Comparative Analysis of the European Union and Turkish Personal Data Protection Laws: Basic Principles, Legal Grounds, and Rights of Data Subjects

Abstract

This study provides a brief overview of the European General Data Protection Regulation (GDPR) and the Turkish Personal Data Protection Law (KVKK), specifically examining their similarities and differences in terms of fundamental principles governing data processing, legal grounds for personal data processing, including for processing special categories of personal data, and the rights of data subjects. While a significant alignment is observed between the two regulations regarding fundamental principles, the study highlights differences, particularly in certain data processing conditions and regulations pertaining to the rights of relevant parties. It is noted that the coherence observed between the two legislations is also attributed to the proactive efforts of the Turkish Personal Data Protection Authority. In conclusion, despite disparities between the two legislations, the study underscores the commitment of Turkish authorities to ensure full compliance with the GDPR and asserts that comprehensive compliance can be attained through a holistic approach.

Keywords

• GDPR
• KVKK
• personal data protection
• basic principles
• legal grounds
• data subject rights
• comparative analysis

Avrupa Birliği ve Türkiye Kişisel Verilerin Korunması Kanunlarının Karşılaştırmalı Analizi: Temel İlkeler, Yasal Dayanaklar ve İlgili Kişi Hakları

Abstract

Bu çalışma, Avrupa Genel Veri Koruma Tüzüğü (GDPR) ve Türk Kişisel Verilerin Korunması Kanunu'nun (KVKK) veri işlemeye halim olan temel ilkeler, özel nitelikli kişisel veriler için belirlenenler dahil olmak üzere temel veri işleme şartları ve veri sahiplerinin hakları yönünden benzerlik ve farklılıklarına odaklanarak kısa bir inceleme gerçekleştirmektedir. Temel ilkelerde iki düzenleme arasında önemli bir uyumun varlığı sergilenirken, özellikle bazı veri işleme şartları ve ilgili tarafların haklarına odaklanan düzenlemelerde farklılar üzerinde durulmaktadır. Bununla beraber, iki mevzuat arasında gözlemlenen uyumluluğun aynı zamanda Türkiye Kişisel Verileri Koruma Kurumu'nun proaktif çabalarına dayandığı belirtilmektedir. Son olarak, her ne kadar iki mevzuat arasında farklılıklar bulunsa da, bu çalışma, Türk yetkililerin GDPR ile tam uyumluluğu sağlama konusundaki kararlılığını vurgulayarak bütünsel bir yaklaşımla tam uyumun sağlanabileceğini ifade eder.

Keywords

• KVKK
• GDPR
• kişisel evrilerin korunması
• temel ilkeler
• veri işleme şartları
• ilgili kişi hakları
• karşılaştırmalı analiz

References

1. Açık Rıza | Kişisel Verileri Koruma Kurumu. (n.d.). Retrieved from https://kvkk.gov.tr/yayinlar/A%C3%87IK%20RIZA.pdf
2. Açık Rıza Alırken Dikkat Edilecek Hususlar | Kişisel Verileri Koruma Kurumu. (n.d.). Retrieved from https://www.kvkk.gov.tr/Icerik/2037/Acik-Riza-Alirken-Dikkat-Edilecek-Hususlar
3. Alenileştirme” Hakkında Kamuoyu Duyurusu | Kişisel Verileri Koruma Kurumu. (2020). Retrieved from https://www.kvkk.gov.tr/Icerik/6843/-ALENILESTIRME-HAKKINDA-KAMUOYU-DUYURUSU
4. Are there any exceptions? (n.d.). Retrieved from https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/individual-rights/the-right-to-be-informed/are-there-any-exceptions/#id4
5. Ausloos, J. (2020, January 1). The Right to Erasure in EU Data Protection Law. http://books.google.ie/books?id=eYyjzQEACAAJ&dq=The+Right+to+Erasure++in+EU+Data++Protection+Law&hl=&cd=1&source=gbs_api
6. Besemer, L. (2020). PRIVACY AND DATA PROTECTION. Retrieved from http://books.google.ie/books?id=ZMTXzQEACAAJ&dq=Privacy+and+Data+Protection+based+on+the+GDPR&hl=&cd=2&source=gbs_api
7. Bilir F. (2020). The Review of 6698 Numbered Personal Data Protection Law and Protection of Personal Data in the Internet Age. Anayasa Yargısı, Cilt: 37, Sayı: 2, s.305–342. Retrieved from https://ayam.anayasa.gov.tr/media/6686/04_faruk_bilir.pdf
8. Binding Decision 3/2022 on the dispute submitted by the Irish SA on Meta Platforms Ireland Limited and its Facebook service (Art. 65 GDPR) | European Data Protection Board. (n.d.). Retrieved from https://edpb.europa.eu/our-work-tools/our-documents/binding-decision-board-art-65/binding-decision-32022-dispute-submitted_en

