Genel Veri Koruma Yönetmeliği, İngilizcede General Data Protection Regulation olarak adlandırılan ve GDPR şeklinde kısaltılan, Avrupa Birliği’nde kişisel verilerin korunmasına ilişkin temel düzenlemedir. 25 Mayıs 2018 itibarıyla uygulanmaya başlayan GDPR, kişisel verilerin işlenmesi sırasında gerçek kişilerin temel hak ve özgürlüklerini korumayı ve Avrupa Birliği içinde veri koruma kurallarını uyumlu hale getirmeyi amaçlar. Yönetmelik yalnızca veri güvenliğiyle ilgili teknik bir metin değil; veri işleme ilkeleri, veri sahibi hakları, şirket yükümlülükleri, uluslararası veri aktarımı ve idari yaptırımlar gibi birçok alanı kapsayan kapsamlı bir veri koruma çerçevesidir.
GDPR genellikle “AB vatandaşlarının verilerini koruyan düzenleme” olarak açıklansa da bu ifade eksiktir. Yönetmelik, belirli koşullarda Avrupa Birliği içinde bulunan kişilerin verilerinin işlenmesine uygulanır. Ayrıca AB dışında yer alan şirketler de AB’deki kişilere mal veya hizmet sunuyorsa ya da bu kişilerin davranışlarını izliyorsa GDPR kapsamına girebilir. Bu nedenle fiziksel olarak Avrupa’da bulunmayan e-ticaret siteleri, SaaS şirketleri, uygulamalar, reklam teknolojisi firmaları veya dijital platformlar da AB’deki kullanıcıların kişisel verilerini işliyorsa GDPR yükümlülükleriyle karşılaşabilir.
GDPR kapsamında kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgiyi ifade eder. Ad, soyad, kimlik numarası, adres, telefon, e-posta, müşteri numarası, konum verisi, IP adresi, çerez tanımlayıcıları, cihaz kimliği ve çevrim içi tanımlayıcılar kişisel veri kapsamında değerlendirilebilir. Bunun yanında sağlık verileri, biyometrik veriler, genetik veriler, siyasi görüş, dini inanç, sendika üyeliği, ırk veya etnik köken gibi özel nitelikli veriler daha sıkı koruma altındadır. (gdpr-info.eu, eur-lex.europa.eu)
GDPR’ın en çok yanlış anlaşılan konularından biri rızadır. Yönetmeliğe göre her kişisel veri işleme faaliyeti mutlaka açık rızaya dayanmak zorunda değildir. Kişisel verilerin hukuka uygun işlenebilmesi için GDPR’da yer alan hukuki dayanaklardan en az birinin bulunması gerekir. Bunlar arasında rıza, sözleşmenin ifası, hukuki yükümlülük, hayati menfaat, kamu görevi ve meşru menfaat gibi dayanaklar yer alır. Dolayısıyla bir e-ticaret sitesinin siparişi teslim etmek için adres bilgisini işlemesi sözleşmenin ifası kapsamında değerlendirilebilirken, reklam çerezleri veya kişiselleştirilmiş pazarlama faaliyetleri için rıza gerekebilir.
Rıza kullanıldığında ise belirli şartları taşımalıdır. GDPR’da rızanın özgür iradeyle verilmiş, belirli, bilgilendirilmiş ve açık bir beyan ya da onaylayıcı eylemle ortaya konmuş olması gerekir. Veri sahibi rızasını dilediği zaman geri çekme hakkına sahiptir ve rızayı geri çekmek, rıza verildiği dönemde yapılan işlemenin hukuka uygunluğunu geriye dönük olarak ortadan kaldırmaz. Avrupa Veri Koruma Kurulu da rızanın geri çekilmesinin, rızanın verilmesi kadar kolay olması gerektiğini vurgular.
