Kişisel veriyi Türkiye’de işliyor ve AB’ye mal veya hizmet sunuyorsanız, KVKK ve GDPR birlikte uygulanır. Bu eksiklik raporu, her yükümlülük karşısında nerede olduğunuzu yan yana koyar, şiddeti puanlar ve her boşluğu kapatmak için sorumlu ile tarihi belirler.
Rapor şablonunu indirKişisel veriyi Türkiye’de işleyen ve AB’ye mal veya hizmet sunan bir şirket, aynı anda KVKK (6698 sayılı Kanun) ve GDPR kapsamındadır. İki rejim çoğu ilkede örtüşür; ama bulguyu doğuran ayrıntılarda ayrışır: aktarım mekanizması, sicil, ihlal süresi ve temsilci.
İki ayrı denetim yürütmek, bir rejim için yapılan düzeltmenin diğerini bozmasına davetiye çıkarır — GDPR’a göre geçerli ama Kurul’a hiç bildirilmemiş bir aktarım çözümü ya da GDPR açıklamalarını taşımayan bir aydınlatma metni gibi. Tek bir eksiklik raporu, iki sütunu tek bir işleme envanterine karşı haritalar.
İşlevi kusursuz olduğunuzu kanıtlamak değil; her boşluğun karşısına bir tarih ve bir sorumlu koyarak kendinizi değerlendirdiğinizi göstermektir. Bu öz-değerlendirme kaydı, hem Kurul’un hem de bir AB denetim makamının ilk istediği belgedir; çünkü hesap verebilirlik başlı başına bir yükümlülüktür.
| Alan | KVKK (6698) | GDPR (2016/679) |
|---|---|---|
| Aydınlatma | m.10 | m.13-14 |
| Hukuki sebep | m.5-6 (açık rıza / istisnalar) | m.6, 9 |
| Güvenlik | m.12 + Kurul kararları | m.32 |
| Kayıt | VERBİS kaydı | m.30 kayıtları |
| Yurt dışına aktarım | m.9 — yeterlilik; 5 iş günü içinde Kurul’a bildirilen standart sözleşme; Kurul onaylı BCR veya Kurul izinli taahhütname; arızi aktarım istisnaları | m.44-49 (yeterlilik / SCC / BCR / istisnalar) |
| İhlal | m.12(5) — Kurul’a (Kurul kararı: 72 saat) ve ilgili kişilere bildirim | m.33-34 (makama 72 saat) |
| İlgili kişi hakları | m.11 başvuru; 30 gün yanıt | Bölüm III; bir ay |
| İşleyen | veri işleyen — yazılı talimat | m.28 DPA (sekiz hüküm) |
| Temsilci | Yurt dışı sorumlu: VERBİS + temsilci | m.27 AB temsilcisi |
| Etki değerlendirmesi | Genel yasal zorunluluk değil | m.35 DPIA (yüksek risk) |
Hükümler, KVKK m.9’daki 2024 değişikliği dâhil, sayfanın hazırlandığı tarihteki metni yansıtır. Yürürlükteki metinle teyit edin.
On alan; her biri rejim ve şiddete göre puanlı, sorumlu ve tarihli. Metni kopyalayın veya markdown indirin. Kayıt istemiyoruz.