9. Case C 487/21 (2023) Österreichische Datenschutzbehörde, v. CRIF GmbH
10. Case C 579/21 (2023) J.M. v. Apulaistietosuojavaltuutettu, Pankki S
11. Communique on Principles and Procedures to Be Followed in Fulfillment of the Obligation to Inform | Kişisel Verileri Koruma Kurumu. (2018). Retrieved from https://www.kvkk.gov.tr/Icerik/6637/Communique-On-Principles-And-Procedures-To-Be-Followed-In-Fullfillment-Of-The-Obligation-To-Inform
12. Develioğlu M.(2017). 6698 sayılı Kişisel Verilerin Korunması Kanunu ile Karşılaştırmalı Olarak Avrupa Birliği Genel Veri Koruma Tüzüğü Uyarınca Kişisel Verilerin Korunması Hukuku. İstanbul: On İki Levha Yayıncılık.
13. Dienst S.(2017). Lawful processing of personal data in companies under the GDPR. D. Rücker &T. Kugler (Eds.). New European General Data Protection Regulation: A Practitioner's Guide (pp.49-103)
14. Doğru Bilinen Yanlışlar 2 | Kişisel Verileri Koruma Kurumu. (n.d.) Retrieved from https://www.kvkk.gov.tr/Icerik/7151/6698-Sayili-Kisisel-Verilerin-Korunmasi-Kanunu-Hakkinda-Dogru-Bilinen-Yanlislar-2
15. Europe, C. O., & Rights, E. U. A. F. F. (2018). Handbook on European data protection law. Council of Europe. Retrieved from http://books.google.ie/books?id=X_OFDwAAQBAJ&pg=PP2&dq=978-92-871-9849-5&hl=&cd=1&source=gbs_api
16. Guidelines on Data Protection Officers ('DPOs') | Article29 Working Party. (2017). Retrieved from https://ec.europa.eu/newsroom/article29/items/612048
17. Han, I. A., Kişisel Verilerin İşlenmesi Bağlamında Hukuka Uygunluk Sebebi Olarak Veri Sahibinin Rızası, Galatasaray Üniversitesi Hukuk Fakültesi Dergisi, 18(1), 417-459
18. Kaya, M. B. (2021). The New Paradigm of Data Protection Law: The Principle of Accountability. İstanbul Hukuk Mecmuası. https://doi.org/10.26650/mecmua.2020.78.4.0005
19. Kişisel Veri İşleme Şartları | Kişisel Verileri Koruma Kurumu. (n.d.). Retrieved from https://www.kvkk.gov.tr/Icerik/4190/Kisisel-Verilerin-Islenme-Sartlari
20. Madde ve Gerekçesi ile Kişisel Verilerin Korunması Kanunu | Kişisel Verileri Koruma Kurumu. (2019). Retrieved from https://www.kvkk.gov.tr/Icerik/5388/Madde-ve-Gerekcesi-ile-Kisisel-Verilerin-Korunmasi-Kanunu-Bilgi-Notu-ve-Kisisel-Verilerin-Korunmasina-Iliskin-Terimler-Sozlugu
21. Opinion 06/2014 on the "Notion of legitimate interests of the data controller under Article 7 of Directive 95/46/EC" | Article 29 Data Protection Working Party (n.d.), https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2014/wp217_en.pdf
22. Özel Nitelikli Kişisel Verilerin İşlenme Şartları | Kişisel Verileri Koruma Kurulu.(n.d.). Retrieved from https://www.kvkk.gov.tr/Icerik/5238/Ozel-Nitelikli-Kisisel-Verilerin-Islenme-Sartlari
