Fransa GDPR (RGPD) Uyumu 2026 | Şirket Rehberi

Avrupa Birliği Genel Veri Koruma Tüzüğü, Fransa'da yaygın olarak RGPD, İngilizce adıyla GDPR olarak anılır. 25 Mayıs 2018'den beri uygulanır ve kişisel veri işleyen şirketlerin yalnızca bir gizlilik politikası yayımlamasını değil, veri işleme faaliyetlerini fiilen mevzuata uygun yönetmesini gerektirir.

2026'da küçük bir şirket için RGPD uyumu; müşteri, çalışan, aday, tedarikçi, web sitesi ziyaretçisi ve potansiyel müşteri verilerinin neden toplandığını, ne kadar tutulduğunu, kimlerle paylaşıldığını ve nasıl korunduğunu belgelemek anlamına gelir.

RGPD hangi şirketleri kapsar?

RGPD yalnızca “AB merkezli büyük şirketler” için değildir. Fransa'da yerleşik bir şirket kişisel veri işliyorsa genel olarak RGPD kapsamındadır. Ayrıca AB dışında yerleşik bazı şirketler de AB'deki kişilere mal/hizmet sunmaları veya onların davranışlarını takip etmeleri halinde kapsam içine girebilir.

Kişisel veri işlenmiyorsa RGPD konusu doğmaz; ancak müşteri adı, e-posta, telefon, çalışan bordro bilgisi, IP adresi veya çevrimiçi tanımlayıcı gibi veriler çoğu işletmenin günlük faaliyetinde bulunur.

Kişisel veri ve veri işleme nedir?

Kişisel veri, kimliği belirli veya belirlenebilir gerçek kişiyle ilgili bilgidir. Örneğin:

ad, soyad, e-posta, telefon ve posta adresi,
müşteri numarası veya çalışan sicil bilgisi,
IP adresi, cihaz/çerez tanımlayıcısı,
konum, araç plakası veya kamera görüntüsü,
sağlık, biyometrik veya başka hassas veriler.

Toplama, kaydetme, sınıflandırma, görüntüleme, paylaşma, değiştirme, arşivleme ve silme dahil çok geniş bir işlem grubu “veri işleme” sayılır.

Her veri işleme için açık rıza almak gerekir mi?

Hayır. Bu, RGPD hakkında en sık yapılan hatalardan biridir. CNIL, RGPD'nin altı hukuki dayanak öngördüğünü belirtir:

rıza (consentement),
sözleşmenin uygulanması,
hukuki yükümlülük,
hayati çıkarların korunması,
kamu yararı görevi,
meşru menfaat (intérêt légitime).

Örneğin müşteriye siparişini teslim etmek için gerekli adres verisi sözleşmeye; fatura kayıtlarının tutulması hukuki yükümlülüğe; bazı güvenlik işlemleri ise şartlarına göre meşru menfaate dayanabilir.

Rıza kullanılıyorsa özgür, belirli, bilgilendirilmiş ve açık bir irade beyanı olmalı; geri çekilmesi de mümkün olmalıdır. Bir işlem için uygun hukuki dayanak baştan belirlenmeli, aynı amaç için sonradan keyfi şekilde dayanak değiştirilmemelidir.

Veri minimizasyonu ve saklama süresi

Şirket yalnızca belirlenen amaç için gerçekten gerekli veriyi toplamalıdır. “İleride lazım olur” gerekçesiyle sınırsız veri toplamak RGPD'nin veri minimizasyonu ilkesine uymaz.

Aynı şekilde kişisel veriler süresiz saklanamaz. CNIL, 2026'da güncellediği saklama rehberinde her işlem için amaca ve varsa yasal yükümlülüklere göre bir saklama süresi veya bunu belirleyen kriter oluşturulmasını ister.

Aktif kullanım süresi bittikten sonra veri gerekiyorsa ayrı bir ara arşiv dönemine alınabilir; yasal veya savunma amacı da kalmadığında silinmeli veya gerçekten anonim hale getirilmelidir.

İşlem faaliyetleri kaydı (registre) tutulmalı mı?

RGPD Madde 30 kapsamındaki registre des activités de traitement, şirketin hangi kişisel verileri hangi amaçlarla işlediğini gösteren temel uyum belgesidir.

CNIL, kayıt yükümlülüğünün kişisel veri işleyen kamu ve özel kuruluşları kapsadığını belirtir. 250'den az çalışanı olan şirketler için sınırlı bir istisna vardır; ancak düzenli yapılan müşteri/prospect yönetimi, bordro gibi ara sıra olmayan işlemler zaten kayda alınmalıdır. Bu nedenle pratikte TPE/PME'lerin de temel bir işlem kaydı tutması gerekir.

