Hızlı Cevap: GDPR, AB'de bulunan bireylerin kişisel verilerini işleyen dünya genelindeki her kuruluşa uygulanır; bu, kuruluşun nerede bulunduğuna bakılmaksızın geçerlidir. AB ofisi olmayan Kaliforniya, Singapur veya Brezilya'daki bir şirket, AB sakinlerini hedefliyorsa veya izliyorsa GDPR'ya tamamen tabi olabilir. Uymama durumunda, 20 milyon €'ya kadar veya küresel yıllık gelirinin %4'ü kadar ceza uygulanabilir; hangisi daha yüksekse.
Anahtar Noktalar
- GDPR'nın ekstraterritorial kapsamı, kuruluşun konumuna bakılmaksızın AB sakinlerinin verilerini işleyen herhangi bir kuruluşa uyum yükümlülüklerini genişleten 3. Madde ile tanımlanmıştır.
- İki ana tetikleyici geçerlidir: AB sakinlerine mal veya hizmet sunmak veya AB içindeki davranışlarını izlemek.
- İhlaller için cezalar 20 milyon €'ya veya küresel yıllık cironun %4'üne kadar çıkabilir ve AB veri koruma otoriteleri, AB dışındaki şirketlere karşı yaptırım uygulamıştır. [1][4]
- GDPR'ya tabi olan AB dışındaki şirketler genellikle denetim otoriteleri için bir AB merkezli temsilci atamak zorundadır. [3]
- Uluslararası veri transferleri, Standart Sözleşme Maddeleri (SCC'ler) veya yeterlilik kararları gibi onaylı mekanizmaları gerektirir.
- GDPR, CCPA gibi yasaları doğrudan etkilemiş ve daha sıkı veri koruma standartlarına doğru küresel bir kaymayı işaret etmiştir. [2]
- Avrupa dışında bulunan küçük işletmeler otomatik olarak muaf değildir; ölçek ve veri türü, muafiyetlerin uygulanıp uygulanmayacağını belirler.
- Küresel ölçekte GDPR uyumu için veri yönetimini yapılandırmak, çok uluslu kuruluşlar için genellikle en pratik yaklaşımdır. [8]
Ekstraterritorial Kapsamın GDPR Uyumuna Anlamı
GDPR'nın ekstraterritorial kapsamı, düzenlemenin AB sakinlerinin kişisel verilerinin yer aldığı durumlarda AB sınırları dışında gerçekleşen veri işleme faaliyetlerini yönettiği anlamına gelir. GDPR'nın 3. Maddesi, AB'de bulunan bireylerin kişisel verilerini işleyen AB dışındaki kuruluşlara uygulanabilirliğini açıkça genişletir ve kuruluşun konumuna bakılmaksızın tutarlı veri korumasını sağlar. [6]
Bu, kasıtlı bir tasarım tercihi. AB'nin pozisyonu, sakinlerinin haklarının, bir şirketin başka bir yerde kurulmayı seçmesi nedeniyle azalmaması gerektiğidir. Küresel şirketler için bu, GDPR uyumunun yalnızca coğrafyaya dayalı olarak isteğe bağlı olmadığı anlamına gelir.
Pratikte bu ne anlama geliyor:
- Fransız müşterilere satış yapan bir ABD e-ticaret sitesi uyum sağlamalıdır.
- Alman kullanıcıların tarayıcı davranışlarını izleyen bir Kanadalı SaaS platformu uyum sağlamalıdır.
- İngiliz sakinleri profilleyen bir Avustralyalı analiz firması uyum sağlamalıdır.
GDPR, AB Dışındaki Şirketlere Uygulanır mı?
