BAE Veri Koruma Yasası: İş Uyumluluğu Kılavuzu

Birleşik Arap Emirlikleri, federal, serbest bölge ve sektöre özgü yetki alanlarında veri korumayı düzenleyen birbiriyle örtüşen çok sayıda yasayla Orta Doğu'daki en gelişmiş veri koruma çerçevelerinden birini geliştirmiştir. İşletmeniz için hangi yasanın geçerli olduğunu anlamak ve geçerli tüm rejimlere uygunluğu sağlamak, BAE'nin hızla büyüyen dijital ekonomisinde yasal olarak faaliyet göstermek için çok önemlidir.

BAE'nin birincil veri koruma mevzuatı şunları içerir: Eylül 2021'den itibaren geçerli olan 45/2021 sayılı Kişisel Verilerin Korunmasına İlişkin Federal Kanun Hükmünde Kararname (PDPL), DIFC Veri Koruma Kanunu 2020 (Dubai Uluslararası Finans Merkezindeki işletmeler için), ADGM Veri Koruma Düzenlemeleri 2021 (Abu Dabi Küresel Pazardaki işletmeler için) ve sağlık, telekomünikasyon ve finansal hizmetleri kapsayan sektöre özel düzenlemeler.

Önemli Çıkarımlar

• BAE PDPL (45/2021 Sayılı Federal Kanun Hükmünde Kararname), BAE'de ülke dışı kapsamda kişisel verilerin işlenmesi için geçerlidir
• DIFC ve ADGM serbest bölgelerinin, GDPR'yi temel alan kendi bağımsız veri koruma yasaları vardır
• BAE KVKK işleme için sekiz yasal dayanak sağlar; rıza ve meşru menfaatler en yaygın şekilde kullanılır
• Veri sahibinin hakları arasında erişim, düzeltme, silme, taşınabilirlik, rızanın geri çekilmesi ve itiraz yer alır
• Sınır ötesi veri aktarımları ya yeterliliğin belirlenmesini ya da uygun önlemlerin alınmasını gerektirir
• BAE Veri Ofisi (UAEDO) federal denetleyici makamdır; DIFC Komiseri ve ADGM Düzenleyici Otoritesi kendi serbest bölgelerini denetler
• PDPL kapsamındaki cezalar arasında 20 milyon AED'ye (5,4 milyon ABD Doları) kadar para cezaları ve belirli ihlaller için hapis cezası yer almaktadır
• Sağlık verileri, finansal veriler ve biyometrik veriler, hassas veriler olarak daha yüksek koruma altına alınır

---

BAE Veri Koruma Çerçevesi: Çakışan Yargı Yetkileri

Federal PDPL (BAE Anakarası)

Kişisel Verilerin Korunmasına ilişkin 45/2021 Sayılı Federal Kanun Hükmünde Kararname (genellikle PDPL veya BAE DPL olarak anılır) aşağıdakiler için geçerlidir:

• BAE'de ikamet eden gerçek kişiler
• İşlemenin nerede gerçekleştiğine bakılmaksızın, BAE'de veya BAE sakinleri hakkında kişisel verileri işleyen herhangi bir kuruluş
• BAE topraklarında kişisel verileri işleyen tüzel kişiler

KVKK, ayrıntılı uygulama gerekliliklerini sağlayan 33/2022 sayılı Yürütme Düzenleme Kabinesi Kararı ile desteklenmiştir. BAE Veri Ofisi (UAEDO) yaptırımı, kayıt gerekliliklerini ve kılavuzların yayınlanmasını denetler.

DIFC Veri Koruma Yasası 2020 (DP Yasası)

Dubai Uluslararası Finans Merkezi (DIFC), İngiliz ortak hukukuna dayanan kendi hukuk sistemine sahip bağımsız bir serbest bölgedir. DIFC Veri Koruma Komiseri tarafından yönetilen DIFC Veri Koruma Yasası 2020, yapı ve gereksinimler açısından GDPR'yi yakından yansıtmaktadır. Aşağıdakiler için geçerlidir:

• Kişisel verileri işleyen DIFC'ye kayıtlı kuruluşlar
• DIFC'deki bireylerin verilerini işleyen, DIFC dışındaki kuruluşlar

ADGM Veri Koruma Düzenlemeleri 2021

Abu Dabi Küresel Piyasası (ADGM) serbest bölgesi, ADGM Kayıt Otoritesi tarafından yönetilen veri koruma düzenlemeleri ile DIFC'ye benzer bir yaklaşım izlemektedir. Bu düzenlemeler aynı zamanda GDPR ilkelerini de yakından takip etmektedir.