# KVKK + GDPR EKSİKLİK (BOŞLUK) RAPORU Belge kodu: COMP-GAP-01 · Sürüm 1.0 · Gizlilik: Şirket içi Kuruluş: .................... Kapsam (şirket / sistem): .................... Hazırlayan: .............. Tarih: ....../....../20.... ŞİDDET: [1] kritik [2] yüksek [3] orta [4] düşük DURUM: açık / sürüyor / kapandı Her alan için bulguyu, etkilenen rejimi, şiddeti, sorumluyu ve tarihi yazın. ALAN 1 — AYDINLATMA (KVKK m.10 / GDPR m.13-14) Bulgu: ........................................................ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu: ........ Hedef: ../../20.. Kontrol: her işleme için metin; sorumlu kimliği; amaçlar; hukuki sebep; alıcılar; aktarımlar; saklama; ilgili kişi hakları. ALAN 2 — HUKUKİ SEBEP (KVKK m.5-6 / GDPR m.6, 9) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: her amaca bir hukuki sebep; açık rıza yalnızca başka sebep yoksa; özel nitelikli veri daha katı rejimle. ALAN 3 — VERİ GÜVENLİĞİ (KVKK m.12 / GDPR m.32) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: teknik ve idari tedbirler belgeli; erişim denetimi; uygun yerde şifreleme; işleyen güvenliği sözleşmeyle yansıtılmış. ALAN 4 — KAYIT (VERBİS kaydı / GDPR m.30) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: VERBİS kaydı güncel ve doğru; m.30 işleme kayıtları tutuluyor. ALAN 5 — YURT DIŞINA AKTARIM (KVKK m.9 / GDPR m.44 vd.) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: her aktarım bir mekanizmaya bağlanmış (yeterlilik / standart sözleşme / Kurul onaylı BCR / Kurul izinli taahhütname / arızi aktarım istisnası); KVKK standart sözleşmesi 5 iş günü içinde Kurul'a bildirilmiş; GDPR SCC doldurulmuş ve gerekli yerde aktarım etki değerlendirmesi var. ALAN 6 — İHLAL MÜDAHALESİ (KVKK m.12 / GDPR m.33-34) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: yazılı prosedür; Kurul'a (Kurul kararı: 72 saat) ve AB denetim makamına (72 saat), gerektiğinde ilgili kişilere bildirim; ihlal kütüğü. ALAN 7 — İLGİLİ KİŞİ HAKLARI (KVKK m.11, 13 / GDPR Bölüm III) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: başvuru kanalı; KVKK'da 30 gün içinde yanıt; GDPR'da bir ay; kimlik doğrulama ve yanıt kaydı. ALAN 8 — İŞLEYEN SÖZLEŞMELERİ (veri işleyen / GDPR m.28) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: her işleyen için yazılı talimat ve güvenlik; GDPR DPA'sında m.28(3)'teki sekiz hüküm (Madde 28 kontrol listesine bakın). ALAN 9 — TEMSİL & KAYIT (KVKK temsilci / GDPR m.27) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: yurt dışında yerleşik sorumlunun VERBİS kaydı ve Türkiye temsilcisi; GDPR m.3(2) uygulanıyorsa AB temsilcisi. ALAN 10 — ETKİ DEĞERLENDİRMESİ (GDPR m.35; sektörel iyi uygulama) Bulgu: ........ Rejim: KVKK [ ] GDPR [ ] Şiddet: [ ] Sorumlu/Hedef: .... Kontrol: yüksek riskli işleme için DPIA; büyük ölçekli özel nitelikli veri veya sistematik izleme işaretlenmiş. ÖZET Açık [1] / [2] madde: .... Giderme planı ref: .................... Sonraki inceleme: ....../....../20.... Bu rapor şablonu genel niteliktedir ve hukuki danışmanlık oluşturmaz.
Boşluklar çoğu kez tam da KVKK ile GDPR’ın anlaşmayı bıraktığı yerde saklanır:
Uygulanabilir. KVKK, Türkiye ile bağlantılı işlemeye uygulanır; GDPR ise AB’de yerleşikseniz ya da AB’deki kişileri hedefliyor veya izliyorsanız (m.3) uygulanır. AB’ye satış yapan bir Türk şirketi ya da Türk verisini işleyen bir AB şirketi aynı anda ikisinin içinde olabilir.
Hayır. İlkeler örtüşür; ancak KVKK’nın kendi aktarım mekanizması, kendi VERBİS sicili, kendi temsilci kuralı ve kendi süreleri vardır. GDPR programı güçlü bir temeldir ama KVKK’ya özgü maddeler ayrıca değerlendirilir.
Madde 9, GDPR’a yaklaşan kademeli bir modele geçti: önce yeterlilik kararı; yoksa uygun güvenceler — beş iş günü içinde Kurul’a bildirilen standart sözleşme, Kurul onaylı bağlayıcı şirket kuralları ya da Kurul izniyle yazılı taahhütname; en son arızi aktarımlar için istisnalar. Açık rıza artık rutin bir aktarım dayanağı değil, yalnızca bu arızi aktarım istisnalarından biridir.
Kendi idari para cezası olan, ayrı ve görünür bir yükümlülüktür; bu yüzden genelde yüksek puan alır. Ayrıca ilk bakılan şeylerden biridir; raporun kaydı ayrı bir alan olarak işaretlemesinin nedeni budur.
Hayır. Öz-değerlendirmeyi yapılandırır ve boşlukları görünür kılar; böylece inceleme daha hızlı ve ucuz olur. Puanlama ve her bulgudaki hukuki sonuçlar yine gerçek sistemlerinize karşı yetkin bir incelemeyi gerektirir.