KVKK, AB'nin 95/46 sayılı eski Direktifi temel alınarak 2016'da yürürlüğe girmiş; GDPR ise 2018'de Direktifi ilga ederek daha ileri bir koruma rejimi kurmuştur. 2024 tarihli 7499 sayılı değişiklik, özel nitelikli veriler ve yurt dışı aktarım konularında KVKK'yı GDPR'a önemli ölçüde yaklaştırmıştır. Temel farklar; ceza modelinde (GDPR'da küresel cironun %4'üne kadar), veri koruma görevlisi zorunluluğunda ve ilgili kişi haklarının kapsamında devam etmektedir. AB pazarıyla çalışan Türk şirketleri her iki rejime birden tabi olabilir.
Ortak Köken, Ayrışan Evrim
KVKK hazırlanırken AB'nin 1995 tarihli Veri Koruma Direktifi esas alınmıştır. GDPR'ın 2018'de yürürlüğe girmesiyle AB rejimi ileri giderken, KVKK bir süre eski çerçevede kalmıştır. 2024 tarihli 7499 sayılı Kanun değişikliği bu makası önemli ölçüde kapatmıştır: özel nitelikli veri işleme şartları GDPR Madde 9'a paralel genişletilmiş, yurt dışı aktarımda yeterlilik kararı ve standart sözleşme mimarisi GDPR modeliyle uyumlu kurulmuştur.
Türkiye'nin Orta Vadeli Programında GDPR'a tam uyum hedefi yer almakta olup, önümüzdeki dönemde yeni yakınsama adımları beklenmektedir. Bu nedenle bugün GDPR standardında kurulan bir uyum programı, gelecekteki KVKK değişikliklerine de hazırlıklı olmak anlamına gelir.
2026 İtibarıyla Temel Farklar Tablosu
| Konu | KVKK (2026) | GDPR |
|---|---|---|
| Azami idari ceza | 17.092.242 TL (maktu üst sınır) | 20 milyon € veya küresel cironun %4'ü (yüksek olan) |
| Veri koruma görevlisi | Zorunlu DPO yok; VERBİS irtibat kişisi var | Belirli koşullarda DPO ataması zorunlu |
| Sicil sistemi | VERBİS (kamuya açık merkezi sicil) | Merkezi sicil yok; iç kayıt (RoPA) tutulur |
| Unutulma hakkı | Silme/yok etme talep hakkı mevcut; kapsamı içtihatla gelişiyor | Madde 17'de açıkça ve geniş düzenlenmiş |
| Veri taşınabilirliği | Açık düzenleme sınırlı | Madde 20'de açık hak |
| İhlal bildirimi | Kurul uygulamasıyla 72 saat | Metinde açıkça 72 saat |
| Yurt dışı aktarım | 2024 sonrası: yeterlilik + uygun güvenceler + arızi haller | Aynı üçlü mimari (öncü model) |
Türk Şirketi Ne Zaman GDPR'a Tabi Olur?
GDPR'ın ülkesel kapsamı (Madde 3) Türkiye'de yerleşik şirketleri iki durumda yakalar: AB'deki kişilere mal veya hizmet sunuyorsanız (AB'ye satış yapan e-ticaret sitesi, AB müşterilerine hizmet veren SaaS) veya AB'deki kişilerin davranışlarını izliyorsanız (AB ziyaretçilerini hedefleyen çerez/piksel takibi).
Bu durumda şirketiniz her iki rejime birden tabidir ve AB içinde temsilci atama yükümlülüğü de gündeme gelebilir. Çifte uyumun pratik yolu, tek bir veri yönetişim programını en yüksek ortak standartta — çoğu başlıkta GDPR standardında — kurmak ve KVKK'ya özgü yükümlülükleri (VERBİS kaydı, Türk standart sözleşmelerinin bildirimi) bunun üzerine eklemektir.
Sıkça Sorulan Sorular
GDPR uyumluyuz; KVKK için ek ne yapmalıyız?
Temel olarak: VERBİS kaydı ve güncellemeleri, Türk hukukuna göre aydınlatma metinleri, Türk standart sözleşmelerinin imzalanıp Kuruma bildirilmesi ve Kurul kararlarının (örneğin biyometrik veri ilke kararı) takibi. GDPR programınız güçlü bir temel sağlar ama bu modüller Türkiye'ye özgüdür.
AB'ye ihracat yapan üretici GDPR'a tabi mi?
B2B mal ihracatı tek başına GDPR'ı tetiklemez; belirleyici olan AB'deki gerçek kişilerin verilerinin işlenmesidir. AB'deki son kullanıcılara satış, AB çalışanı istihdamı veya AB ziyaretçi takibi varsa kapsam değerlendirmesi yapılmalıdır.
KVKK cezaları GDPR seviyesine çıkar mı?
Ciro bazlı ceza modeline geçiş uzun süredir gündemdedir ve GDPR uyum hedefi kapsamında beklenen reform başlıkları arasındadır. Mevcut maktu üst sınır 17.092.242 TL olsa da, mevzuat değişikliği riski uyum yatırımının gerekçelerinden biridir.
Veri koruma görevlisi (DPO) atamalı mıyız?
KVKK'da zorunlu DPO kurumu yoktur; VERBİS irtibat kişisi farklı ve daha dar bir roldür. Ancak GDPR'a tabiyseniz DPO koşullarını değerlendirmelisiniz; her durumda kurum içinde yetkin bir veri koruma sorumlusu belirlemek iyi yönetişim uygulamasıdır.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Somut durumunuz için uzman görüşü alınız. Kaynak: 6698 sayılı Kanun (mevzuat.gov.tr) ve Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).