Denetim günü değil,
her gün çalışan bir sistem.

KVKK kapsamında veri sorumlusu sıfatına haiz tüm şirketlerin Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt zorunluluğu vardır. Yıllık çalışan sayısı 50'yi aşan ya da yıllık bilanço toplamı 100M TL'yi geçen şirketler için kapsama girer; bunun altında olanlar için bazı muafiyetler tanımlı ama özel nitelikli veri işleyen herkes için (sağlık, ceza geçmişi, biyometrik vb.) kayıt zorunludur. Kayıt tek seferlik değil — işleme amaçları değiştikçe güncellemek gerekir. Kayıt eksikliğinin idari para cezası 100K - 1.5M TL aralığındadır.

Benzer mantığa sahipler ama aynı değiller. KVKK Türkiye'de 2016'da, GDPR AB'de 2018'de yürürlüğe girdi. Çoğu temel ilke ortak: amaç sınırlandırma, veri minimumu, hesap verebilirlik. Ancak GDPR çok daha sıkı — sınır ötesi transferler için SCC'ler, DPO atama zorunluluğu daha sık devreye girer, hak talebi süresi 30 günle sınırlı, ihlal bildirimi 72 saat, ceza miktarı yıllık global cironun %4'üne kadar. Bir Türk şirketi AB'de varlık gösteriyor ya da AB sakinlerine satış yapıyorsa her ikisi de uygulanır. Pratik tavsiyemiz: GDPR'a göre tasarlayın, KVKK'ya uyumlandırın — tersi olmaz.

Doğrudan AB'ye ürün/hizmet satmıyorsanız ve AB sakinlerinin davranışlarını izlemiyorsanız GDPR doğrudan kapsamınızda olmayabilir. Ama dolaylı kapsam çok daha geniş: AB'deki bir müşterinin sitenize girip form doldurması, AB'deki bir tedarikçinizin verisini işlemeniz, AB'li çalışanınız olması — hepsi GDPR'a temas eder. Üstelik B2B müşterileriniz GDPR uyumu zorunlu kılan sözleşme şartları getirebilir. KVKK'ya uyum sağlarken GDPR seviyesinde tasarlamak, ileride yapılacak müşteri DPIA'larında elinizi rahatlatır. "Şu an gerek yok" görüşü uzun vadede daha pahalı çıkar.

Evet — hem KVKK 5/1 hem GDPR Article 6 + ePrivacy Directive uyarınca açık rıza dışında çerez yerleştirmek yasaktır. "Zorunlu çerezler" istisnası vardır (örn. oturum, sepet); ama analitik, pazarlama, profil çerezleri için aktif rıza şart. Bannerın "Tamam" butonuna tıklamadan çerez yüklenmesi, "Devam Et" yazıp rıza eşdeğerine çekmek, reddedildiğinde bile tracker çalıştırmak — hepsi ceza nedenidir. Türkiye'de 2024'te onlarca markaya yalnızca bu nedenle ceza yazıldı. Doğru kurulum: CMP + GTM rıza modu + tüm tracker'ların rıza alanına bağlı tetiklenmesi.

GDPR'a göre üç durumda DPO ataması zorunludur: kamu kurumu olmak, ana faaliyeti büyük ölçekli sistematik izleme olmak, ya da ana faaliyeti büyük ölçekli özel nitelikli veri işleme olmak. Bunun dışında zorunlu değil ama tavsiye edilir. KVKK'da ise "irtibat kişisi" atama zorunluluğu var; VERBİS kaydı olan her şirket bir irtibat kişisini Kurul'a bildirmek zorunda. DPO veya irtibat kişisi rolünü içeriden atayabilirsiniz ya da DPO-as-a-Service olarak dışarıdan alabilirsiniz — biz ikinci modeli sıkça uyguluyoruz. Çıkar çatışması olmaması, organizasyon hiyerarşisinde bağımsızlık ve doğrudan yönetime raporlama kritik.

AB içinde aktarım serbest. AB dışına aktarım için bir aktarım mekanizması gerekir: ya yeterlilik kararı olan ülkelere (UK, İsviçre, Japonya vb.), ya da Standart Sözleşme Hükümleri (SCC) imzalanmış olarak. ABD için EU-US Data Privacy Framework (2023) sertifikalı vendor kullanabilirsiniz; sertifikalı olmayan ABD vendor'ı için SCC + Transfer Impact Assessment (TIA) gerekir. Türkiye'den AB'ye aktarımda KVKK Madde 9 uyarınca "yeterli korumaya sahip" kararı yok; yazılı taahhüt + Kurul onayı ya da açık rıza yoluyla yapılır. Bu mekanizmaları doğru kurmak, çoğu denetimde en çok atlanan konudur.

GDPR'a göre 72 saat içinde denetim otoritesine bildirim zorunludur. Ek olarak, "yüksek risk" oluşturuyorsa veri sahiplerine de gecikmeksizin bildirim gerekir. KVKK'da süre "en kısa sürede" denmiş; pratikte Kurul "72 saat" yorumuyla uyguluyor. Bildirim süresi kaçırılırsa ihlalin kendisinden ayrı bir ceza yazılır — ki bu çoğu vakada esas cezanın yarısına denk gelir. Bizim kurduğumuz runbook: ihlal şüphesi → 1 saat içinde triage → 4 saat içinde kapsamı belirleme → 24 saat içinde resmi metin hazırlama → 72 saat içinde bildirim ve veri sahiplerine duyuru. Önceden hazır metinler, telefon listesi ve karar ağacı olmadan bu süre yetmez.

KVKK'da idari para cezaları yıllık olarak yeniden değerleme oranıyla artar. 2024 yılı için: aydınlatma yükümlülüğüne aykırılık 47K-940K TL, veri güvenliği yükümlülüğüne aykırılık 141K-9.4M TL, Kurul kararına aykırılık 235K-9.4M TL aralığında. GDPR'da iki kademe var: hafif ihlaller için yıllık global cironun %2'sine veya 10M Euro'ya kadar; ağır ihlaller için %4'üne veya 20M Euro'ya kadar (hangisi yüksekse). Bunlara ek olarak müşteri kayıpları, sözleşme cezaları, marka itibar zararı binlerce katı çıkabilir. British Airways'in 2019 ihlalinde başlangıç teklifi 183M sterlin, indirimle 20M sterlin oldu — küçük şirketleri yok edebilir.