GDPR (İngilizce: General Data Protection Regulation), Avrupa Birliği'nin Genel Veri Koruma Tüzüğü anlamına gelir. Gerçek kişilere ait verilerin nasıl toplanacağını, işleneceğini, saklanacağını ve aktarılacağını belirleyen; AB üye devletlerinde doğrudan uygulanan ve belirli koşullarda AB dışındaki şirketleri de bağlayan kapsamlı bir veri koruma düzenlemesidir.
Türkiye'de faaliyet gösteren bir işveren için GDPR ilk bakışta uzak bir konu gibi görünebilir. Ancak Avrupa'daki müşterilere hizmet veren, AB'de çalışan istihdam eden, Avrupalı bir grubun parçası olan ya da Avrupa'dan aday toplayan şirketler bu düzenlemeyle doğrudan karşılaşır. Bu nedenle terim; İK yöneticilerini, hukuk ve uyum ekiplerini, bilgi teknolojileri birimlerini ve uluslararası işe alım yapan şirketleri yakından ilgilendirir.
GDPR Nedir? Kapsamı ve Uygulama Alanı
GDPR, 2016 yılında kabul edilmiş ve 2018'den itibaren uygulanmaya başlamıştır. Bir "yönerge" değil "tüzük" olduğu için üye devletlerin ayrıca iç hukuklarına aktarmasına gerek kalmadan doğrudan yürürlüktedir. Düzenlemenin en dikkat çekici yönü, coğrafi değil "veri sahibine bağlı" bir kapsam benimsemesidir.
GDPR'ın bir Türk şirketine uygulanabileceği tipik durumlar şunlardır:
- AB'de yerleşik bir birim: Şirketin AB ülkelerinden birinde şubesi, ofisi veya bağlı şirketi varsa, o birimin veri işleme faaliyetleri GDPR'a tabidir.
- AB'deki kişilere mal veya hizmet sunmak: Avrupa'daki bireylere yönelik satış, abonelik veya hizmet faaliyetleri kapsam içine girebilir.
- AB'deki kişilerin davranışlarını izlemek: Çevrim içi takip, profilleme ve benzeri faaliyetler de düzenlemenin uzandığı alanlardandır.
- Grup içi veri akışı: Avrupalı bir ana şirketin Türkiye'deki bağlı şirketi olarak çalışan verilerinin ortak sistemlerde tutulması, sözleşmesel GDPR yükümlülüklerini beraberinde getirir.
İK açısından en sık karşılaşılan senaryo; AB'deki adayların başvurularının değerlendirilmesi, Avrupa'da uzaktan çalışan kişilerin istihdamı ve grup şirketleriyle paylaşılan bordro veya performans sistemleridir.
Temel İlkeler ve Kavramlar
GDPR'ın omurgasını oluşturan ilkeler, KVKK'daki genel ilkelerle büyük ölçüde örtüşür:
- Hukuka uygunluk, dürüstlük ve şeffaflık: Veri, bir hukuki dayanağa bağlı olarak ve kişiye açıkça anlatılarak işlenir.
- Amaçla sınırlılık: Belirli, açık ve meşru amaçlar için toplanan veri bu amaçlarla bağdaşmayan biçimde kullanılmaz.
- Veri minimizasyonu: Yalnızca amaç için gerekli olan veri toplanır.
- Doğruluk: Veri doğru ve gerektiğinde güncel tutulur.
- Saklama sınırlaması: Veri, amacın gerektirdiği süreden uzun saklanmaz.
- Bütünlük ve gizlilik: Uygun teknik ve idari tedbirlerle güvenlik sağlanır.
- Hesap verebilirlik (accountability): Veri sorumlusu bu ilkelere uyduğunu belgeleyebilmelidir.
Bu ilkelerin yanında GDPR'da sık geçen kavramlar arasında veri sorumlusu (controller), veri işleyen (processor), veri koruma görevlisi (Data Protection Officer, DPO), veri koruma etki değerlendirmesi (DPIA) ve "tasarımdan itibaren gizlilik" (privacy by design) yer alır.
