Genel Veri Koruma Tüzüğü (GDPR)

Giriş

Genel Veri Koruma Yönetmeliği (GDPR), Avrupa Birliği (AB) tarafından Nisan 2016’da kabul edilen bir veri koruma yasaları çerçevesidir. 1995 AB Veri Koruma Direktifi’nin yerini alır ve AB’deki bireylerin kişisel verilerinin korunmasını arttırır. GDPR, bireylerin kişisel verileriyle ilgili haklarını ve bu verileri işleyen kuruluşların yükümlülüklerini belirler.

Ayrıca, AB genelinde uygulanan tek bir veri koruma kuralı oluşturur ve kişilerin kişisel verilerinin nerede işlenirse işlensin, tutarlı bir şekilde korunmasını sağlar. GDPR, kuruluşların konumuna bakılmaksızın, AB’deki bireylerin kişisel verilerini işleyen kuruluşlara uygulanır. Ayrıca, AB’deki bir denetleyicinin veya işleyicinin faaliyetleri bağlamında kişisel verilerin işlenmesi durumunda, işlemenin AB’de gerçekleşip gerçekleşmemesi fark etmeksizin uygulanır.

GDPR’nin Amacı

Genel Veri Koruma Yönetmeliği’nin (GDPR) amacı, Avrupa Birliği’ndeki (AB) bireylerin kişisel verilerini korumaktır. GDPR, bireylerin kişisel verileriyle ilgili haklarını ve bu verileri işleyen kuruluşların yükümlülüklerini belirler. Kişisel verilerin toplanması, kullanımı ve saklanması için net kurallar ve prosedürler oluşturarak bireylere kişisel verileri üzerinde daha fazla kontrol sağlamayı amaçlamaktadır. GDPR ayrıca AB genelinde veri koruma yasalarını uyumlaştırmayı hedefleyerek, kişilerin kişisel verilerinin nerede işlenirse işlensin, tutarlı bir şekilde korunmasını sağlar. Ayrıca, GDPR, AB içindeki kişisel veri akışını artırmayı amaçlarken, AB dışına transfer edildiğinde AB bireylerinin kişisel verilerinin korunmasını da sağlamaktadır. Genel olarak, GDPR’nin amacı, AB bireylerinin kişisel verilerini korumak ve AB genelinde veri koruma için güçlü, tutarlı bir çerçeve oluşturmaktır.

GDPR’nin Kapsamı

Genel Veri Koruma Yönetmeliği’nin (GDPR) kapsamı geniştir ve Avrupa Birliği’nde (AB) bulunan veya AB’deki bireylere mal veya hizmet sunan veya AB’deki bireylerin davranışlarını izleyen kuruluşların kişisel verilerinin işlenmesini kapsar. GDPR, işlem AB’de gerçekleşse de gerçekleşmese de, bir kontrolcü veya işlemcinin AB’deki bir kuruluşunun faaliyetleri bağlamında kişisel verilerin işlenmesine uygulanır. Bu, bir kuruluşun AB’de bulunmamasına rağmen AB’deki bireylerin kişisel verilerini işlerse, yine de GDPR gerekliliklerine uygun olması gerektiği anlamına gelir. Ek olarak, GDPR, kuruluşun konumuna bakılmaksızın, AB’deki bireylerin kişisel verilerini işleyen kuruluşlara da uygulanır. Bu, bir kuruluşun AB dışında bulunmasına rağmen AB’deki bireylerin kişisel verilerini işlerse, yine de GDPR gerekliliklerine uygun olması gerektiği anlamına gelir. Genel olarak, GDPR’nin kapsamı geniştir ve kuruluşun konumu veya işleme konusu ne olursa olsun, AB’deki bireylerin kişisel verilerini işleyen kuruluşlara uygulanır. GDPR’nin Temel Hükümleri Genel Veri Koruma Yönetmeliği (GDPR), Avrupa Birliği’ndeki (AB) bireylerin kişisel verilerini korumayı amaçlayan birçok temel hüküm içerir. Bu hükümler, bireylerin kişisel verileriyle ilgili haklarını ve bu verileri işleyen kuruluşların yükümlülüklerini belirler. GDPR’nin bazı temel hükümleri şunları içerir:

Bilgilendirme Hakkı

GDPR kapsamında, organizasyonlar kişisel verilerin kullanımı konusunda şeffaf olmak zorundadır ve bireylere hakları ve kişisel verilerinin nasıl kullanılacağı hakkında net ve öz bilgi sağlamakla yükümlüdür.

Erişim Hakkı

GDPR, bireylere kişisel verilerine erişim talebinde bulunma ve bu verilerin bir kopyasını talep etme hakkı verir.