Evet. GDPR, 3(2). Maddede belirlenen iki ayrı koşul altında AB dışındaki şirketlere uygulanır: kuruluşun AB'deki bireylere mal veya hizmet sunması (ücretsiz hizmetler dahil) veya AB içindeki bireylerin davranışlarını izlemesi durumunda. [6]
AB'de fiziksel varlık bulunması önemli değildir. AB ofisi, AB çalışanı veya AB banka hesabı olmayan bir şirket, AB kullanıcılarına erişilebilen bir web sitesi işletiyorsa ve onlara izleme çerezleri veya davranışsal analiz kullanıyorsa GDPR'nın kapsamına girebilir. [1]
Yaygın hata: Bir şirketin AB müşterilerine aktif olarak pazarlama yapmadığı varsayımıyla muaf olduğunu düşünmek. AB sakinleri hizmete erişebiliyorsa ve verileri işleniyorsa, uyum sorusu hala geçerlidir.
Hangi Ülkeler GDPR Düzenlemelerinden Etkilenir?
GDPR, 27 AB üye devleti ile birlikte üç EEA ülkesinde: İzlanda, Lihtenştayn ve Norveç'te geçerlidir. Brexit sonrası, Birleşik Krallık, neredeyse aynı çerçeve olan UK GDPR altında faaliyet göstermektedir, bu nedenle Birleşik Krallık sakinlerine hizmet veren şirketler paralel yükümlülüklere sahiptir.
Coğrafyanın ötesinde, düzenlemenin kapsamı, AB/EEA sakinlerinin verilerini işleyen herhangi bir kuruluşa küresel olarak uzanmaktadır. Bu, ABD, Hindistan, Çin, Brezilya, Avustralya ve diğer her yargı alanındaki şirketlerin, AB kişisel verilerini işlerken GDPR yükümlülüklerine tabi olabileceği anlamına gelir. [4]
GDPR, AB Verilerini İşleyen ABD Şirketlerine Nasıl Uygulanır?
AB'de bulunan bireylerin kişisel verilerini toplayan, işleyen veya izleyen ABD şirketleri GDPR'ya tabidir; bu, AB'de fiziksel varlığı olmayan ve AB sakinleriyle çevrimiçi platformlar aracılığıyla etkileşimde bulunan işletmeleri de kapsar. [4]
ABD şirketleri için pratik uyum gereklilikleri şunları içerir:
- Bir AB temsilcisi atamak (dar bir muafiyet uygulanmadığı sürece) ve AB denetim otoriteleri ve veri sahipleri için iletişim noktası olarak görev yapmak. [3]
- AB kişisel verilerini işlemek için yasal bir temel oluşturmak (onay, meşru menfaat, sözleşme vb.).
- Veri sahibi hakları süreçlerini uygulamak, veri Sahibi Erişim Taleplerini (DSAR'lar) gerekli süre içinde ele almak.
- AB kişisel verilerini ABD sunucularına taşımak için onaylı transfer mekanizmaları kullanmak, örneğin Standart Sözleşme Maddeleri (SCC'ler).
Schrems II kararı, ABD şirketlerinin yabancı gözetim yasalarını değerlendirmesi ve uluslararası olarak aktarılan AB kişisel verileri için yeterli koruma sağlaması gerektiğini pekiştirmiştir. [7]
Küresel İşletmeler için GDPR Uyumunu Tetikleyen Nedir?
İki davranışsal tetikleyici, bir AB dışı kuruluşun GDPR'ya uyup uymayacağını belirler. İlk olarak, AB sakinlerine mal veya hizmet sunmak, hatta ücretsiz olarak. İkincisi, AB içindeki bireylerin davranışlarını izlemek; bu, izleme çerezlerini, davranışsal profillemeyi ve konum tabanlı analizleri içerir. [6]
Karar kuralı: Kuruluşunuz aşağıdakilerden herhangi birini yapıyorsa, GDPR uyumu gereklidir:
- AB merkezli kullanıcılardan sipariş veya kayıt alıyorsa
- Euro cinsinden fiyatlar gösteriyorsa veya AB'ye özgü promosyonları referans alıyorsa
- AB IP adresleri üzerinden kullanıcı davranışını izleyen analiz araçları kullanıyorsa
- AB kitlelerini hedefleyen yeniden hedefleme kampanyaları yürütüyorsa
- AB merkezli personel için çalışan verilerini işliyorsa
GDPR ve CCPA: Hangisi Şirketinize Uygulanır?
