ABD pazarına açılan Türk şirketleri için Kaliforniya'nın veri gizliliği düzenlemeleri giderek daha önemli hale geliyor. CCPA (California Consumer Privacy Act) ve onu genişleten CPRA (California Privacy Rights Act), Kaliforniya'da ikamet eden tüketicilere kişisel verileri üzerinde geniş haklar tanır. Bu yazı, KVKK'ya aşina bir Türk okuyucu için CCPA/CPRA'nın temel mantığını, hangi işletmeleri kapsadığını ve nereden başlanması gerektiğini özetler.
CCPA/CPRA Nedir?
CCPA, Kaliforniya tüketicilerine kişisel verileri hakkında bilgi alma ve kontrol etme imkanı tanıyan bir eyalet düzenlemesidir. CPRA ise CCPA'yı güçlendirerek yeni haklar eklemiş ve denetim için ayrı bir gizlilik kurumu oluşturmuştur. İkisi birlikte, Kaliforniya'nın kişisel veri koruma çerçevesini oluşturur. KVKK gibi bunlar da şeffaflık, amaç sınırlaması ve bireysel haklar üzerine kuruludur; ancak kavramsal yapı ve terminoloji farklıdır.
Hangi İşletmeleri Kapsar?
CCPA/CPRA, dünyanın herhangi bir yerinde bulunsa da Kaliforniya'da ikamet eden tüketicilerin kişisel verilerini işleyen ve belirli eşikleri aşan işletmeleri kapsayabilir. Bu eşikler genellikle işletmenin yıllık gelirine, işlediği tüketici verisi hacmine veya veri satışından elde ettiği gelir oranına bağlıdır. Türkiye'de kurulu olmanız tek başına sizi kapsam dışı bırakmaz; belirleyici olan, Kaliforniya tüketicilerine yönelik faaliyetiniz ve ölçeğinizdir.
Eşiklerin somut sayısal değerleri zaman içinde güncellenebildiğinden, kapsam değerlendirmesini güncel metin ve nitelikli hukuki görüş üzerinden yapmak önemlidir.
Tüketicilere Tanınan Temel Haklar
CCPA/CPRA, Kaliforniya tüketicilerine bir dizi hak tanır. Bu hakları anlamak, hangi süreçleri kurmanız gerektiğini belirler.
- Bilme hakkı (right to know): Hangi kişisel verilerin toplandığı, kullanıldığı ve kimlerle paylaşıldığı hakkında bilgi alma.
- Silme hakkı (right to delete): Belirli istisnalar dışında kişisel verilerin silinmesini talep etme.
- Düzeltme hakkı (right to correct): Yanlış kişisel verilerin düzeltilmesini isteme.
- Satış veya paylaşımdan çıkma hakkı (right to opt-out of sale/sharing): Kişisel verinin satılmasına veya paylaşılmasına itiraz etme.
"Do Not Sell or Share My Personal Information"
CCPA/CPRA'nın en görünür gerekliliklerinden biri, tüketicilerin verilerinin satışından veya paylaşımından kolayca çıkabilmesidir. Bunun için kapsamdaki işletmelerin web sitelerinde açık bir "Do Not Sell or Share My Personal Information" bağlantısı veya benzeri bir mekanizma sunması beklenir. Buradaki "satış" ve "paylaşım" kavramları geniş yorumlanabildiğinden, reklam ve analitik amaçlı veri aktarımlarınızın bu kapsama girip girmediğini dikkatle değerlendirmelisiniz.
KVKK ile Kavramsal Karşılaştırma
KVKK'ya alışkın bir ekip için CCPA/CPRA'yı tanıdık kavramlarla eşlemek işi kolaylaştırır. Aşağıdaki tablo kabaca bir yönlendirme sunar; birebir hukuki eşdeğerlik iddiası taşımaz.
| Konu | KVKK Yaklaşımı | CCPA/CPRA Yaklaşımı |
|---|---|---|
| Bilgilendirme | Aydınlatma yükümlülüğü | Bilme hakkı ve gizlilik bildirimi |
| İtiraz mekanizması | Açık rıza ve itiraz hakları | Satış/paylaşımdan çıkma hakkı |
| Coğrafi bağ | Türkiye'deki faaliyet | Kaliforniya tüketicisine yönelik faaliyet |
Türk Şirketleri İçin Pratik Uyum Adımları
Kapsamda olabileceğinizi düşünüyorsanız, yapılandırılmış bir başlangıç planı izleyin.
