KVKK ile GDPR arasındaki farklar: AB'ye ihracat yapan firmalar için

AB-Türkiye Gümrük Birliği'nin parçası olan otomotiv yan sanayii, tekstil veya beyaz eşya ihracatçısı bir firmasınız; ya da AB'li müşterilere sevkiyat yapan bir e-ticaret operasyonu yürütüyorsunuz. Hukuk veya uyum ekibiniz muhtemelen 'KVKK zaten GDPR'a benziyor, ikisi de aynı kapıya çıkıyor' varsayımıyla hareket ediyor — özellikle 2024–2025'te yürürlüğe giren değişikliklerden sonra bu izlenim güçlendi. Bu izlenim kısmen doğru, ama yeterince doğru değil. KVKK ve GDPR, aynı temel ilkeleri (şeffaflık, veri minimizasyonu, ilgili kişi hakları) paylaşan ama hukuki sebep, ihlal bildirimi, aktarım mekanizması ve yaptırım mimarisinde somut biçimde ayrışan iki ayrı rejimdir.

Ortak kök, farklı gelişim

KVKK, 1995 tarihli AB Veri Koruma Direktifi'nin (95/46/AT) mimarisinden esinlenerek hazırlanmış bir kanundur — GDPR'ın (2016/679) kendisinden değil. GDPR, 2018'de bu eski direktifi yürürlükten kaldırıp yerine geçti ve hesap verebilirlik, risk temelli yaklaşım, daha yüksek yaptırım tavanları gibi unsurlarla önemli ölçüde genişledi. KVKK ise 2016'da yürürlüğe girdiğinde büyük ölçüde eski direktif modelini takip ediyordu; 7499 sayılı Kanun'la 2024'te yapılan değişiklikler bu açığı daralttı, ama KVKK'yı GDPR'ın birebir yerel çevirisine dönüştürmedi. Sonuç, ortak bir kökten gelen ama farklı yıllarda farklı yönlerde gelişmiş iki kanun.

Hukuki sebepler: benzer kategoriler, farklı uygulama

KVKK Madde 5 ile GDPR Madde 6, kişisel veri işlemenin hukuki sebeplerini büyük ölçüde örtüşen kategorilerle listeler: açık rıza, sözleşmenin kurulması/ifası, hukuki yükümlülük, meşru menfaat, kamuya açık veri gibi. Ancak bu örtüşme birebir değildir — örneğin veri sorumlusunun meşru menfaatine dayanan işleme, KVKK'da 'ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla' şeklinde daha dar bir çerçevede tanımlanırken, GDPR'daki karşılığı Kurul ve AB denetim otoriteleri tarafından farklı içtihatlarla yorumlanmıştır. Bir işlemenin KVKK altında dayandığı hukuki sebep, aynı işlemenin GDPR kapsamına girdiği an otomatik olarak geçerli sayılmaz; her iki rejim için ayrı ayrı değerlendirilmesi gerekir.

İhlal bildirimi: benzer süre, ayrı mekanizma

İki rejimin en somut operasyonel farkı veri ihlali bildiriminde görülür. GDPR Madde 33, denetim otoritesine bildirimi öğrenmeden itibaren mümkünse 72 saat içinde, gecikmeksizin zorunlu kılar. KVKK Madde 12 uyarınca Kurul'a bildirim 'en kısa sürede' yapılmalıdır ve Kurul'un yayımladığı rehberde bu süre 72 saat olarak somutlaştırılmıştır — rakamsal olarak benzese de, bu iki bildirim ayrı otoritelere, ayrı formlarla ve ayrı hukuki dayanaklarla yapılan, birbirinin yerine geçmeyen iki bağımsız süreçtir. AB'deki kişileri de etkileyen bir ihlal yaşadığınızda, hem Kurul'a hem de ilgili AB denetim otoritesine (veya otoritelerine, birden fazla üye ülkede kişi etkilenmişse) ayrı ayrı bildirim yapmanız gerekebilir; birine yapılan bildirim diğerinin yükümlülüğünü karşılamaz.

