Sağlık verisi gibi özel kategoriler (Madde 9) söz konusuysa — örneğin AB'den hasta kabul eden sağlık ve turizm işletmelerinde — çıta daha da yükselir. GDPR'ın idari para cezaları, küresel yıllık cironun %4'üne veya 20 milyon euroya kadar çıkabilir; hangisi yüksekse.

KVKK'ya uyum GDPR'a uyum demek değildir

İki kanun aynı aileden gelir ama özdeş değildir: hukuki dayanaklar, aktarım mekanizmaları, veri ihlali bildirim süreleri ve ilgili kişi hakları ayrıntıda ayrışır. Türkiye'de KVKK'ya uyumlu olmak, AB'li müşterileriniz için otomatik olarak yeterli olmaz — iki çerçeveyi birlikte yöneten tek bir program kurmak gerekir.

Tek programda iki uyum

İyi haber: doğru kurgulanmış bir veri ve yapay zekâ yönetişim programı, iki mevzuatın ortak omurgasını (envanter, politika, sözleşmeler, eğitim, kayıt düzeni) bir kerede kurar. Cynify denetimi bulguları hem KVKK hem GDPR perspektifinden etiketler; böylece tek raporla iki cephenizi birden görürsünüz.