GDPR Danışmanlığı

GDPR danışmanlığı, Regulation (EU) 2016/679 kapsamında veri sorumlusu ve veri işleyenlerin; işleme faaliyeti kayıtları (m.30 – ROPA), hukuki dayanak ve rıza yönetimi (m.6/7/9), şeffaflık ve aydınlatma (m.13-14), veri sahibi hakları (m.15-22), veri koruma etki değerlendirmesi (m.35 – DPIA), kişisel veri ihlali bildirimi (m.33-34) ve uluslararası aktarım (Bölüm V) yükümlülüklerini sistematik biçimde kurması için verilen uyum hizmetidir.

Tüzük yalnızca AB’de yerleşik kuruluşları değil; AB’deki kişilere mal veya hizmet sunan ya da davranışlarını izleyen Türkiye merkezli firmaları da kapsar (m.3/2). Süreç, EDPB rehberleri ve ISO/IEC 27701 (PIMS) çerçevesi esas alınarak yürütülür.

GDPR Sizi Kapsıyor mu?

GDPR’ın uygulama alanı şirketin coğrafi konumuyla değil, veri öznesinin AB’de bulunmasıyla belirlenir. Tüzük m.3, üç durumda devreye girer:

• Yerleşiklik (m.3/1): AB içinde bir işletme/şube üzerinden yürütülen işleme — verinin fiilen nerede işlendiğine bakılmaksızın.
• Hedefleme (m.3/2-a): AB’deki kişilere mal veya hizmet sunulması (Avrupa dillerinde içerik, euro fiyatlandırma, AB’ye teslimat/üyelik gibi göstergeler).
• İzleme (m.3/2-b): AB’deki kişilerin davranışlarının izlenmesi (çerez/tracking, profilleme, reklam ve analitik).

İkinci ve üçüncü durumda, AB’de yerleşik olmayan sorumlu/işleyenlerin yazılı bir AB Temsilcisi (m.27) ataması zorunludur. Uygulamada iki tipik profil öne çıkar: AB’ye satış yapan veya AB’deki kullanıcı verisini işleyen Türkiye merkezli firmalar (e-ihracat, SaaS, yazılım, turizm, lojistik) ve AB’de şube/iştiraki bulunan gruplar. Her iki profilde de yükümlülükler örtüşür; çalışmamız bu iki senaryoyu birlikte ele alır.

Hizmet Kapsamı

Hizmet üç ana modül üzerinden yürütülür. Her modül kurumun ölçeğine, sektörüne ve AB maruziyetinin niteliğine göre uyarlanır. Modüller birlikte ya da ihtiyaca göre ayrı ayrı alınabilir.

Hukuki ve Uyum Modülü

• Hukuki dayanak ve rıza yönetimi (m.6, 7, 9) — meşru menfaat denge testi (LIA)
• Şeffaflık ve aydınlatma metinleri (m.13-14) — web, ürün, IK, pazarlama
• Veri sahibi hakları prosedürü ve DSAR akışı (m.15-22): erişim, silme (m.17), taşınabilirlik (m.20), itiraz (m.21)
• Veri işleyen sözleşmesi / DPA (m.28) ve ortak veri sorumlusu düzenlemeleri (m.26)
• Uluslararası aktarım sözleşmeleri: SCC (m.46), yeterlilik (m.45), BCR (m.47)
• Çerez ve rıza yönetimi (ePrivacy + GDPR çerçevesi)

Teknik ve Güvenlik Modülü

• İşleme güvenliği (m.32): şifreleme, takma adlandırma (pseudonymisation), erişim yönetimi, MFA
• Privacy by Design ve Privacy by Default (m.25)
• Kişisel veri ihlali tespit, müdahale ve 72 saat bildirim hazırlığı (m.33-34)
• Sızma testi ve zafiyet yönetimi entegrasyonu
• Transfer Etki Değerlendirmesi (TIA) için teknik ek tedbirler (Schrems II sonrası)
• Veri sızıntısı önleme (DLP) ve veri sınıflandırma

Dokümantasyon ve Hesap Verebilirlik Modülü

• İşleme faaliyeti kayıtları / ROPA (m.30) — sorumlu ve işleyen versiyonları
• DPIA metodolojisi ve yüksek riskli işleme değerlendirmeleri (m.35)
• Veri koruma politikaları, saklama ve imha çizelgeleri
• DPO atama, görev tanımı ve raporlama hattı (m.37-39)
• AB Temsilcisi atama ve irtibat noktası (m.27)
• Hesap verebilirlik kanıt seti (accountability – m.5/2)

Öne Çıkan Uzman Hizmetleri

Aşağıdaki dört başlık, GDPR uyumunun ağırlık merkezini oluşturan ve en sık dış uzmanlık gerektiren alanlardır. Bu hizmetler tek başına ya da uyum projesinin parçası olarak verilir.