Hem GDPR hem de CCPA aynı şirkete aynı anda uygulanabilir. GDPR, veri sahiplerinin bulunduğu yere (AB/EEA sakinleri) göre uygulanır. CCPA, tüketicilerin bulunduğu yere (Kaliforniya sakinleri) ve işletmenin belirli gelir veya veri hacmi eşiklerini karşılayıp karşılamadığına göre uygulanır.
| Kriter | GDPR | CCPA |
|---|---|---|
| Coğrafi kapsam | AB/EEA sakinleri küresel olarak | Kaliforniya sakinleri |
| İşletme boyutu eşiği | Yok (ölçek risk etkiler) | Gelir veya veri hacmi |
| Maksimum ceza | 20 milyon € veya küresel gelirinin %4'ü | Kasıtlı ihlal başına 7,500 $'a kadar |
| Onay modeli | Genellikle opt-in | Genellikle opt-out |
| Uygulayıcı kurum | Ulusal DPAs | Kaliforniya AG / CPPA |
GDPR, dünya genelinde CCPA da dahil olmak üzere benzer veri koruma yasalarına ilham vermiştir ve sıkı veri koruma standartlarına doğru küresel bir kaymayı göstermektedir. [2] Hem AB hem de Kaliforniya sakinlerine hizmet veren bir şirket, her iki çerçeveyi de karşılamak zorundadır; bu genellikle daha sıkı standart (GDPR) oluşturmak ve bunu geniş bir şekilde uygulamak anlamına gelir.
Bir Şirket, AB Ofisleri Olmadığında GDPR'yı Göz Ardı Edebilir mi?
Hayır. AB ofislerinin, AB çalışanlarının veya AB yasal varlıklarının olmaması, bir şirketi GDPR'dan muaf tutmaz. 3. Madde, düzenlemenin veri sahiplerinin konumuna göre uygulandığını, veri denetleyicisinin veya işleyicisinin konumuna göre değil, açıkça belirtmektedir. [6]
AB veri koruma otoriteleri, GDPR ihlalleri nedeniyle AB dışındaki şirketlere karşı yaptırım uygulamıştır ve bu, düzenlemenin gerçek küresel yaptırım kapsamını göstermektedir. [4] AB'de hiç varlığı olmayan bir şirkete karşı yaptırım uygulamak lojistik olarak daha karmaşık olsa da, imkansız değildir; özellikle şirketin AB müşterileri, AB geliri veya hedeflenebilecek AB odaklı dijital varlıkları olduğunda.
AB Dışı Bir Şirket GDPR'yı İhlal Ederse Ne Olur?
GDPR'ya uymamak, 20 milyon €'ya kadar veya şirketin küresel yıllık gelirinin %4'üne kadar cezalara yol açabilir; hangisi daha yüksekse. [2] Finansal cezalara ek olarak, ihlaller şunlara yol açabilir:
- AB kişisel verilerini işlemeyi durdurma emirleri (bu, AB pazarına erişimi etkili bir şekilde engelleyebilir)
- Denetim otoriteleri tarafından zorunlu denetimler
- İtibar kaybı ve müşteri güveninin kaybı
- Etkilenen veri sahiplerinden gelen medeni talepler
AB dışındaki bir şirket için, yaptırım yolu genellikle atanan AB temsilcisi veya şirketin AB veri sahiplerinin çoğunun bulunduğu AB üye devletindeki denetim otoritesi aracılığıyla işler.
İşletmemin GDPR'ya Uyum Sağlayıp Sağlamadığını Nasıl Anlarım?
Bir işletme, AB'de bulunan bireylerin kişisel verilerini işliyorsa ve 3(2). Maddede tanımlanan "sunma" veya "izleme" tetikleyicilerinden birini karşılıyorsa GDPR'ya uymak zorundadır. [6]
Hızlı öz değerlendirme:
- Web siteniz veya uygulamanız AB kullanıcılarından kayıt kabul ediyor mu?
