Startuplar İçin KVKK ve GDPR Uyum Süreçleri: Veri İhlallerinin Hukuki Yaptırımları
Startupların KVKK ve GDPR uyumlu olabilmesi için; şirket içindeki tüm veri akışını haritalandıran bir Veri Envanteri oluşturması, kullanıcılara şeffaf Aydınlatma Metinleri sunması, yasal istisnalar dışında kalan veriler için Açık Rıza (Opt-in) alması ve yurt dışı bulut sunucularını (AWS, Google Cloud) kullanırken yasal aktarım şartlarını sağlaması zorunludur. Olası bir siber saldırı veya veri sızıntısında (veri ihlali), durumu en geç 72 saat içinde Kişisel Verileri Koruma Kurumu'na bildirmeyen startuplar, milyonlarca liralık (veya GDPR kapsamında küresel cironun %4'üne varan) idari para cezalarıyla karşı karşıya kalır.
Teknoloji girişimleri (startuplar) genellikle "önce büyü, altyapıyı sonra kurarsın" mantalitesiyle hareket eder. Ancak konu veri olduğunda, bu hız ölümcül bir risk taşır. İş modeliniz bir mobil uygulama, bir SaaS platformu veya bir e-ticaret altyapısı olabilir; kullanıcıların e-posta adreslerini, konumlarını veya ödeme alışkanlıklarını topladığınız an, ulusal ve uluslararası veri koruma yasalarının radarına girersiniz. Veri, günümüzün en değerli petrolü olduğu kadar, yasal uyumluluk sağlanmadığında şirketi iflasa sürükleyebilecek en büyük saatli bombadır.
Bu rehberde, global pazarı hedefleyen startupların KVKK (Türkiye) ve GDPR (Avrupa Birliği) uyum süreçlerini nasıl entegre yürüteceklerini, siber saldırı anında yapılması gerekenleri ve veri ihlallerinin yıkıcı hukuki yaptırımlarını inceleyeceğiz.
1. Startuplar Neden KVKK ve GDPR Kapsamındadır?
Birçok startup kurucusu, şirketlerinin henüz çok küçük olduğunu ve veri koruma otoritelerinin (Kurul) onlarla ilgilenmeyeceğini düşünür. Bu, hukuken devasa bir yanılgıdır.
KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) ve GDPR (General Data Protection Regulation), şirketlerin büyüklüğüne veya cirosuna bakmaz; işlenen verinin niteliğine ve hacmine bakar.
KVKK Kapsamı: Türkiye'de yerleşik olan veya Türkiye'deki kişilerin verilerini işleyen her şirket "Veri Sorumlusu" olarak kanuna tabidir.
GDPR'ın Sınır Ötesi Etkisi (Extraterritorial Effect): Şirketiniz Türkiye'de (veya Delaware'de) kurulu olabilir. Ancak uygulamanız Avrupa Birliği (AB) sınırları içindeki kullanıcılara hizmet sunuyorsa, euro cinsinden ödeme alıyorsa veya sitenizin dili Avrupa dillerini barındırıyorsa, GDPR'ın katı kurallarına doğrudan tabi olursunuz.
2. KVKK ve GDPR: Temel Farklar ve Kesişim Noktaları
Küresel bir teknoloji girişimi kuruyorsanız, her iki regülasyonun da asgari standartlarını karşılayan "hibrit" bir veri koruma mimarisi kurmalısınız.
| Özellik | KVKK (Türkiye) | GDPR (Avrupa Birliği) |
| Yaptırım (Ceza) Sınırı | Her yıl yeniden değerleme ile artan maktu (sabit) üst limitler (Milyonlarca TL). | Şirketin global yıllık cirosunun %4'üne veya 20 Milyon Euro'ya kadar (hangisi yüksekse). |
| Açık Rıza Yaşı | Genel medeni kanun hükümleri geçerlidir (Kural olarak 18 yaş, veli onayı gerekir). | 16 yaş olarak belirlenmiştir (Üye ülkeler 13 yaşa kadar indirebilir). |
| Veri Koruma Görevlisi | DPO zorunluluğu yoktur; "İrtibat Kişisi" atanması (VERBİS kapsamında) yeterlidir. | Büyük ölçekli veri işleyen startuplar için DPO (Data Protection Officer) atamak zorunludur. |
| Unutulma Hakkı | Kanunda açıkça tanımlı olmasa da içtihatlar ve silme/yok etme maddeleriyle uygulanır. | Kanunda (Madde 17) "Right to be Forgotten" olarak çok net ve geniş tanımlanmıştır. |
3. Startuplar İçin Adım Adım Uyum Süreci
KVKK ve GDPR uyumu, web sitesine kopyala-yapıştır bir gizlilik politikası koymaktan ibaret değildir. Bu hukuki, teknik ve idari bir süreçtir.
Adım 1: Veri Haritası (Envanter) Oluşturma
Hangi veriyi, kimden, hangi yasal sebebe dayanarak aldığınızı ve nerede tuttuğunuzu bilmeden uyum sağlayamazsınız.
Uygulamanız kullanıcının lokasyonunu neden çekiyor?