Pratik çıkarım: Dubai ana karasında faaliyet gösteren, DIFC'ye kayıtlı bir yan kuruluş ve bir ADGM şubesi bulunan bir işletme, potansiyel olarak her üç rejim kapsamında eşzamanlı olarak yükümlülüklerle karşı karşıya kalabilir. Tüzel kişilik yapınızı anlamak, uyumluluk eşlemesinin başlangıç ​​noktasıdır.

---

BAE PDPL: Temel Yükümlülükler

Kişisel Veri Tanımı ve Kategorileri

BAE PDPL kapsamında kişisel veriler, gerçek bir kişinin doğrudan veya dolaylı olarak isim, ses, resim, kimlik numarası veya fiziksel, psikolojik, ekonomik, kültürel veya sosyal kimliğe ilişkin diğer herhangi bir özellik veya veri yoluyla tanımlanmasına yol açan her türlü veri anlamına gelir.

Hassas kişisel veriler (daha yüksek koruma gerektiren) şunları içerir:

• Aile veya ırksal kökene ilişkin veriler
• Siyasi görüşler
• Dini veya felsefi inançlar
• Adli sicil kayıtlarına ilişkin veriler
• Biyometrik veriler
• Sağlık verileri
• Çocuklara ilişkin veriler

Hassas verilerin işlenmesi açık rıza gerektirir veya belirli muafiyetler (yasal zorunluluk, tıbbi zorunluluk, hayati menfaatler) kapsamına girer.

İşlemenin Yasal Dayanağı

BAE PDPL'nin 5. Maddesi sekiz yasal dayanağı tanır:

1. Veri sahibinin açık rızası
2. Veri sahibiyle sözleşmenin imzalanması
3. Yasal yükümlülüğe uygunluk
4. Veri sahibinin veya üçüncü tarafın hayati menfaatlerinin korunması
5. Kamu yararı veya resmi yetkinin kullanılması
6. Denetleyicinin veya üçüncü bir tarafın meşru menfaatleri (veri sahibinin menfaatleri tarafından geçersiz kılınmadığı sürece)
7. Yasal hak taleplerinin oluşturulması, uygulanması veya savunulması
8. Kamu yararına arşivleme, araştırma veya istatistiksel amaçlar

Rıza gereklilikleri: BAE PDPL kapsamında rızanın açık, spesifik, bilgilendirilmiş ve doğrulanabilir olması gerekir. Kontrolör, rızanın alındığını gösterebilmelidir. Rızanın geri çekilmesi, verilmesi kadar kolay olmalı ve rızaya dayalı işleme, geri çekilme sonrasında sona ermelidir.

Veri Sahibi Hakları

BAE PDPL, veri sahiplerine 30 gün içinde yerine getirilmesi gereken hakları vermektedir (gerekçe ile uzatılabilir):

Hakların kullanılması: Denetleyiciler, hak taleplerini almak ve bunlara yanıt vermek için açık kanallar oluşturmalıdır. Reddetmeler gerekçeleriyle birlikte belgelenmelidir.

---

Denetleyici ve İşleyici Yükümlülükleri

Denetleyici Yükümlülükleri

BAEDO'ya kayıt: Kişisel verileri işleyen işletmelerin BAE Veri Ofisine kaydolması gerekebilir. UAEDO, ek düzenlemeler aracılığıyla kayıt gerekliliklerini geliştiriyor; mevcut gereklilikler için UAEDO rehberliğini izleyin.