- AB kullanıcı verilerini işleyen çerezler, pikseller veya analiz araçları kullanıyor musunuz?
- AB merkezli kişilere pazarlama e-postaları gönderiyor musunuz?
- AB üye devletlerinde çalışan personel istihdam ediyor musunuz?
- AB müşterilerinden ödeme verilerini işliyor musunuz?
Bu sorulardan herhangi birinin yanıtı evet ise, GDPR uyum yükümlülükleri geçerlidir. Biscotti CMP gibi bir onay yönetim platformu, kuruluşların çerez onayı ve veri sahipleri tercihlerini GDPR ile uyumlu bir şekilde dijital varlıkları boyunca yönetmelerine yardımcı olabilir.
GDPR, Avrupa Dışındaki Küçük İşletmelere Uygulanır mı?
GDPR, Avrupa dışındaki küçük işletmelere, AB sakinlerinin kişisel verilerini işliyorlarsa ve davranışsal tetikleyicileri karşılıyorlarsa uygulanır. Şirket boyutu veya geliri temelinde genel bir küçük işletme muafiyeti yoktur.
Bununla birlikte, GDPR, işleme faaliyetleri nadir olan, büyük ölçekli hassas veri işleme içermeyen ve bireylerin hakları ve özgürlükleri için risk oluşturması olası olmayan kuruluşlar için AB temsilcisi atama gerekliliğinden sınırlı bir muafiyet içermektedir. [3] Bu, genel bir uyum muafiyeti değil, dar bir muafiyettir.
Bir avuç AB abonesine sahip küçük bir blog teknik olarak kapsam içindedir, ancak yaptırım önceliği doğal olarak daha yüksek riskli, daha yüksek hacimli veri işleyicilerine yöneliktir.
Küresel Olarak GDPR'ya Uymak İçin Veri Yönetimini Nasıl Yapılandırmalıyım?
Birçok AB dışı kuruluş, yalnızca işlerinin bir kısmı AB vatandaşlarını içeriyorsa bile, tüm operasyonlarında GDPR uyumlu uygulamalar benimsemiştir; çünkü yargı alanına göre ayrı veri boru hatları oluşturmak operasyonel olarak pahalıdır. [8]
Küresel GDPR uyumlu veri yönetimi için pratik adımlar:
- Hangi kişisel verilerin toplandığını, nerede saklandığını ve sistemler arasında nasıl aktarıldığını belirlemek için bir veri haritalama çalışması yapın.
- AB kişisel verilerini içeren her işleme faaliyeti için yasal temeller oluşturun.
- Dijital varlıklarda çerez ve izleme onayı için bir onay yönetim çözümü uygulayın.
- AB sakinlerinin haklarını (erişim, silme, taşınabilirlik) gerekli süre içinde kullanabilmeleri için bir DSAR yanıt süreci oluşturun. [5]
- AB yeterlilik kararları olmayan ülkelere uluslararası veri transferleri için Standart Sözleşme Maddelerini uygulayın. [7]
- Madde 27'ye göre gerekli ise bir AB temsilcisi atayın.
- GDPR şeffaflık gerekliliklerini karşılamak için gizlilik politikanızı gözden geçirin ve güncelleyin.
- Veri yönetimi yükümlülükleri ve ihlal bildirim prosedürleri konusunda ilgili personeli eğitin.
Şirketlerin GDPR Ekstraterritorial Kuralları ile İlgili Yaptığı Yaygın Hatalar
AB dışındaki şirketler, onları yaptırım riskiyle karşı karşıya bırakan sürekli uyum hatalarıyla karşılaşmaktadır. [5]
- Fiziksel yokluğun yasal yokluk anlamına geldiğini varsaymak: En yaygın ve maliyetli hata. GDPR kapsamı, veri sahibi konumuna göre belirlenir, şirket konumuna göre değil.
- Bir AB temsilcisi atamayı ihmal etmek: GDPR'ya tabi olan birçok AB dışı şirket bu gerekliliği tamamen göz ardı etmektedir.