- Kaliforniya tüketicilerine yönelik faaliyetinizi ve veri hacminizi belirleyerek kapsam değerlendirmesi yapın.
- Topladığınız kişisel veri kategorilerini ve bunları kimlerle paylaştığınızı envanterleyin.
- Reklam ve analitik amaçlı veri aktarımlarının "satış/paylaşım" sayılıp sayılmadığını değerlendirin.
- Web sitenizde gizlilik bildirimini ve gerekiyorsa satış/paylaşımdan çıkma mekanizmasını hazırlayın.
- Tüketici hak taleplerini karşılamak için bir başvuru ve doğrulama süreci kurun.
- Talepleri belirlenen süreler içinde ele alacak sorumluları ve iş akışını tanımlayın.
Örnek Senaryo
İstanbul merkezli bir SaaS şirketi, ürününü ABD'deki müşterilere satmaya başlar ve kullanıcılarının bir kısmı Kaliforniya'da ikamet etmektedir. Ekip önce bir kapsam değerlendirmesi yapar: Kaliforniya tüketicilerine yönelik faaliyet mevcuttur, dolayısıyla belirli eşikleri aşıp aşmadıklarını güncel metin üzerinden kontrol ederler. Ardından topladıkları veri kategorilerini envanterler ve pazarlama araçlarıyla paylaşılan verilerin "paylaşım" kapsamına girebileceğini fark ederler. Web sitelerine bir gizlilik bildirimi ve satış/paylaşımdan çıkma bağlantısı ekler, tüketici hak taleplerini karşılayacak bir başvuru formu ve kimlik doğrulama adımı tanımlarlar. Böylece ABD pazarına girerken uyum risklerini erkenden yönetmeye başlarlar.
Sık Sorulan Sorular
Türkiye'de kuruluyum, CCPA/CPRA beni neden ilgilendirsin?
Düzenleme, işletmenin nerede kurulu olduğuna değil, Kaliforniya tüketicilerinin verilerini işleyip işlemediğinize ve ölçeğinize bakar. Kaliforniya'daki kullanıcılara ürün veya hizmet satıyorsanız, belirli eşikleri aşmanız halinde kapsama girebilirsiniz.
KVKK'ya uyumluysam CCPA/CPRA'ya da uyumlu sayılır mıyım?
Hayır. İki çerçeve benzer ilkeler taşısa da farklı tanımlara, haklara ve gerekliliklere sahiptir. KVKK uyumu iyi bir temel oluşturur, ancak CCPA/CPRA'nın kendine özgü gerekliliklerini ayrıca ele almanız gerekir.
"Satış" sadece para karşılığı veri devri mi demek?
Hayır. CCPA/CPRA'da "satış" ve "paylaşım" kavramları geniş yorumlanabilir ve her zaman doğrudan bir para akışı gerektirmez. Özellikle reklam ve analitik amaçlı veri aktarımlarınızı bu açıdan dikkatle değerlendirmelisiniz.
Kesin gelir eşiğini nereden öğrenirim?
Eşiklerin sayısal değerleri zaman içinde güncellenebildiğinden, bu yazıda belirli bir rakam vermiyoruz. Güncel resmi metni ve nitelikli hukuki görüşü esas alarak kendi durumunuza özgü bir kapsam değerlendirmesi yapmanız önerilir.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.
Hem KVKK hem de yurt dışı düzenlemeler için veri envanterinizi, gizlilik bildirimlerinizi ve hak taleplerinizi tek panelden yönetmek isterseniz JUS. demosunu talep edin.