Gizlilik Bildirimi: Veri sahiplerine toplama sırasında veya öncesinde aşağıdakiler açıklanarak sunulmalıdır:

• Kontrolörün kimlik ve iletişim bilgileri
• İşlemenin amaçları ve yasal dayanağı
• Toplanan kişisel verilerin kategorileri
• Veri saklama süreleri
• Veri sahibi hakları ve bunların nasıl kullanılacağı
• Sınır ötesi transferler hakkında bilgi
• Veri sağlamanın zorunlu mu yoksa isteğe bağlı mı olduğu

Veri Koruma Görevlisi: BAE PDPL, aşağıdakiler için bir Veri Koruma Görevlisinin (DPO) atanmasını gerektirir:

• Kamu kurumları
• Temel faaliyetleri bireylerin geniş ölçekli sistematik izlenmesini gerektiren kontrolörler veya işleyiciler
• Temel faaliyetleri hassas verilerin büyük ölçekli işlenmesini içeren kontrolörler veya işleyiciler

Bu kriterleri karşılamayan özel işletmeler yine de yönetişim amacıyla bir DPO atamaktan yararlanabilir.

Güvenlik önlemleri: İşlemenin niteliği, kapsamı, bağlamı ve amaçları ile veri sahibinin haklarına yönelik riskleri dikkate alarak uygun teknik ve organizasyonel güvenlik önlemlerini uygulayın.

İşleyici Anlaşmaları

İşleyiciler verileri yalnızca belgelenmiş denetleyici talimatlarına göre işlemelidir. Kontrolörler ve işleyiciler arasındaki anlaşmalar aşağıdakileri kapsamalıdır:

• Veri işleme talimatları ve kapsamı
• Gizlilik yükümlülükleri
• Güvenlik gereksinimleri
• Alt işlemci kısıtlamaları
• Veri sahibi hakları konusunda yardım
• Veri iade veya silme yükümlülükleri

---

Sınır Ötesi Veri Aktarımı Kuralları

BAE KVKK'nın 22. Maddesi, kişisel verilerin BAE dışına aktarılmasını kısıtlamaktadır. İzin verilen transfer mekanizmaları:

BAEDO yeterlilik kararları: UAEDO, yeterli veri korumasına sahip ülkelerin listesini geliştiriyor. 2026 yılı başı itibarıyla resmi yeterlilik listesi halen oluşturulmaktadır. Uygulamada birçok BAE işletmesi, sınır ötesi transferler için sözleşme maddelerini kullanıyor.

Serbest bölge hususları: DIFC ve ADGM'nin kendi aktarım mekanizmaları vardır. DIFC veri koruma yasası, yeterli ülkelere (GDPR'ye uygun ülkeler dahil) yapılan aktarımları, bağlayıcı kurumsal kuralları ve standart sözleşme maddelerini tanır. DIFC Komiseri belirli transfer mekanizmalarını onayladı.

---

DIFC Veri Koruma Yasası 2020 — Temel Farklılıklar

DIFC içinde veya DIFC aracılığıyla faaliyet gösteren işletmeler için, DIFC DP Yasası 2020 doğrudan uygulanır ve federal PDPL'den daha fazla GDPR ile uyumludur. Temel özellikler:

Altı yasal dayanak (GDPR'ye uygun): rıza, sözleşme, yasal yükümlülük, hayati çıkarlar, kamu görevi, meşru çıkarlar

Daha sıkı izin gereklilikleri: Özel kategorideki kişisel verilerin işlenmesi için yazılı izin gereklidir; Rıza özgürce verilmelidir (güç dengesizliği dikkate alınır)

Veri ihlali bildirimi: DIFC Komiserine 72 saatlik bildirim; Yüksek riskli durumlarda bireysel bildirim — GDPR zamanlaması ile aynı

DPO gerekliliği: GDPR ile aynı eşikler (sistematik izleme, büyük ölçekli özel kategori verileri, kamu kurumu)

Para cezaları: 1. Seviye ihlaller için 100.000 ABD Dolarına kadar; Seviye 2 için sınırsız (ciddi, kasıtlı veya dikkatsiz ihlaller)

Veri Koruma Etki Değerlendirmeleri: Yüksek riskli işleme için gereklidir (GDPR Madde 35 ile aynı tetikleyiciler)