- Eski transfer mekanizmalarına güvenmek: Schrems II sonrası, Privacy Shield geçersizdir. Hala buna güvenen şirketler uyumsuzdur.
- AB sakinlerinden gelen DSAR'ları göz ardı etmek: Veri sahibi taleplerine gerekli bir aylık süre içinde yanıt vermemek doğrudan bir GDPR ihlalidir.
- Onayı bir onay kutusu olarak ele almak: GDPR altında onay, serbestçe verilmiş, belirli, bilgilendirilmiş ve belirsiz olmamalıdır. Önceden işaretlenmiş kutular ve paketlenmiş onay uyumsuzdur.
GDPR ile Yerel Veri Gizliliği Yasaları Arasındaki Fark Nedir?
GDPR, tüm sektörlerde veri koruma için yüksek bir temel belirleyen kapsamlı, hak temelli bir çerçevedir. Brezilya'nın LGPD'si, Hindistan'ın DPDP Yasası veya Japonya'nın APPI'si gibi yerel veri gizliliği yasaları, GDPR'nın birçok ilkesini paylaşmakla birlikte kapsam, uygulama mekanizmaları ve özel gereklilikler açısından farklılık gösterir.
Anahtar farklılıklar:
- Sınır kapsamı: GDPR, veri sahibi konumuna göre ekstraterritorial olarak uygulanır. Birçok yerel yasa, esas olarak kendi yargı alanlarında geçerlidir.
- Onay standartları: GDPR, gereksiz işleme için genellikle opt-in onayı gerektirir. Bazı yerel yasalar opt-out modellerine izin verir.
- Uygulama: GDPR'nın ceza yapısı (küresel gelirin %4'üne kadar) dünya genelinde en sert olanlardan biridir. [2]
- Sektörel vs. genel: ABD'de federal bir genel yasa yoktur; sektör spesifik yasalar (HIPAA, COPPA) CCPA gibi eyalet yasalarıyla birlikte varlık gösterir. GDPR, tek bir genel düzenlemedir.
Küresel şirketler için, GDPR uyumu genellikle fiili bir temel olarak hizmet eder; çünkü gerekliliklerini karşılamak, daha az katı yerel çerçevelerdeki birçok yükümlülüğü de karşılar.
Sonuç
GDPR'nın ekstraterritorial kapsamı: küresel şirketlerin neden uyması gerektiği, soyut bir hukuki tartışma değildir. Bu, AB sakinlerinin kişisel verilerini işleyen herhangi bir kuruluşu etkileyen operasyonel bir gerçektir; bu, kuruluşun nerede kurulduğu veya merkezinin nerede bulunduğu ile ilgili değildir. Uyum tetikleyicileri açıktır, cezalar önemlidir ve yaptırım AB sınırlarının ötesine uzanmıştır.
2026 için uygulanabilir sonraki adımlar:
- Veri akışlarınızı denetleyin ve AB kişisel verilerinin sistemlerinizde herhangi bir yerde işlenip işlenmediğini doğrulayın.
- Çerez onayı ve izleme uygulamalarınızın GDPR'nın opt-in standardını karşıladığını, Biscotti CMP gibi uyumlu bir araç kullanarak doğrulayın.
- Uluslararası veri transferi anlaşmalarınızı gözden geçirin ve gerekli yerlerde SCC'lerin mevcut olduğunu doğrulayın.
- Kuruluşunuz eşiği karşılıyorsa bir AB temsilcisi atayın.
- Zamanında uyum sağlamak için DSAR yanıt sürecinizi oluşturun veya gözden geçirin.
Küresel veri operasyonlarına GDPR uyumunu entegre etmek sadece bir hukuki yükümlülük değil; aynı zamanda bir kuruluşun veri gizliliğine ciddiyetle yaklaştığını gösteren giderek artan bir rekabet sinyalidir.
SSS
Eğer şirketim kasıtlı olarak AB müşterilerine sahip değilse GDPR uygulanır mı? Eğer AB sakinleri hizmetinize erişebiliyorsa ve verileri işleniyorsa, kasıtlı hedeflemenin yokluğu otomatik olarak muafiyet sağlamaz. Denetim otoriteleri, gerçek veri akışlarını değerlendirir, pazarlama niyetini değil.
