GDPR nedir?

Genel Veri Koruma Yönetmeliği (GDPR), Avrupa Birliği (AB) tarafından yürürlüğe giren ve 25 Mayıs 2018'de yürürlüğe giren kapsamlı bir veri gizliliği yasasıdır. Yaygın olarak dünyadaki en zorlu gizlilik ve güvenlik yasalarından biri olarak kabul edilir.

GDPR özünde bireylere ("veri sahipleri" olarak anılır) kişisel verileri üzerinde daha fazla kontrol sağlamak ve düzenlemeyi AB içinde birleştirerek uluslararası ticarete yönelik düzenleyici ortamı basitleştirmek için tasarlanmıştır.

GDPR Neden Oluşturuldu?

GDPR'den önce Avrupa, 1995 Veri Koruma Direktifi'ne dayanıyordu. Ancak teknolojinin hızla ilerlemesi ve internetin patlaması, büyük miktarda kişisel verinin eski direktifin etkili bir şekilde yönetemeyeceği şekillerde toplanması, paylaşılması ve paraya dönüştürülmesi anlamına geliyordu.

GDPR, bu modern zorlukların üstesinden gelmek, kuruluşların kişisel bilgileri nasıl ele alması gerektiğine ilişkin net kurallar belirlemek, şeffaflığı sağlamak ve uyumsuzluk durumunda güçlü cezalar sağlamak amacıyla uygulamaya konuldu.

GDPR Kimlere Uygulanır?

GDPR'nin en önemli yönlerinden biri bölge dışı erişimidir. Bu sadece AB içinde yer alan işletmeler için geçerli değildir. İşlemenin aşağıdakilerle ilgili olması koşuluyla, dünyanın herhangi bir yerinde, AB'de ikamet eden bireylerin kişisel verilerini işleyen herhangi bir kuruluş için geçerlidir:

AB vatandaşlarına mal veya hizmet sunmak (hiçbir ödeme gerekmese bile).
AB vatandaşlarının davranışlarının izlenmesi (örneğin web izleme veya profil oluşturma yoluyla).

Bu, Kaliforniya veya Tokyo merkezli bir şirketin, Avrupalı müşterileri hedefliyorsa GDPR'ye uyması gerektiği anlamına geliyor.

GDPR'nin Temel İlkeleri

Kuruluşların kişisel verileri işlerken yedi temel ilkeye uyması gerekir:

Yasallık, Adillik ve Şeffaflık: Veriler, veri sahibiyle ilgili olarak yasal, adil ve şeffaf bir şekilde işlenmelidir.
Amaç Sınırlaması: Veriler yalnızca belirtilen, açık ve meşru amaçlar için toplanmalı ve bu amaçlarla bağdaşmayan bir şekilde daha fazla işlenmemelidir.
Veri Minimizasyonu: Yalnızca amaçlanan amaç için kesinlikle gerekli olan veriler toplanmalıdır.
Doğruluk: Veriler doğru ve güncel tutulmalıdır. Yanlış veriler gecikmeksizin silinmeli veya düzeltilmelidir.
Depolama Sınırlaması: Veriler yalnızca amacını gerçekleştirmek için gerekli olduğu süre boyunca saklanmalıdır.
Bütünlük ve Gizlilik (Güvenlik): Veriler, uygun güvenliği sağlayacak ve yetkisiz erişime, kayıp veya hasara karşı koruma sağlayacak şekilde işlenmelidir.
Sorumluluk: Veri sorumlusu tüm bu ilkelere uygunluğun gösterilmesinden sorumludur.

Kişilerin Hakları (Veri Sahibi)

GDPR, bireylere kişisel verileriyle ilgili güçlü yeni haklar veriyor:

Bilgilenme Hakkı: Bireyler hangi verilerin toplandığını, neden toplandığını ve ne kadar süre saklanacağını bilme hakkına sahiptir.
Erişim Hakkı: Bireyler, bir kuruluş tarafından tutulan kişisel verilerinin bir kopyasını talep edebilir.
Düzeltme Hakkı: Kişiler hatalı veya eksik verileri düzelttirebilir.
Silinme Hakkı ("Unutulma Hakkı"): Belirli durumlarda bireyler, verilerinin silinmesini talep edebilir.
İşlemeyi Kısıtlama Hakkı: Bireyler, bir kuruluştan verilerinin işlenmesini duraklatmasını talep edebilir.
Veri Taşınabilirliği Hakkı: Bireyler, verilerini yapılandırılmış, yaygın olarak kullanılan bir formatta başka bir hizmet sağlayıcıya aktarmak için talep edebilirler.
İtiraz Hakkı: Bireyler, verilerinin doğrudan pazarlama gibi belirli amaçlarla işlenmesine itiraz edebilir.

GDPR Kapsamında Onay

GDPR, rıza alma çıtasını önemli ölçüde yükseltti. Önceden işaretlenmiş kutuların veya 50 sayfalık Hizmet Şartları belgesinin derinliklerine gömülü zorunlu izinlerin olduğu günler geride kaldı.

GDPR uyarınca izin şu şekilde olmalıdır:

Serbestçe verilen: Bireyin gerçek bir tercih hakkı olmalıdır.
Özel: Belirli bir amaç için onay verilmelidir.
Bilgilendirilmiş: Birey neye rıza gösterdiğini bilmelidir.
Belirsiz: Açık bir olumlu eylem içermelidir (ör. aktif olarak bir kutuyu işaretlemek).

Ayrıca bireylerin rızalarını verdikleri kadar kolaylıkla geri alabilmeleri gerekmektedir.

Uyumsuzluğun Maliyeti

GDPR, uyumu önemli mali cezalara zorunlu kılar. Düzenlemeyi ihlal eden kuruluşlar, hangisi daha yüksekse, 20 milyon Euro'ya veya önceki mali yılın küresel yıllık cirolarının (gelirlerinin) %4'üne kadar para cezasına çarptırılabilir. Bu yüksek cezalar, AB'nin veri gizliliğine yaklaşımının ciddiyetinin altını çiziyor.

Çözüm

GDPR, veri gizliliği alanında büyük bir değişimi temsil ediyor. Kişisel bilgileri toplayan ve işleyen kuruluşlardan şeffaflık ve hesap verebilirlik talep ederek gücü tekrar tüketicilerin ellerine veriyor. Uyumluluk işletmeler için karmaşık olsa da, GDPR dünya çapında benzer mevzuata ilham vererek ve gizliliği dijital ekonomide ön plana çıkararak küresel bir standart belirlemiştir.