Her işlem kaydında en azından amaç, kişi ve veri kategorileri, alıcılar, yurtdışı transferleri, saklama süreleri ve güvenlik önlemleri gibi bilgiler bulunmalıdır.

Veri sorumlusu ve veri işleyen arasındaki fark

Responsable de traitement, veri işlemenin amaç ve temel araçlarını belirleyen kurumdur. Sous-traitant ise başka bir kurum adına ve onun talimatlarıyla kişisel veri işler.

Örneğin şirketiniz müşteri CRM'inin amacını belirliyorsa veri sorumlusu; CRM sağlayıcısı şartlarına göre veri işleyen olabilir.

RGPD Madde 28 uyarınca veri işleyenle yazılı bir sözleşme veya bağlayıcı hukuki düzenleme bulunmalı; işlem kapsamı, güvenlik, gizlilik, alt işleyenler, ihlal bildirimi ve sözleşme sonunda verilerin akıbeti gibi konular açıkça düzenlenmelidir.

DPO atamak her şirket için zorunlu mu?

Hayır. DPO/DPD (délégué à la protection des données) bazı durumlarda zorunludur. CNIL'e göre özellikle:

kamu kurumlarında,
temel faaliyetleri büyük ölçekte düzenli ve sistematik kişi takibi gerektiren kurumlarda,
temel faaliyetleri büyük ölçekte hassas veri veya ceza/mahkûmiyet verisi işlemeyi gerektiren kurumlarda

DPO atanması gerekir.

Bunun dışında DPO gönüllü olarak atanabilir ve iç veya dış kaynaklı olabilir. Ancak yalnızca “şirketimiz RGPD'ye uyumludur” görüntüsü vermek için sembolik bir DPO atanması yeterli değildir; DPO'nun uzmanlığı, bağımsızlığı, kaynakları ve çıkar çatışmasından uzak konumu sağlanmalıdır.

AIPD / DPIA ne zaman gerekir?

AIPD (analyse d'impact relative à la protection des données), İngilizce DPIA, her veri işlemi için zorunlu değildir. İşlemin kişilerin hak ve özgürlükleri bakımından yüksek risk oluşturması muhtemelse yapılmalıdır.

CNIL yüksek risk değerlendirmesinde örneğin şu kriterleri kullanır:

profiling veya scoring,
hukuki/önemli etkili otomatik kararlar,
sistematik gözetim,
hassas veya çok kişisel veriler,
büyük ölçekli veri işleme,
farklı veri setlerinin birleştirilmesi,
çocuklar gibi savunmasız kişiler,
yeni teknoloji kullanımı.

Birden fazla yüksek risk kriteri bir aradaysa AIPD gerekliliği ciddi biçimde değerlendirilmelidir.

Web sitesinde çerez ve analytics kullanımı

Web sitesinin çalışması için kesin olarak gerekli çerezler ile analytics, reklam veya başka izleme amaçlı çerezler aynı değildir.

CNIL'e göre rıza gerektiren çerez/izleyiciler kullanıcı kabul etmeden yerleştirilmemelidir. Kullanıcıya reddetmek, kabul etmek kadar kolay sunulmalıdır. Örneğin “Tümünü kabul et” butonu varsa aynı seviyede “Tümünü reddet” seçeneği uygun bir yöntemdir.

CNIL, kullanıcının kabul veya ret tercihini tekrar tekrar sormamak için genel olarak yaklaşık 6 aylık tercih saklama süresini uygun bir pratik olarak önerir.

Bu nedenle yalnızca “sitemizde çerez kullanıyoruz” yazmak yeterli değildir; teknik olarak rıza gerektiren izleyicilerin gerçekten onaydan önce çalışmaması gerekir.

Gizlilik bilgilendirmesinde neler bulunmalı?

Kişisel veri toplarken kişi, açık ve anlaşılır biçimde en azından şu konularda bilgilendirilmelidir:

veri sorumlusunun kimliği ve iletişim bilgileri,
işleme amacı ve hukuki dayanak,
toplanan veri kategorileri,
verilerin alıcıları veya alıcı kategorileri,
saklama süresi veya belirleme kriteri,
kişinin hakları ve bunları kullanma yöntemi,
gerekiyorsa yurtdışı veri transferleri,
CNIL'e şikâyet hakkı.