Ödeme altyapınızda (Stripe/Iyzico) kart verisi sizin sunucunuzdan geçiyor mu?
Verileri ne kadar süre saklayıp, ne zaman sileceksiniz?
Bu soruların cevabı, şirketin "Kişisel Veri İşleme Envanteri"ni oluşturur.
Adım 2: Aydınlatma Metni ve Açık Rıza Tasarımı
Kullanıcı, platforma kayıt olurken verilerinin ne olacağını açıkça, sade ve anlaşılır bir dille bilmelidir.
Aydınlatma Yükümlülüğü: Şarta bağlı olamaz. Kullanıcı hizmeti almasa bile aydınlatılmalıdır.
Açık Rıza (Opt-in): Check-box'lar (onay kutucukları) önceden işaretli (pre-ticked) gelemez. Kullanıcı kendi aktif eylemiyle rıza göstermelidir. "Hizmet şartlarını kabul ederek reklam e-postaları almayı da onaylamış olursunuz" şeklindeki battaniye rıza (bundled consent) hukuken geçersizdir.
Adım 3: Yurt Dışına Veri Aktarımı Kapsamında Bulut Sunucular
Startupların en büyük hukuki açığı bulut sunuculardır. Sunucularınız Amazon Web Services (AWS), Google Cloud veya DigitalOcean üzerinde, Frankfurt veya Kuzey Virginia lokasyonlarındaysa; kullanıcılarınızın verilerini yurt dışına aktarıyorsunuz demektir.
KVKK mevzuatına göre yurt dışına veri aktarımı, ya kullanıcının özel açık rızasıyla ya da Kurul'un onayladığı Standart Sözleşme Maddeleri (SCC) gibi hukuki güvencelerle yapılabilir. Bu mimariyi baştan doğru kurmazsanız, veri akışınız yasadışı hale gelir.
4. Veri İhlali (Data Breach) Durumunda Ne Yapılmalı?
Sunucularınız hacklendiğinde, bir çalışanınız şirketin veritabanını çaldığında veya yanlışlıkla müşteri listenizi başka birine e-posta attığınızda "Veri İhlali" gerçekleşmiş olur.
Kurul (Otorite) sizden siber güvenliğinizin %100 kusursuz olmasını beklemez; ancak ihlal anında yasal prosedürü işletmenizi bekler.
Kritik Süre - 72 Saat Kuralı: Veri ihlalini öğrendiğiniz andan itibaren en geç 72 saat içinde durumu Kişisel Verileri Koruma Kurulu'na resmi olarak (veri ihlal bildirim formu ile) bildirmek zorundasınız. Gecikmenin hiçbir yasal mazereti yoktur. Bildirim yapmamak veya durumu örtbas etmeye çalışmak, uygulanacak idari para cezasını doğrudan en üst limite çeker.
Ayrıca, ihlalden etkilenen kullanıcılara da (şifrelerinin çalındığı vb.) "makul olan en kısa sürede" doğrudan bildirim yapılmalıdır.
5. Veri İhlallerinin Hukuki ve Finansal Yaptırımları
Veri hukuku ihlalleri, startuplar için bir "maliyet kalemi" olarak görülemeyecek kadar yıkıcıdır. Yaptırımlar sadece şirket tüzel kişiliğine değil, duruma göre kuruculara/yöneticilere de yansıyabilir.
İdari Para Cezaları (Kurul Kararları)
Aydınlatma yükümlülüğünün yerine getirilmemesi,
Veri güvenliğini sağlamaya yönelik teknik ve idari tedbirlerin (şifreleme, yetki matrisi vb.) alınmaması,
Kurul kararlarına veya veri ihlali bildirim sürelerine uyulmaması durumlarında, milyonlarca Türk Lirasına varan para cezaları kesilir. Bu cezalar doğrudan şirketin vergi borcu gibi tahsil edilir.
Türk Ceza Kanunu (TCK) Kapsamındaki Suçlar
Kişisel verilerin hukuka aykırı olarak kaydedilmesi, bir başkasına verilmesi veya ele geçirilmesi (TCK m.135-136) hapis cezası gerektiren suçlardır. Kurul sadece para cezası keserken, ihlalin niteliğine göre Cumhuriyet Başsavcılıkları nezdinde adli süreçler de başlayabilir.
Ticari ve İtibar Kaybı (Sessiz Maliyet)
Bir startup'ın veri sızdırdığının Kurul'un web sitesinde ifşa edilmesi (Kamuoyu Duyurusu), yatırım (VC) görüşmelerinin anında iptal olmasına ve mevcut müşterilerin (özellikle B2B partnerlerin) sözleşmeleri haklı sebeple feshetmesine neden olur.
Sıkça Sorulan Sorular (FAQ)
1. Şirketimiz henüz çok küçük, yine de KVKK'ya uymak zorunda mıyız?
Evet. KVKK, şirketlerin cirosuna veya çalışan sayısına bakmaksızın kişisel veri işleyen herkesi bağlar. Sadece VERBİS'e kayıt yükümlülüğünde belirli istisnalar vardır, ancak kanuna uyum zorunludur.