23. Press Release No 158/22 |Court of Justice of the European Union”, 2022, https://curia.europa.eu/jcms/upload/docs/application/pdf/2022-09/cp220158en.pdf
24. Rücker, D., & Kugler, T. (2017). New European General Data Protection Regulation. Nomos/Hart. Retrieved from http://books.google.ie/books?id=Ru7pswEACAAJ&dq=Tobias+Kugler&hl=&cd=1&source=gbs_api
25. Sıkça Sorulan Sorular | Kişisel Verileri Koruma Kurumu. (2019). Retrieved from https://www.kvkk.gov.tr/Icerik/4196/Kisisel-Verilerin-Korunmasi-Kanunu-Hakkinda-Sikca-Sorulan-Sorular
26. Special category data. (n.d.). Retrieved from https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/lawful-basis/a-guide-to-lawful-basis/lawful-basis-for-processing/special-category-data/
27. Temel İlkeler | Kişisel Verileri Koruma Kurumu. (n.d.). Retrieved from https://www.kvkk.gov.tr/Icerik/4189/Kisisel-Verilerin-Islenmesine-Iliskin-Temel-Ilkeler
28. The Criteria for The Determination of Countries Having an Adequate Level of Protection | Kişisel Verileri Koruma Kurulu. (2019). Retrieved from https://www.kvkk.gov.tr/Icerik/6642/Transfer-of-Personal-Data-Abroad
29. The Eleventh Development Plan | Presidency of Republic of Turkey Presidency of Strategy and Budget. (2019). Retrieved from https://www.sbb.gov.tr/wp-content/uploads/2022/07/Eleventh_Development_Plan_2019-2023.pdf
30. Uçak, M. (2021). Kişisel Verilerin Hukuka Uygun İşlenmesinde Çocuğun Rızası. Kişisel Verileri Koruma Dergisi, 3(1), 41-60.
31. Uršič, H. (2021). Data Subject Rights Under the GDPR. Retrieved from http://books.google.ie/books?id=SECizgEACAAJ&dq=HELENA+U.+VRABEC&hl=&cd=1&source=gbs_api
32. Ustaran, E. (2022). European Data Protection, Third Edition. Retrieved from http://books.google.ie/books?id=6AFGzwEACAAJ&dq=978-1-948771-72-6&hl=&cd=1&source=gbs_api
33. Van Alsenoy, B. (2019). Data Protection Law in the EU. Retrieved from http://books.google.ie/books?id=xfwiwwEACAAJ&dq=9781780688459&hl=&cd=3&source=gbs_api
34. Yapay Zekâ Alanında Kişisel Verilerin Korunmasına Dair Tavsiyeler| Kişisel Verileri Koruma Kurulu. (n.d.). Retrieved from https://www.kvkk.gov.tr/Icerik/7048/Yapay-Zeka-Alaninda-Kisisel-Verilerin-Korunmasina-Dair-Tavsiyeler
35. 2018/10 sayılı Kurul Kararı | Kişisel Verileri Koruma Kurulu. (2018). Retrieved from https://www.kvkk.gov.tr/Icerik/4110/2018-10
36. 2019/125 sayılı Kurul Kararı | Kişisel Verileri Koruma Kurulu. (2019). Retrieved from https://www.kvkk.gov.tr/Icerik/5469/-Yeterli-korumanin-bulundugu-ulkelerin-tayininde-kullanilmak-uzere-olusturulan-form-hakkindaki-02-05-2019-tarihli-ve-2019-125-sayili-Kurul-Karari
37. 2020/173 sayılı Kurul Kararı | Kişisel Verileri Koruma Kurumu. (2020). Retrieved from https://www.kvkk.gov.tr/Icerik/6739/2020-173