This article is published in Turkish.

KVKK ve GDPR Karşılaştırması

Published 15 March 202515.03.2025 · Last updatedUpdated 8 July 202608.07.20265 min read

Summary

Türkiye'nin 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ile Avrupa Birliği'nin Genel Veri Koruma Tüzüğü (GDPR) arasındaki temel farklar ve benzerlikler, uluslararası operasyonlar için uyum gereksinimleri perspektifinden.

1. Giriş

Küreselleşen iş dünyasında, birçok şirket hem Türkiye'de hem de Avrupa Birliği ülkelerinde faaliyet göstermektedir. Bu durum, hem KVKK hem de GDPR'a uyum zorunluluğunu beraberinde getirmektedir. İki düzenleme arasındaki farklılıkların anlaşılması, çifte uyum stratejilerinin geliştirilmesi için önem taşımaktadır.

2. Genel Bakış

KVKK, 2016 yılında yürürlüğe girmiş olup büyük ölçüde 95/46/EC sayılı AB Veri Koruma Direktifi'nden esinlenmiştir. GDPR ise 2018'de yürürlüğe girmiş ve veri koruma alanında yeni bir standart belirlemiştir. Her iki düzenleme de benzer ilkelere dayanmakla birlikte, önemli farklılıklar içermektedir.

Özellik	KVKK	GDPR
Yürürlük	7 Nisan 2016	25 Mayıs 2018
Hukuki nitelik	Kanun	Tüzük (doğrudan uygulanır)
Kapsam	Türkiye'de veri işleme	AB'de yerleşik veya AB sakinlerinin verilerini işleyen
Denetim otoritesi	KVKK Kurulu	Üye devlet veri koruma otoriteleri

3. İşleme Şartları Karşılaştırması

Standart Kişisel Veriler

Hukuki Dayanak	KVKK (m.5)	GDPR (m.6)
Açık rıza	✓	✓
Kanunda açıkça öngörülme	✓	✓ (hukuki yükümlülük)
Sözleşmenin ifası	✓	✓
Hukuki yükümlülük	✓	✓
Hayati menfaat	✓	✓
Meşru menfaat	✓	✓ (daha detaylı)
Kamu görevi	✓ (m.5/2-ç)	✓ (ayrı dayanak)
Hakkın tesisi/korunması	✓	- (meşru menfaat içinde)
Alenileştirme	✓	- (özel kategoride)

4. İlgili Kişi Hakları

Hak	KVKK	GDPR
Bilgi edinme/erişim	✓ (m.11/a-d)	✓ (m.15)
Düzeltme	✓ (m.11/e)	✓ (m.16)
Silme (unutulma hakkı)	✓ (m.11/f)	✓ (m.17 - daha detaylı)
İşlemenin kısıtlanması	✗	✓ (m.18)
Veri taşınabilirliği	✗	✓ (m.20)
İtiraz hakkı	Sınırlı (m.11/g)	✓ (m.21 - geniş)
Otomatik karar almaya itiraz	✓ (m.11/h)	✓ (m.22 - daha detaylı)
Tazminat	✓ (m.11/ı)	✓ (m.82)

ÖNEMLİ FARK: VERİ TAŞINABİLİRLİĞİ

GDPR'daki veri taşınabilirliği hakkı (m.20), ilgili kişinin verilerini yapılandırılmış, yaygın kullanılan ve makine tarafından okunabilir formatta alma ve başka bir veri sorumlusuna iletme hakkı tanır. KVKK'da bu hak açıkça düzenlenmemiştir.