DPO — Veri Koruma Görevlisi (Atanmış / Dış Kaynak)

m.37; kamu kurumu olunması, temel faaliyetin büyük ölçekli düzenli ve sistematik izleme olması (m.37/1-b) veya büyük ölçekli özel nitelikli/ceza verisi işlenmesi (m.37/1-c) hallerinde DPO atamasını zorunlu kılar. Dış kaynak DPO hizmetiyle bağımsızlık, uzmanlık ve raporlama yükümlülüklerini (m.38-39) karşılarız: kayıt tutma, denetim, ilgili kişi ve denetim otoritesiyle iletişim.

AB Temsilcisi (m.27)

AB’de yerleşik olmayan, ancak m.3/2 kapsamında AB’deki kişilere yönelen sorumlu/işleyenler için yazılı AB Temsilcisi ataması zorunludur (m.27/2’deki sınırlı istisnalar dışında). Temsilci, AB içinde bir irtibat noktası olarak veri sahipleri ve denetim otoriteleriyle muhatap olur ve ROPA’nın erişilebilir tutulmasından sorumludur.

Uluslararası Veri Aktarımı (Bölüm V)

AB’den üçüncü ülkelere aktarım; yeterlilik kararı (m.45), uygun güvenceler (m.46 – Standart Sözleşme Maddeleri/SCC, Bağlayıcı Kurumsal Kurallar/BCR) veya istisnalar (m.49) ile yapılır. Türkiye için AB yeterlilik kararı bulunmadığından, AB→Türkiye aktarımlarında 2021/914 sayılı Komisyon Uygulama Kararı kapsamındaki SCC seti ve Schrems II (C-311/18) kararı uyarınca Transfer Etki Değerlendirmesi (TIA) ile ek tedbirler gerekir. ABD’ye aktarımda ise AB-ABD Veri Gizliliği Çerçevesi’ne (DPF) sertifikalı kuruluşlar için yeterlilik geçerlidir.

DPIA ve ROPA (m.35 / m.30)

Yüksek riskli işleme faaliyetleri için DPIA (m.35) yürütür, gerektiğinde ön danışma (m.36) sürecini yönetiriz. Tüm işleme faaliyetlerini m.30 kapsamında sorumlu ve işleyen kayıtları (ROPA) olarak belgeleriz; bu kayıtlar hesap verebilirliğin (m.5/2) ve denetim hazırlığının temelini oluşturur.

Çıktı ve Teslimatlar

Proje sonunda kurum eline somut, denetimde kullanılabilir ve ileride güncellenebilir bir doküman seti teslim edilir. Tipik bir uyum projesinde teslim edilen başlıca çıktılar aşağıda yer almaktadır.

Uygulama Süreci

Kurum büyüklüğüne ve AB maruziyetine göre 5 ila 12 hafta arasında tamamlanan altı fazlı bir metodoloji izlenir. Müşteri tarafında her faz için belirlenen sorumlular ile haftalık takip toplantıları yapılır.

Müşteri Tarafında Beklenen Katılım

Proje süresince müşteri tarafından bir proje sahibi (genellikle Hukuk, Uyum veya Bilgi Güvenliği yöneticisi) ve departman temsilcileri ayrılır. Departman görüşmeleri faz 2’de yoğunlaşır; her departmandan ortalama 2-3 saatlik birer toplantı talep edilir. Diğer fazlarda haftalık takip toplantıları yeterlidir.

Başarı Hikayesi

GDPR uyum metodolojimizin sahadaki bir uygulaması: MLS Holding ile yürütülen uyum projesi.

Mevzuat ve İdari Para Cezaları

GDPR, 25 Mayıs 2018 tarihinde yürürlüğe girmiştir. İdari para cezaları m.83’te iki kademeli olarak düzenlenir; her iki kademede de tutar, sabit tavan ile bir önceki mali yılın küresel yıllık cirosunun yüzdesinden yüksek olan üzerinden belirlenir.