Formun altında kısa bilgilendirme ve daha ayrıntılı gizlilik politikasına bağlantı birlikte kullanılabilir.

İlgili kişilerin hakları nelerdir?

Koşullara göre kişiler şu haklara sahip olabilir:

bilgilendirilme ve erişim,
düzeltme,
silme,
işlemeyi kısıtlama,
itiraz,
veri taşınabilirliği,
belirli otomatik kararlara karşı haklar.

Bir hak talebine genel kural olarak 1 ay içinde yanıt verilmelidir. Talebin karmaşıklığı ve sayısı nedeniyle süre uzatılabiliyorsa kişi ilk bir ay içinde bu uzatma hakkında bilgilendirilmelidir.

Her hak her durumda mutlak değildir. Örneğin yasal saklama zorunluluğu bulunan muhasebe belgesi, yalnızca kişi “silinmesini istiyorum” dediği için hemen silinmeyebilir.

Veri ihlali olursa her zaman 72 saatte CNIL'e bildirim gerekir mi?

Hayır; risk seviyesine göre. Her kişisel veri ihlali kurum içinde belgelenmelidir. İhlal kişilerin hak ve özgürlükleri için risk oluşturuyorsa CNIL'e mümkünse en geç 72 saat içinde bildirim yapılmalıdır.

İhlal yüksek risk yaratıyorsa, istisnalar dışında etkilenen kişilere de gecikmeden bilgi verilmesi gerekir.

72 saat içinde bütün teknik ayrıntıların hazır olması şart değildir. CNIL, ilk bildirimin zamanında yapılıp daha sonra tamamlayıcı bilgi gönderilebileceğini açıkça belirtir.

Yurtdışına veri aktarımı nasıl yönetilir?

Bir SaaS, bulut, e-posta, CRM veya pazarlama hizmeti verileri Avrupa Ekonomik Alanı dışında işliyorsa uluslararası veri transferi kuralları kontrol edilmelidir.

Transferler duruma göre:

Avrupa Komisyonu yeterlilik kararı,
Standart Sözleşme Maddeleri (SCC/CCT),
bağlayıcı şirket kuralları (BCR),
RGPD'de öngörülen diğer uygun güvenceler

üzerinden yapılandırılabilir. “Sunucu ABD'de, sözleşme var, o halde otomatik uyumludur” yaklaşımı yeterli değildir; sağlayıcı, veri akışı ve kullanılan transfer mekanizması kontrol edilmelidir.

Çalışan verileri de RGPD kapsamında mı?

Evet. İşe alım CV'leri, bordro, izin, performans, erişim kartı, kamera veya araç konumu gibi çalışan verileri de kişisel veridir.

İşveren her işlem için amaç ve uygun hukuki dayanak belirlemeli, yalnızca gerekli veriyi toplamalı, çalışanları bilgilendirmeli ve erişim yetkilerini sınırlandırmalıdır. İş ilişkilerindeki güç dengesizliği nedeniyle “çalışan rızası” her işlem için otomatik ve güvenli hukuki dayanak sayılmaz.

Küçük işletmeler için pratik RGPD kontrol listesi

Müşteri, çalışan, prospect ve web sitesi veri akışlarını listeleyin.
Her işlem için amaç ve hukuki dayanak belirleyin.
İşlem faaliyetleri kaydınızı oluşturun ve değişikliklerde güncelleyin.
Gereksiz veri alanlarını ve aşırı saklama sürelerini kaldırın.
Gizlilik bilgilendirmelerini formlar, sözleşmeler ve web sitesinde güncelleyin.
Veri işleyen sağlayıcılarla Madde 28 sözleşmelerini kontrol edin.
Çerez banner'ında ret ve kabul seçeneklerini dengeli sunun.
Hak talepleri için bir aylık cevap sürecini oluşturun.
Veri ihlali müdahale planı ve ihlal kaydı hazırlayın.
Yüksek riskli işlemler için AIPD gerekliliğini değerlendirin.
AB/AEA dışı veri transferlerini haritalayın.
DPO atamasının sizin yapı için zorunlu olup olmadığını kontrol edin.

2026 için resmi CNIL kaynakları

Not: Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. RGPD yükümlülükleri işlenen verilerin niteliğine, ölçeğine, kullanılan teknolojiye ve şirketin rolüne göre değişebilir. Hassas veya yüksek riskli işlemlerde gerektiğinde veri koruma hukuku ve bilgi güvenliği uzmanlarından destek alınmalıdır.

Fransa'da GDPR (RGPD) Uyumu 2026: Şirketler İçin Rehber