GDPR, e-ticaret ve dijital pazarlama açısından büyük önem taşır. Üyelik sistemi olan web siteleri, online mağazalar, mobil uygulamalar, CRM sistemleri, e-posta pazarlama platformları, reklam pikselleri, analitik araçları, remarketing sistemleri ve çerez tabanlı hedefleme teknolojileri kişisel veri işleyebilir. Bu nedenle GDPR uyumu yalnızca gizlilik politikası yayınlamaktan ibaret değildir. Veri envanteri, hukuki dayanak analizi, açık aydınlatma metinleri, çerez yönetimi, rıza kayıtları, veri saklama süreleri, üçüncü taraf veri aktarımları ve güvenlik önlemleri birlikte değerlendirilmelidir.
Web siteleri ve e-ticaret platformları için kullanıcıya hangi verilerin neden toplandığı, hangi hukuki dayanakla işlendiği, kimlerle paylaşıldığı, ne kadar süre saklandığı ve hangi haklara sahip olduğu açık şekilde anlatılmalıdır. GDPR, veri sorumlusunun kimliği, iletişim bilgileri, işleme amaçları, hukuki dayanak, alıcılar, saklama süresi ve veri sahibi hakları gibi bilgilerin veri sahibine sağlanmasını öngörür. Bu nedenle gizlilik politikaları genel ve belirsiz ifadelerden oluşmamalı; gerçek veri işleme süreçlerini yansıtmalıdır.
GDPR kapsamında bireylerin birçok hakkı bulunur. Veri sahipleri kendileriyle ilgili kişisel verilere erişme, yanlış verilerin düzeltilmesini isteme, belirli koşullarda verilerin silinmesini talep etme, işlemeyi kısıtlama, verilerini taşıma, belirli işleme faaliyetlerine itiraz etme ve bazı otomatik karar verme süreçlerine karşı korunma haklarına sahip olabilir. Bu hakların kullanılabilmesi için şirketlerin başvuru süreçlerini, yanıt sürelerini ve iç operasyonlarını doğru kurgulaması gerekir. Kullanıcıdan gelen talebi karşılayamamak veya süreci belirsiz bırakmak uyum riski yaratabilir.
GDPR ihlallerinde uygulanacak yaptırımlar olayın niteliğine, ihlalin ağırlığına, kasıt veya ihmal durumuna, etkilenen kişi sayısına, alınan teknik ve idari önlemlere ve denetim otoritesiyle iş birliği seviyesine göre değerlendirilir. Bu nedenle “ilk ihlalde mutlaka yalnızca uyarı verilir” demek doğru değildir. GDPR’ın 83. maddesine göre bazı ihlaller için 10 milyon euroya veya şirketin bir önceki mali yıl toplam küresel cirosunun %2’sine kadar; daha ağır bazı ihlaller için ise 20 milyon euroya veya küresel cironun %4’üne kadar idari para cezası uygulanabilir. Bu oranlarda yüksek olan tutar dikkate alınır.
GDPR uyumu teknik, hukuki ve operasyonel bir süreçtir. Şirketlerin hangi kişisel verileri topladığını, bu verileri neden işlediğini, hangi sistemlerde tuttuğunu, kimlerle paylaştığını ve ne kadar süre sakladığını bilmesi gerekir. Gereksiz veri toplamaktan kaçınmak, veri minimizasyonu ilkesine uymak, erişim yetkilerini sınırlamak, şifreleme ve güvenlik önlemleri almak, veri ihlali prosedürleri oluşturmak ve tedarikçilerle veri işleme sözleşmeleri yapmak bu sürecin önemli parçalarıdır.
Kısacası GDPR, Avrupa Birliği’nde kişisel verilerin korunmasını düzenleyen ve AB dışındaki işletmeleri de belirli durumlarda etkileyebilen kapsamlı bir veri koruma yönetmeliğidir. Kişisel verilerin işlenmesi için yalnızca açık rıza değil, uygun bir hukuki dayanak gerekir. E-ticaret, dijital pazarlama, analitik, CRM ve reklam teknolojileri kullanan şirketler için GDPR; şeffaflık, veri güvenliği, kullanıcı hakları, çerez yönetimi, üçüncü taraf veri paylaşımı ve uluslararası veri aktarımı gibi birçok konuda dikkatli bir uyum süreci gerektirir.
