GDPR nedir, Türk işletmesini ilgilendirir mi?
Kısa cevapGDPR, Avrupa Birliği’nin kişisel verileri koruma tüzüğüdür (Genel Veri Koruma Tüzüğü, 2016/679) ve 25 Mayıs 2018’den beri uygulanır. Türkiye’deki bir işletmeyi de ilgilendirebilir: AB’deki kişilere mal ya da hizmet sunuyorsanız veya sitenizde onların davranışını izliyorsanız kapsama girebilirsiniz. Yalnız Türkiye’deki müşterilere hizmet veriyorsanız esas olarak KVKK uygulanır.
Hangi durumda GDPR sizi ilgilendirir?
| Durumunuz | GDPR ilgilendirir mi? | Ne yapmalı? |
|---|---|---|
| Yalnız Türkiye’deki müşterilere hizmet veriyorsunuz; site Türkçe, fiyatlar TL | Genellikle hayır. Sitenizin AB’den açılabilmesi tek başına yeterli sayılmaz (Gerekçe 23). | KVKK’ya uyun: aydınlatma metni, çerez tercihi, gerekli olmayan veriyi toplamamak. |
| AB’deki kişilere satış yapıyorsunuz: euro fiyat, AB’ye teslimat, Almanca ya da İngilizce sipariş sayfası | Büyük olasılıkla evet (Madde 3/2-a: AB’deki kişilere mal veya hizmet sunmak). | GDPR’a göre gizlilik bildirimi, çerez onayı ve AB temsilcisi gerekip gerekmediğini uzmana değerlendirtin. |
| Sitenizde AB’deki ziyaretçileri izleyen analiz ya da reklam araçları var | Olabilir (Madde 3/2-b: AB’deki kişilerin davranışını izlemek). | Hangi aracın hangi veriyi topladığını listeleyin; gerekmeyen izlemeyi kaldırın. |
| AB’de şubeniz, şirketiniz ya da işyeriniz var | Evet (Madde 3/1). | O ülkenin veri koruma otoritesinin rehberlerine ve yerel bir uzmana başvurun. |
GDPR kapsamındaysanız sitede ilk bakılacaklar
- Gizlilik bildirimi: kim olduğunuzu, hangi veriyi hangi amaçla ve hangi hukuki dayanakla topladığınızı, ne kadar sakladığınızı, kişinin haklarını ve şikâyet hakkını açık bir dille yazın (Madde 13).
- Çerezler: AB’de zorunlu olmayan çerezler (analiz, reklam) için genellikle ziyaretçiden önceden onay istenir; onay vermeden önce bu çerezler yüklenmemelidir.
- Formlar: yalnız gerçekten gereken alanları sorun (veri en aza indirme, Madde 5). İletişim formunda doğum tarihi ya da kimlik bilgisi istemek gereksiz risk yaratır.
- AB temsilcisi: AB’de yerleşik değilseniz ve GDPR kapsamındaysanız, AB’de bir temsilciyi yazılı olarak atamanız gerekebilir; arızi ve düşük riskli veri işlemede istisna vardır (Madde 27). Durumunuza uyup uymadığını uzmana sorun.
- Hizmet sağlayıcılar: hosting, e-posta, form ve randevu araçları sizin adınıza veri işler; bunlarla veri işleme sözleşmesi bulunmalıdır (Madde 28). Çoğu sağlayıcı bunu hazır metin olarak sunar.
- Veri ihlali: kişisel veriler sızarsa, risk yoksa hariç, yetkili denetim otoritesine farkına varıldıktan sonra 72 saat içinde bildirim gerekir (Madde 33).
- Yaptırım: en ağır ihlallerde idari para cezası 20 milyon euroya ya da önceki yılın dünya çapındaki cirosunun yüzde 4’üne kadar çıkabilir; hangisi yüksekse (Madde 83).
- Bu sayfa genel bilgidir, hukuki görüş değildir. Kesin değerlendirme için veri koruma alanında çalışan bir hukukçuya danışın.
Türkiye’deki kurallar için KVKK aydınlatma metni sayfasına bakın. Çerez onayının Türkiye’deki durumu ayrı bir soruda anlatılıyor: çerez uyarısı zorunlu mu? AB’ye satış yapacaksanız cayma hakkı ve KDV gibi diğer konular için Avrupa’ya satış için site rehberini okuyun.
Kendiniz yapabilirsiniz
Sitenizi açın ve tarayıcının geliştirici araçlarında (Uygulama ya da Depolama sekmesi) hangi çerezlerin yüklendiğine bakın; onay vermeden analiz veya reklam çerezi yükleniyorsa bu ilk düzeltilecek şeydir. Ardından formlarınızdaki gereksiz alanları silin ve gizlilik bildiriminizi Madde 13’teki başlıklarla karşılaştırın. Tüzüğün resmi metnine EUR-Lex’ten AB dillerinde ulaşabilirsiniz.
Ya da biz halledelim
AB’ye de hitap eden sitenizi biz hazırlayalım: formlar yalnız gerekli alanlarla, çerez onayı gerekiyorsa onay kutusuyla kurulur; yasal metinleri hukukçunuz yazar, biz doğru yere yerleştiririz. Site 9.900 TL, Site + 1 yıl hosting 55.000 TL, Site + kaynak kodlar 150.000 TL. Önce tasarımı görürsünüz; ödeme, onayınızdan sonra Stripe ile o günkü kurla euro olarak alınır.
Tasarımımı gör →