Düzeltme Hakkı

GDPR, kişisel verileri yanlış veya eksik ise düzeltilmesi için bireylere hak verir.

Silinme Hakkı (“Unutulma Hakkı”)

GDPR, verilerin toplandığı amaç için artık gerekli olmadığı durumlarda, bireylerin kişisel verilerinin silinmesini talep etme hakkı verir.

İşlem Sınırlama Hakkı

GDPR, bireylerin kişisel verilerinin yalnızca belirli amaçlar için işlenmesini veya hiç işlenmemesini talep etme hakkı verir.

Veri taşınabilirliği hakkı

GDPR, bireylere kişisel verilerini yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilir bir formatta almayı ve bu verileri başka bir kuruluşa iletmeyi hak verir.

İtiraz hakkı

GDPR, bireylerin kişisel verilerinin belirli amaçlar için işlenmesine, örneğin doğrudan pazarlama amaçları için işlenmesine itiraz etme hakkını verir.

Otomatik karar verme ve profil oluşturma ile ilgili haklar

GDPR, bireylerin yalnızca otomatik işleme dayalı bir karara, profil oluşturma dahil, maruz kalmama hakkını verir, bu kararlar hukuki sonuçlar doğuruyorsa veya bireyleri önemli ölçüde etkiliyorsa. Genel olarak, GDPR’nin bu temel hükümleri, bireylere kişisel verileri üzerinde daha fazla kontrol sağlamayı ve bu verilerin toplanması, kullanımı ve depolanması için açık kurallar oluşturmayı amaçlamaktadır.

Uyum Sağlanmaması Durumunda Alınacak Cezalar

Genel Veri Koruma Yönetmeliği’ne (GDPR) uymayan organizasyonlar büyük para cezaları ile karşı karşıya kalabilirler. GDPR, daha ciddi ihlaller için daha yüksek cezaların mümkün olabileceği basamaklı bir ceza sistemi belirler. GDPR’ye göre, izinsiz kişisel veri işleme veya kişisel veri ihlalini bildirmeme gibi en ciddi ihlaller için organizasyonlar yıllık küresel cirolarının %4’üne veya 20 milyon € (hangisi daha fazlaysa) kadar para cezasına çarptırılabilirler. Kişisel veri işleme için izin alınmaması veya işleme faaliyetlerinin kaydedilmemesi gibi daha az ciddi ihlaller için organizasyonlar, yıllık küresel cirolarının %2’sine veya 10 milyon € (hangisi daha fazlaysa) kadar para cezası ödeyebilirler. GDPR, ayrıca para cezalarına ek olarak, uyarı mektupları, kınama ve işlemleri durdurma emri gibi diğer yaptırımlar uygulama yetkisini denetim otoritelerine verir. Genel olarak, GDPR uyumunu teşvik etmek ve kişisel verilerin korunmasını ciddiye almaya teşvik etmek amacıyla, GDPR, uyum sağlanmaması durumunda ciddi para cezaları uygulayan bir ceza sistemi kurar.

Geçiş Dönemi ve Yürürlük Tarihi

Genel Veri Koruma Yönetmeliği (GDPR), Avrupa Birliği (AB) tarafından 27 Nisan 2016 tarihinde kabul edildi ve 25 Mayıs 2018 tarihinde yürürlüğe girdi. Kuruluşların politika ve uygulamalarını GDPR gerekliliklerine uygun hale getirmeleri için bir geçiş dönemi vardı. Bu geçiş dönemi boyunca, kuruluşların veri koruma politikalarını ve uygulamalarını gözden geçirmeleri, GDPR gerekliliklerine uygunluğunu değerlendirmeleri ve gerektiğinde değişiklik yaparak GDPR’ye uyumlu hale getirmeleri bekleniyordu. GDPR, AB’de yerleşik olan veya AB’deki bireylere mal veya hizmet sunan veya AB’deki bireylerin davranışlarını izleyen kuruluşların kişisel verilerin işlenmesine uygulanır. Ayrıca, denetleyicinin veya işleyicinin AB’deki bir kuruluşun faaliyetleri çerçevesinde kişisel verilerin işlenmesi de olsa, işleme yerinin AB’de olup olmamasına bakılmaksızın GDPR’ye tabidir. Bu, bir kuruluşun AB’de bulunmasa bile, AB’deki bireylerin kişisel verilerini işliyorsa GDPR gerekliliklerine uygun olması gerektiği anlamına gelir. Genel olarak, GDPR 25 Mayıs 2018’de yürürlüğe girdi ve işleme yerinin veya kuruluşun yeri ne olursa olsun, AB’deki bireylerin kişisel verilerini işleyen kuruluşlara uygulanmaktadır.