5. Özel Nitelikli Veriler

Özellik	KVKK (m.6)	GDPR (m.9)
Kategori listesi	Kapalı liste	Açık uçlu ("veya benzer")
Genetik veri	✓	✓
Biyometrik veri	✓	✓
Cinsel yaşam/yönelim	✓ (ayrı)	✓ (birlikte)
Ceza mahkumiyeti	✓	Ayrı madde (m.10)
İşleme yasağı	Kural olarak yasak	Kural olarak yasak
İstisna sayısı	Daha az	10 istisna

6. Yurt Dışı Aktarım

Mekanizma	KVKK (m.9)	GDPR (m.44-49)
Yeterlilik kararı	✓ (henüz ilan edilmedi)	✓ (13+ ülke onaylı)
Standart sözleşme hükümleri	Standart sözleşme (Kurul izni gerekmez, m.9/4-c); Taahhütname (Kurul izni gerekli, m.9/4-ç)	SCCs (otorite izni gerekmez)
Bağlayıcı şirket kuralları	✓	✓
Açık rıza	Yalnızca arızi aktarımlarda (m.9/6)	İstisna/son çare
Davranış kuralları	✗	✓
Sertifikasyon	✗	✓

7. Veri Koruma Görevlisi (DPO)

Özellik	KVKK	GDPR
DPO zorunluluğu	✗ (İrtibat kişisi var)	✓ (belirli durumlarda)
Bağımsızlık güvencesi	-	✓
Görevden alma koruması	-	✓
Profesyonel nitelik	-	✓

8. Veri İhlali Bildirimi

Özellik	KVKK (m.12/5)	GDPR (m.33-34)
Otoriteye bildirim süresi	"En kısa sürede" (72 saat yorumu)	72 saat (açıkça belirtilmiş)
İlgili kişilere bildirim	"En kısa sürede"	"Gecikmeksizin" (yüksek risk halinde)
Bildirim eşiği	Tüm ihlaller	Risk değerlendirmesine bağlı
İhlal kaydı tutma	Belirtilmemiş	✓ (tüm ihlaller)

9. Cezalar

Özellik	KVKK	GDPR
Maksimum ceza	~17.1 milyon TL (2026)	20 milyon € veya cironun %4'ü
Cironun yüzdesi	✗	✓
Ceza belirleme kriterleri	Genel	Detaylı (m.83/2)
Cezai yaptırım	✓ (TCK atfı)	Üye devlet takdiri

10. Sicil ve Kayıt Yükümlülükleri

Özellik	KVKK	GDPR
Merkezi sicil	✓ (VERBİS)	✗
Kayıt kamuya açık	✓	-
İç kayıt tutma	Veri envanteri	İşleme faaliyetleri kaydı (m.30)
KOBİ istisnası	✓ (50 çalışan altı ve 100M TL bilanço altı; özel nitelikli veri işleyenler için 10 çalışan altı ve 10M TL bilanço altı)	✓ (250 çalışan altı)

11. Hesap Verebilirlik ve Belgelendirme

Yükümlülük	KVKK	GDPR
Veri Koruma Etki Değerlendirmesi (DPIA)	✗	✓ (m.35)
Privacy by Design	İlke olarak (m.4)	✓ (açıkça düzenlenmiş - m.25)
Davranış kuralları	✗	✓ (m.40)
Sertifikasyon mekanizması	✗	✓ (m.42)
Ön istişare	✗	✓ (m.36)

12. Çifte Uyum Gereksinimleri

AB ile ticari ilişkileri olan Türk şirketleri veya Türkiye'de faaliyet gösteren AB şirketleri, her iki düzenlemeye de uyum sağlamak zorunda kalabilir.

GDPR'ın Ekstrateritoriyal Etkisi

GDPR, aşağıdaki durumlarda AB dışındaki şirketlere de uygulanır:

AB'deki bireylere mal veya hizmet sunulması
AB'deki bireylerin davranışlarının izlenmesi
AB'de işleme faaliyetine katılan bir iştirak bulunması

13. Sonuç

KVKK ve GDPR, kişisel verilerin korunması konusunda benzer temel ilkeleri paylaşsa da, önemli farklılıklar içermektedir. GDPR, daha kapsamlı ilgili kişi hakları, daha yüksek cezalar ve daha gelişmiş hesap verebilirlik mekanizmaları sunarken; KVKK'nın VERBİS gibi kendine özgü gereksinimleri bulunmaktadır.

Uluslararası faaliyet gösteren şirketler için her iki düzenlemeyi de dikkate alan bütüncül bir yaklaşım benimsemek, hem uyum maliyetlerini optimize eder hem de veri koruma kültürünün kurumsal yapıya entegre edilmesini sağlar.