2. VERBİS nedir? Startuplar kayıt olmak zorunda mı?
Veri Sorumluları Sicil Bilgi Sistemi'dir. Yıllık mali bilançosu 100 milyon TL'den çok VEYA yıllık çalışan sayısı 50'den çok olan şirketler kayıt olmak zorundadır. Ancak ana faaliyeti "Özel Nitelikli Kişisel Veri" (sağlık verisi vb.) işlemek olan startuplar, bu limitlere bakılmaksızın kayıt olmak zorundadır.
3. Sunucularımız AWS'te (Almanya). Bu yurt dışına veri aktarımı sayılır mı?
Evet. Sunucunun fiziksel olarak Türkiye sınırları dışında olması, doğrudan yurt dışına veri aktarımı kabul edilir ve özel uyum şartları (Açık Rıza veya Standart Sözleşmeler) gerektirir.
4. Veri ihlalini (hacklenmeyi) kaç saat içinde bildirmeliyiz?
Öğrendiğiniz andan itibaren en geç 72 saat içinde Kişisel Verileri Koruma Kurulu'na bildirim yapmanız zorunludur.
5. Başka bir uygulamanın Gizlilik Politikasını (Privacy Policy) kopyalayabilir miyim?
Kesinlikle hayır. Her startup'ın veri toplama amacı, kullandığı üçüncü parti araçlar (SDK'lar, analitik araçları) farklıdır. Kopyalanmış bir aydınlatma metni hukuken geçersiz sayılır ve ceza sebebidir.
6. B2B müşterilerimin e-posta adresleri (isim.soyisim@sirket.com) kişisel veri midir?
Evet. Bir kişiyi belirli veya belirlenebilir kılan her veri (şirket maili dahil) kişisel veridir ve KVKK kapsamındadır.
7. Açık rıza alırken kutucuğu (check-box) önceden işaretli sunabilir miyim?
Hayır. Hem KVKK hem GDPR uyarınca aktif ve özgür irade gerekir. Önceden işaretlenmiş kutucuklar (Opt-out mantığı) geçersizdir.
8. Bir çalışanımız müşteri veritabanını kopyalayıp istifa ederse şirket sorumlu olur mu?
Evet. Veri Sorumlusu sıfatıyla şirketiniz; çalışanların yetkisiz erişimini engelleyecek teknik tedbirleri (DLP sistemleri, log kayıtları) ve idari tedbirleri (Gizlilik Sözleşmeleri - NDA) almadığı için yüksek miktarda para cezası alabilir.
9. GDPR Türkiye'deki bir startup'ı bağlar mı?
Eğer uygulamanız Avrupa pazarını hedefliyorsa (Euro ile satış, AB dillerinde arayüz, AB konumlu kullanıcılara yönelik pazarlama), uygulamanızın AB'deki kullanıcıları için doğrudan GDPR kurallarına tabisiniz.
10. "Aydınlatma Metni" ile "Açık Rıza" aynı şey midir?
Hayır. Aydınlatma Metni sadece bilgi verme işlemidir (onay gerektirmez, okunması yeterlidir). Açık Rıza ise, yasal bir istisna yoksa kullanıcının verisinin işlenmesi için özgürce verdiği "Evet" beyanıdır. Birleştirilemezler.
11. IP adresi veya cihaz kimliği (Device ID) kişisel veri sayılır mı?
Evet. Hem KVKK hem de GDPR içtihatlarına göre, bir kullanıcıyı cihazı üzerinden dolaylı yoldan dahi izlemeye yarayan IP adresleri ve Çerez (Cookie) verileri kişisel veridir.
12. Kullanıcı verilerini silmemizi (Unutulma Hakkı) isterse ne yapmalıyız?
Eğer veriyi tutmak için geçerli yasal bir sebebiniz (Örn: Vergi kanunları gereği faturayı 5 yıl saklama zorunluluğu) kalmadıysa, 30 gün içinde o kullanıcının verilerini tamamen silmek veya anonim hale getirmek zorundasınız.
13. Kurul'un kestiği para cezalarına itiraz edebilir miyiz?
Evet, kararın tebliğinden itibaren 15 gün içinde Sulh Ceza Hakimliği'ne (veya kararın türüne göre İdare Mahkemelerine) itiraz edebilirsiniz. Ancak itiraz, kural olarak cezanın tahsilini durdurmaz.
14. Startup'ımızı yatırımcıya satacağız (Exit). Veritabanını devrederken sorun yaşar mıyız?
Eğer Aydınlatma Metninizde "Şirket birleşme veya devralma durumlarında verilerinizin yeni şirkete devredilebileceği" açıkça yazmıyorsa, veritabanınızı yasal olarak satamaz/devredemezsiniz. Bu durum değerlemeyi (Valuation) düşürür.
15. KVKK cezaları şirket ortaklarının (kurucuların) şahsi malvarlığına yansır mı?
İdari para cezaları kural olarak şirket tüzel kişiliğine kesilir. Ancak şirket borca batık duruma düşer ve amme alacağı (devlet borcu) tahsil edilemezse, kanuni temsilci konumundaki şirket yöneticilerinin şahsi malvarlıklarına gidilebilir.
