GDPR Uyumluluk ve Danışmanlık Hizmeti
Avrupa Birliği Genel Veri Koruma Yönetmeliği (GDPR), AB vatandaşlarının kişisel verilerini işleyen tüm kuruluşları kapsar. Nesil Teknoloji olarak, IAPP CIPP/E sertifikalı uzman kadromuz ve ISO 27001/27701 belgeli altyapımızla uyumluluk sürecinizi yönetiyoruz.
GDPR Nedir?
GDPR uyumluluk sürecini anlatan rehber videomuzu izleyin.
Uluslararası Sertifikalar ve Yetkinlikler
IAPP akreditasyonlu uzman kadromuz ve ISO belgeli altyapımızla GDPR uyumluluk süreçlerinizde güvenilir partneriniziz.
CIPP/E Sertifikalı Uzmanlar
Ekibimiz, International Association of Privacy Professionals (IAPP) tarafından verilen Certified Information Privacy Professional/Europe (CIPP/E) sertifikasına sahiptir. Bu sertifika, Avrupa veri koruma hukuku ve GDPR konusundaki uzmanlığımızın uluslararası geçerliliğe sahip kanıtıdır.
ISO/IEC 27001
Bilgi Güvenliği Yönetim Sistemi standardı, Nesil Teknoloji'nin bilgi güvenliği politikalarının temelini oluşturmaktadır. Bilgi varlıklarının gizliliğini, bütünlüğünü ve erişilebilirliğini korumayı hedefleyen bu sistem, güvenlik risklerinin etkin yönetimini sağlar.
ISO/IEC 27701
Gizlilik Bilgi Yönetim Sistemi standardı doğrultusunda yapılandırılan süreçlerimiz, KVKK ve GDPR gerekliliklerine tam uyum sağladığımızı ve kişisel veri işleme süreçlerinde şeffaflık, hesap verebilirlik ve güveni esas aldığımızı göstermektedir.
GDPR Nedir? Kapsamı ve Önemi
Avrupa Birliği Genel Veri Koruma Yönetmeliği, kişisel verilerin korunmasına ilişkin dünyanın en kapsamlı yasal düzenlemesidir.
GDPR Nedir?
GDPR (General Data Protection Regulation), 25 Mayıs 2018'de yürürlüğe giren Avrupa Birliği'nin kişisel veri koruma yönetmeliğidir. 99 maddeden oluşur ve AB vatandaşlarının verilerini işleyen tüm şirketleri kapsar — şirketin merkezi nerede olursa olsun. İhlal durumunda 20 milyon Euro veya global cironun %4'üne kadar ceza uygulanabilir.
GDPR'ın en önemli özelliği ekstrateritoryel etkisidir (Madde 3). Bu, yönetmeliğin sadece AB sınırları içindeki şirketleri değil, AB vatandaşlarına mal veya hizmet sunan ya da onların davranışlarını izleyen dünyadaki tüm şirketleri kapsaması anlamına gelir. Türkiye'den Avrupa'ya e-ticaret yapan bir firma da GDPR'a tabidir.
Yönetmelik, veri işleme için altı hukuki dayanak tanımlar (Madde 6): açık rıza, sözleşmenin ifası, yasal yükümlülük, hayati menfaat, kamu görevi ve meşru menfaat. Her veri işleme faaliyeti bu dayanaklardan en az birine dayanmalıdır.
GDPR ayrıca "Privacy by Design" (Tasarımla Gizlilik) ve "Privacy by Default" (Varsayılan Gizlilik) ilkelerini zorunlu kılar (Madde 25). Veri ihlali durumunda 72 saat içinde yetkili otoriteye bildirim yapılması zorunludur (Madde 33).
GDPR'ın 7 Temel İlkesi (Madde 5)
- Hukuka uygunluk: Şeffaf işleme
- Amaç sınırlaması: Belirli amaçlar
- Veri minimizasyonu: Gerekli minimum
- Doğruluk: Güncel veriler
- Saklama süresi: Gerekli süre kadar
- Güvenlik: Uygun önlemler
- Hesap verebilirlik: Kanıtlanabilirlik
GDPR Uyumluluk Hizmetlerimiz
GDPR uyumluluğunu sürdürülebilir bir yönetişim modeli olarak ele alıyoruz. 360° uyumluluk programı sunuyoruz.
GAP Analizi
Mevcut veri işleme faaliyetlerinizi GDPR gereksinimleriyle karşılaştırır, eksiklikleri belirler ve yol haritası sunarız.
- Madde bazlı değerlendirme
- Risk önceliklendirme
- Detaylı rapor
Veri Envanteri (RoPA)
Madde 30 kapsamında zorunlu olan veri işleme faaliyetleri kaydını oluşturur ve güncel tutarız.
- Veri kategorileri
- Transfer mekanizmaları
- Saklama süreleri
DPIA Değerlendirmesi
Yüksek riskli veri işleme faaliyetleri için zorunlu etki değerlendirmesi yapar, risk azaltma önerileri sunarız.
- Risk analizi
- Orantılılık değerlendirmesi
- Azaltma önerileri
Politika ve Prosedür
GDPR uyumlu gizlilik politikası, çerez politikası ve ihlal müdahale prosedürü hazırlarız.