GDPR ve KVKK Arasındaki Farklar
KVKK hazırlanırken Avrupa'daki veri koruma mevzuatından esinlenildiği için iki düzenleme aynı aileden sayılır. Yine de uygulamada önemli farklar vardır:
| Konu | GDPR | KVKK |
|---|---|---|
| Hukuki nitelik | AB tüzüğü, doğrudan uygulanır | 6698 sayılı Kanun ve ikincil mevzuat |
| Uygulama alanı | AB'deki kişilerin verisi; sınır ötesi etki geniş | Türkiye'de işlenen veriler |
| Veri koruma görevlisi | Belirli koşullarda zorunlu | Genel bir DPO zorunluluğu yok; irtibat kişisi belirlenir |
| Sicil kaydı | Genel bir kayıt sistemi yok | VERBİS kaydı (muafiyetler saklı) |
| İhlal bildirimi | Denetim otoritesine bildirim | Kurul'a en geç 72 saat içinde bildirim |
| Kişi başvurusu | Kendine özgü süreler | En geç 30 gün içinde yanıt |
Türkiye'deki bir şirket hem KVKK'ya hem de GDPR'a tabi olabilir; bu durumda daha sıkı olan kuralın her iki rejimi karşılayacak şekilde uygulanması pratik bir yaklaşımdır. KVKK'nın Türk işverenler açısından temel çerçevesi için KVKK maddemize bakabilirsiniz.
İK Süreçlerinde GDPR'ın Karşılığı
GDPR kapsamına giren bir İK operasyonunda dikkat edilmesi gereken başlıca noktalar şunlardır:
- Aday verileri: AB'den başvuru alan kariyer sayfalarında aydınlatma metni, saklama süresi ve aday havuzu kullanımına ilişkin bilgi açıkça sunulmalıdır.
- Grup içi aktarım: Türkiye ile AB arasında çift yönlü veri akışı varsa her iki rejimin aktarım kuralları ayrı ayrı değerlendirilmelidir. Bu konudaki Türk hukuku boyutu için çalışan verilerinin yurt dışına aktarımı rehberimiz yol gösterir.
- Tedarikçi sözleşmeleri: Bulut İK yazılımları, bordro sağlayıcıları ve işe alım platformlarıyla yapılan sözleşmelerde veri işleme hükümleri yer almalıdır.
- Çalışan izleme: E-posta, cihaz veya konum izleme gibi uygulamalar orantılılık açısından ayrıca gerekçelendirilmelidir.
Örnek Senaryo
Aşağıdaki durum örnek amaçlı kurgulanmıştır. İstanbul merkezli bir yazılım şirketi, Almanya ve Hollanda'dan uzaktan çalışacak geliştiriciler için ilan açar. Başvurular Türkiye'deki aday takip sistemine düşer ve mülakat notları bu sistemde tutulur. Şirket, kariyer sayfasına GDPR'a uygun bir aday bilgilendirmesi ekler, reddedilen adayların verileri için bir saklama süresi belirler ve sistem sağlayıcısıyla veri işleme sözleşmesi imzalar. Böylece hem KVKK hem GDPR açısından savunulabilir bir yapı kurulmuş olur.
İK Uygulamasında İpuçları
- Hangi süreçlerinizde AB'deki kişilerin verisinin işlendiğini çıkaran kısa bir haritalama yapın.
- KVKK için hazırladığınız veri envanterini GDPR'ın gerektirdiği kayıtlarla uyumlu tutun.
- Aydınlatma metinlerini her iki rejimi karşılayacak şekilde, sade bir dille yazın.
- Grup şirketlerinden gelen politika ve şablonları Türk hukukuna göre uyarlamadan uygulamayın.
Bu yazı genel bilgilendirme amaçlıdır; somut durumlar için bir veri koruma uzmanına veya avukata danışılmalıdır. İK Partner, iş hukuku ve mevzuat uyumu hizmeti kapsamında İK süreçlerinizin KVKK ve uluslararası veri koruma beklentileriyle uyumunu birlikte gözden geçirebilir; ihtiyacınızı ücretsiz ilk görüşmede konuşabiliriz.
İK sözlüğündeki diğer terimler için İK Sözlüğü sayfamıza göz atabilirsiniz.