GDPR altında bir AB temsilcisi nedir? AB temsilcisi, GDPR'ya tabi bir AB dışı şirket adına veri koruma otoriteleri ve AB veri sahipleri için iletişim noktası olarak görev yapan AB'de kurulmuş bir kişi veya kuruluştur. [3]
AB dışındaki şirketler için GDPR'dan muafiyet var mı? AB temsilcisi gerekliliği, nadir, düşük riskli işleme için dar bir muafiyet içermektedir. Ancak, şirket boyutu veya AB dışı konum temelinde GDPR uyumundan genel bir muafiyet yoktur.
Standart Sözleşme Maddeleri (SCC'ler) nedir? SCC'ler, Avrupa Komisyonu tarafından verilen, AB'den yeterlilik kararı olmayan ülkelere kişisel verilerin aktarımı için yasal bir mekanizma sağlayan önceden onaylı sözleşme şartlarıdır. [7]
Bir şirketin DSAR'ya yanıt vermesi için ne kadar süresi vardır? GDPR'ya göre, kuruluşlar bir Veri Sahibi Erişim Talebine bir takvim ayı içinde yanıt vermelidir; karmaşık durumlarda iki ek ay uzatılabilir ve talep sahibine bildirilmelidir. [5]
AB dışındaki bir şirkete AB veri koruma otoriteleri ceza verebilir mi? Evet. AB'de hiç varlığı olmayan şirketler için yaptırım daha karmaşık olsa da, DPAlar, özellikle AB odaklı hizmetleri veya AB gelir akışları olan AB dışındaki şirketlere karşı eylemler başlatmıştır. [4]
GDPR uyumu tek seferlik bir proje midir? Hayır. GDPR uyumu sürekli bir yükümlülüktür. Veri akışları değişir, yeni işleme faaliyetleri eklenir ve düzenleyici rehberlik gelişir. Düzenli denetimler ve güncellemeler gereklidir.
GDPR altında veri denetleyicisi ve veri işleyicisi arasındaki fark nedir? Veri denetleyicisi, kişisel verilerin işlenmesinin amaçlarını ve araçlarını belirler. Veri işleyicisi, verileri bir denetleyici adına işler. Her ikisinin de GDPR yükümlülükleri olabilir ve AB dışındaki varlıklar her ikisi de olabilir.
Etkileşimli GDPR Uyum Kontrol Aracı
Referanslar
[1] GDPR For US Companies - https://www.recordinglaw.com/world-laws/world-data-privacy-laws/eu-data-privacy-laws/gdpr-for-us-companies/?utm_source=openai
[2] International Data Privacy Laws Rights And Compliance - https://legalclarity.org/international-data-privacy-laws-rights-and-compliance/?utm_source=openai
[3] Global Data Privacy Regulation Key Rules And Penalties - https://legalclarity.org/global-data-privacy-regulation-key-rules-and-penalties/?utm_source=openai
[4] GDPR Compliance For US Companies - https://www.igdpr.eu/en/gdpr-compliance-for-us-companies/?utm_source=openai
[5] Assessing The Impact Of GDPR On DSAR Compliance For Non-EU Companies - https://www.gdpr-advisor.com/assessing-the-impact-of-gdpr-on-dsar-compliance-for-non-eu-companies/?utm_source=openai
[6] Why Does GDPR Apply Outside The EU - https://www.cyberly.org/en/why-does-gdpr-apply-outside-the-eu/index.html?utm_source=openai
[7] How GDPR Affects Global Industry Compliance - https://www.cyberly.org/en/how-does-gdpr-affect-global-industry-compliance/index.html?utm_source=openai
[8] How GDPR Is Shaping Global Data Protection Policies Beyond The EU - https://www.gdpr-advisor.com/how-gdpr-is-shaping-global-data-protection-policies-beyond-the-eu/?utm_source=openai