- Gizlilik politikası
- İhlal prosedürü
- Talep prosedürü
DPO Hizmeti
CIPP/E sertifikalı dış kaynak DPO ataması veya mevcut DPO'nuza danışmanlık desteği sağlarız.
- Sertifikalı DPO
- Otorite iletişimi
- Periyodik raporlama
Teknik Önlemler
Şifreleme, pseudonymization, erişim kontrolü ve consent management implementasyonu yaparız.
- Şifreleme
- Erişim kontrolü
- Consent management
Uluslararası Transfer
Üçüncü ülkelere veri transferi için SCC, BCR hazırlığı ve transfer etki değerlendirmesi yaparız.
- Transfer değerlendirmesi
- SCC/BCR hazırlığı
- Ek güvenlik önlemleri
Eğitim Programı
Tüm çalışanlar için GDPR farkındalık eğitimi ve departman bazlı özel eğitimler düzenleriz.
- Farkındalık eğitimi
- Departman eğitimleri
- Yıllık yenileme
Sürekli İzleme
Periyodik denetimler, politika güncellemeleri ve mevzuat değişiklik takibi ile sürdürülebilirlik sağlarız.
- Yıllık denetim
- Mevzuat takibi
- İyileştirme önerileri
Veri Sahibi Hakları
GDPR, veri sahiplerine kapsamlı haklar tanır. Bu hakların etkin kullandırılması kritik bir uyumluluk bileşenidir.
Bilgilendirilme
Şeffaf bilgilendirme hakkı
Erişim
Verilere erişim talebi
Düzeltme
Yanlış verileri düzeltme
Silme
Unutulma hakkı
Kısıtlama
İşlemeyi sınırlandırma
Taşınabilirlik
Veri transferi hakkı
İtiraz
İşlemeye itiraz etme
Otomatik Karar
Profillemeye itiraz
GDPR İhlal Cezaları
GDPR, ihlallerin ciddiyetine göre iki kademeli ceza sistemi öngörmektedir.
GDPR Cezaları Ne Kadar?
GDPR'da iki kademeli ceza sistemi vardır. Alt kademe (teknik eksiklikler) için 10 milyon Euro veya cironun %2'si; üst kademe (temel hak ihlalleri) için 20 milyon Euro veya cironun %4'ü — hangisi yüksekse. 2023'te Meta'ya 1.2 milyar Euro ceza kesilmiştir.
Teknik ve Organizasyonel İhlaller
Privacy by Design eksiklikleri, RoPA tutmama, işbirliği yükümlülüğü ihlali, güvenlik önlemleri yetersizliği, DPO atamama.
Temel İlke ve Hak İhlalleri
Temel ilkelerin ihlali, hukuki dayanak olmadan işleme, veri sahibi haklarının engellenmesi, uluslararası transfer kurallarına uymama.
GDPR ve KVKK Farkları
AB'ye hizmet veren Türk şirketleri her iki regülasyona da uyum sağlamalıdır.
Türkiye'deki Şirketler GDPR'a Tabi mi?
Evet, AB vatandaşlarına mal/hizmet sunuyorsanız veya davranışlarını izliyorsanız (analytics, tracking) GDPR'a tabisiniz. Bu "ekstrateritoryel etki" Madde 3'te düzenlenmiştir. Türkiye'den AB'ye e-ticaret yapan, AB turistlere hizmet veren şirketler GDPR kapsamındadır.
| Kriter | GDPR | KVKK |
|---|---|---|
| Kapsam | Ekstrateritoryel — AB verisi işleyen tüm şirketler | Türkiye'de faaliyet gösterenler |
| Maksimum Ceza | €20M veya cironun %4'ü | ~2 milyon TL |
| İhlal Bildirimi | 72 saat içinde | "En kısa sürede" |
| DPO Zorunluluğu | Bazı şirketler için zorunlu | Zorunlu değil |
| Veri Taşınabilirliği | Var (Madde 20) | Yok |
Uyumluluk Süreci
Modüler ve izlenebilir adımlarla yürütülen program. Süre: 3-12 ay.
Keşif ve GAP Analizi
Mevcut durum değerlendirmesi ve GDPR gereksinimleriyle karşılaştırma.
Veri Haritalama
Kişisel veri akışlarının haritalanması ve RoPA oluşturma.
Risk Değerlendirmesi
DPIA ve risk analizi çalışmaları.
Politika Geliştirme
Gizlilik politikaları ve prosedürlerin hazırlanması.
Teknik Uygulama
Privacy by Design implementasyonu.
Eğitim ve İzleme
Çalışan eğitimleri ve sürekli uyumluluk takibi.
Teslimatlar
Denetim gereksinimlerini karşılayan somut çıktılar.
Sıkça Sorulan Sorular
Türkiye'deki şirketler GDPR'a tabi mi?
DPO (Veri Koruma Görevlisi) atamak zorunlu mu?
Veri ihlali durumunda ne yapmalıyız?
GDPR uyumluluk süreci ne kadar sürer?
Cookie consent zorunlu mu?
Nesil Teknoloji'nin GDPR uzmanlığı nedir?
GDPR Uyumluluğunuzu Değerlendirelim
IAPP CIPP/E sertifikalı uzmanlarımız ve ISO 27001/27701 belgeli altyapımızla uyumluluk programınızı planlayalım.