İhlal Konusu	İlgili Madde	Yaptırım (m.83)
Sorumlu/işleyen yükümlülükleri, ROPA, güvenlik, DPO, ihlal bildirimi, sertifikasyon	m.8, 11, 25-39, 42, 43	Alt kademe (m.83/4): 10 milyon € veya küresel cironun %2’si
Temel ilkeler, hukuki dayanak ve rıza koşulları	m.5, 6, 7, 9	Üst kademe (m.83/5): 20 milyon € veya %4
Veri sahibi haklarının ihlali	m.12-22	Üst kademe: 20 milyon € veya %4
Uluslararası aktarım kurallarının ihlali	m.44-49	Üst kademe: 20 milyon € veya %4
Denetim otoritesinin emirlerine uymama	m.58 emirleri	Üst kademe: 20 milyon € veya %4

Aktarım çerçevesi (2026 itibarıyla): AB-ABD Veri Gizliliği Çerçevesi (DPF) 10 Temmuz 2023’te yeterlilik kararı olarak kabul edilmiş ve hâlen yürürlüktedir; ancak yargısal denetim altındadır ve uygulamada SCC yedek mekanizma olarak korunmaktadır. SCC kullanımında Schrems II (C-311/18) uyarınca TIA zorunludur. Güncel SCC sürümü, DPF durumu ve EDPB rehberleri için edpb.europa.eu ve Avrupa Komisyonu kaynaklarından teyit önerilir.

Eğitim Hizmeti

GDPR uyumunun en kırılgan bileşeni çalışan davranışıdır. Politika ve prosedürler ne kadar iyi yazılmış olursa olsun, çalışanın günlük iş akışında veriyi nasıl işlediği uyum performansını belirler. Bu nedenle eğitim, danışmanlığın ayrılmaz bir parçası olarak konumlandırılır.

Eğitim Formatları

• Yönetici brifingi: Üst yönetim için 60 dakikalık özet oturum; GDPR kapsamında yönetim sorumlulukları, m.83 ceza riski ve raporlama yükümlülükleri.
• Çalışan farkındalık eğitimi: Tüm çalışanlara yönelik 90-120 dakikalık temel eğitim; veri sahibi hakları, DSAR yönetimi, aydınlatma, parola güvenliği, phishing ve veri ihlali bildirim akışı.
• Departman bazlı uygulama eğitimi: IK, pazarlama, satış, IT ve hukuk gibi yoğun veri işleyen birimler için süreç bazlı vaka çalışmaları.
• E-learning paketi: Kurum içi LMS’e yüklenebilen, yıllık zorunlu eğitim olarak işaretlenebilen modül; sertifikalı tamamlama kayıtları.
• Phishing simülasyonu: Eğitim öncesi ve sonrası ölçüm yapılarak farkındalık etkinliği rakamsal olarak raporlanır.

Sürdürülebilirlik ve Yıllık Bakım

GDPR uyumu bir defa tamamlanan değil, sürekli işleyen bir programdır. Denetim otoritesi kararları, EDPB rehberleri ve aktarım çerçevesindeki değişiklikler (SCC sürümü, DPF durumu) periyodik olarak takip edilerek müşterilere raporlanır. Kurum büyüdükçe, yeni süreçler eklendikçe veya mevzuat değiştikçe ROPA’nın, politikaların ve teknik tedbirlerin güncellenmesi gerekir. İlk uyum projesi tamamlandıktan sonra aşağıdaki başlıklar altında yıllık bakım hizmeti verilir.

• Mevzuat ve rehber takibi: EDPB kararları, yeni rehberler ve aktarım çerçevesi değişiklikleri kuruma özel etki analiziyle raporlanır.
• Dış kaynak DPO sürekliliği: Atanmış DPO görevinin kesintisiz yürütülmesi, kayıt ve raporlama.
• ROPA ve DPIA güncelleme: Yeni süreçler ve sistemler kayıtlara işlenir; yüksek riskli işlemeler için DPIA yenilenir.
• Aktarım izleme: SCC/TIA kayıtlarının ve DPF sertifika durumlarının periyodik gözden geçirilmesi.
• İhlal müdahale tatbikatı: Yılda bir kez ihlal senaryosu üzerinden 72 saat bildirim akışının test edilmesi.
• Yıllık çalışan tazeleme eğitimi: Kısa hatırlatma modülü ve değişen yükümlülüklerin aktarımı.

Sık Sorulan Sorular

Resmi Kaynaklar