Yurt dışına veri aktarımı: 2024 sonrası yakınsama, ama Kurul onayı hâlâ merkezde

7499 sayılı Kanun'dan önce KVKK, yurt dışına veri aktarımını açık rıza ya da Kurul onaylı taahhütname gibi görece hantal yollarla sınırlıyordu. 2024 değişiklikleri, GDPR'a benzer bir yapı getirdi: yeterlilik kararı ('yeterli koruma' bulunan ülkeler), standart sözleşme ve bağlayıcı şirket kuralları gibi mekanizmalar artık KVKK'da da mevcut. Bu, gerçek bir yakınsamadır. Ancak uygulamada farklar sürüyor — örneğin KVKK'da standart sözleşmenin Kurul'a belirli bir süre içinde bildirilmesi gerekir; GDPR'daki standart sözleşme maddeleri ise büyük ölçüde kendiliğinden işleyen (self-executing), önceden bildirim gerektirmeyen bir mekanizmadır. AB'ye ihracat yapan bir firmanın aynı veri akışı için hem KVKK'nın hem GDPR'ın aktarım kurallarını ayrı ayrı sağlaması gerekebilir; biri diğerinin belgesini otomatik olarak karşılamaz.

Yaptırımlar: sabit TL tutarı ile ciro yüzdesi

Belki de en yapısal fark yaptırım mimarisinde. KVKK Madde 18, ihlal türüne göre her yıl güncellenen sabit Türk Lirası tutarlarında idari para cezası öngörür. GDPR ise cezayı şirketin küresel yıllık cirosunun belirli bir yüzdesi (en ağır ihlallerde %4'e kadar) üzerinden hesaplar — büyük, uluslararası faaliyet gösteren bir ihracatçı için bu iki model çok farklı mali risk profilleri doğurur. Küçük bir KVKK cezası, aynı ihlalin AB'deki GDPR karşılığında cironuza endeksli, çok daha büyük bir tutara dönüşebilir.

AB temsilcisi: KVKK'nın hiç bilmediği bir yükümlülük

GDPR Madde 3(2) kapsamına giren ve AB'de yerleşik bir kuruluşu bulunmayan firmaların çoğu, Madde 27 uyarınca AB içinde yazılı olarak atanmış bir temsilci bulundurmakla yükümlüdür. KVKK'da bunun bir karşılığı yoktur — VERBİS kaydınız, Türkiye'deki bir veri sorumlusu temsilcisi ya da irtibat kişisi atamanızı gerektirebilir, ama bu AB'deki Madde 27 temsilciliğinin yerine geçmez. AB'ye mal veya hizmet sunan ya da AB'deki kişileri izleyen bir Türk firması için bu, KVKK uyumluluğunun hiçbir aşamasında karşılaşılmayan, tamamen ayrı bir kontrol maddesidir.

AB'ye ihracat yapan firmaların kontrol listesi

• İşleme envanterinizde, hangi hukuki sebebin KVKK'ya, hangisinin GDPR'a göre değerlendirildiği ayrı ayrı belgelenmiş mi, yoksa tek bir ortak sebep mi varsayılıyor?
• Bir veri ihlali senaryosunda, hem Kurul'a hem de ilgili AB denetim otoritesine bildirim yapacak ayrı bir süreciniz var mı?
• AB'ye veri aktarımlarınız, hem KVKK'nın (yeterlilik kararı, Kurul'a bildirilmiş standart sözleşme) hem GDPR'ın kendi aktarım mekanizmasını ayrı ayrı karşılıyor mu?
• GDPR Madde 3(2) kapsamına giren faaliyetiniz için Madde 27 uyarınca bir AB temsilcisi atadınız mı?
• Tedarikçi ve alt işleyici sözleşmeleriniz, KVKK ve GDPR gereksinimlerini tek bir ortak madde setiyle değil, ayrı ayrı karşılayacak şekilde mi hazırlanmış?

Genel bilgilendirme, hukuki tavsiye değildir

Yukarıdakiler genel bilgilendirme amaçlıdır, somut durumunuza ilişkin hukuki tavsiye yerine geçmez. KVKK ile GDPR'ın birbirleriyle nasıl örtüştüğü; sektörünüze, AB'deki faaliyetinizin niteliğine ve veri akışlarınızın yapısına göre değişir. Komplya bu tür içerikleri yayınlarken hukuken gözden geçirilmiş olanla çalışma taslağı niteliğinde olanı açıkça ayırır.

İşleme faaliyetlerinizin hangilerinin yalnızca KVKK'ya, hangilerinin hem KVKK hem GDPR'a tabi olduğunu netleştirmenin en hızlı yolu, gerçek veri akışlarınızı tek tek gözden geçirmektir. Kısa bir uygulanabilirlik anketini yanıtlayın ve iki rejim arasındaki somut farkların şirketiniz için ne anlama geldiğine dair sade bir değerlendirme alın.