---

Sektöre Özel Veri Koruma Gereksinimleri

Sağlık Verileri

BAE'nin Sağlık Verileri Kanunu (2/2019 Sayılı Federal Kanun) ve Dubai Sağlık Otoritesi düzenlemeleri, sağlık verilerine ilişkin ek gereklilikler getirmektedir:

• Sağlık hizmeti verilerinin paylaşılması için hastanın rızası gerekir (kamu sağlığı ve araştırma için özel istisnalar hariç)
• Sınır ötesi aktarıma özel olarak izin verilmediği sürece sağlık verileri BAE'de saklanmalıdır
• Elektronik Sağlık Kayıtları belirli güvenlik ve birlikte çalışabilirlik standartlarını karşılamalıdır
• Dubai Sağlık Otoritesi, sağlık hizmetleri verileri için zorunlu veri yerelleştirme gerekliliklerini sürdürüyor

Finansal Hizmetler

BAE Merkez Bankası ile Menkul Kıymetler ve Emtia Kurumu'nun (SCA), finansal kurumlar için veri koruma ve siber güvenlik gereksinimleri vardır. Temel gereksinimler şunları içerir:

• Müşteri verilerinin sınıflandırılması ve hassasiyetle orantılı olarak korunması
• Belirlenen zaman dilimleri içerisinde veri ihlallerinin müşteriye bildirilmesi
• Müşterinin finansal verilerinin izinsiz paylaşılmasına ilişkin kısıtlamalar
• Siber güvenlik çerçevesi uyumluluğu (bankalar için CBUAE Siber Güvenlik Çerçevesi)

Telekomünikasyon Verileri

Telekomünikasyon Düzenleme Kurumu (TRA), aşağıdakiler de dahil olmak üzere telekomünikasyon sağlayıcıları tarafından kişisel verilerin işlenmesini düzenler:

• Abone gizliliğinin korunması
• Arama detayı kayıt erişim kısıtlamaları
• Konum verileri korumaları
• Belirli telekom verileri için veri yerelleştirme gereksinimleri

---

BAE PDPL Kapsamında İhlal Bildirimi

BAE PDPL'nin 16. Maddesi kontrolörlerin aşağıdakileri bildirmelerini gerektirir:

1. BAE Veri Ofisi: Veri sahiplerine zarar vermesi muhtemel bir kişisel veri ihlalinin farkına varılmasından sonraki 72 saat içinde
2. Veri sahipleri: İhlalin haklarına yönelik yüksek riske yol açması muhtemelse, gereksiz gecikme olmaksızın

UAEDO'ya yapılacak bildirim şunları içermelidir:

• İhlalin niteliği
• Kategoriler ve etkilenen veri sahiplerinin yaklaşık sayısı
• Etkilenen kişisel veri kayıtlarının kategorileri ve yaklaşık sayısı
• DPO'nun iletişim bilgileri
• İhlalin olası sonuçları
• İhlalin giderilmesi için alınan veya önerilen önlemler

Belgeleme: Herhangi bir bildirim gerekmese bile (veri sahiplerine yönelik risk olasılığı düşük olduğundan), ihlalin gerçekler, etkiler ve düzeltme eylemleriyle birlikte dahili olarak belgelenmesi gerekir.

---

KVKK Cezaları ve Uygulaması

BAE Veri Ofisi (BAEDO) soruşturma, idari para cezaları ve cezai konularda Savcılığa sevk dahil olmak üzere geniş uygulama yetkilerine sahiptir.

İdari cezalar:

• Denetleyici/işleyici yükümlülüklerinin ihlali nedeniyle 5 milyon AED'ye (1,36 milyon ABD Doları) kadar para cezaları
• Hassas verileri içeren veya veri sahiplerine zarar veren ihlaller için 20 milyon AED'ye (5,44 milyon ABD Doları) kadar para cezaları

Ceza cezaları: Söylentiler ve Siber Suçlarla Mücadeleye ilişkin 34/2021 sayılı Federal Kanun, veriyle ilgili belirli suçlar için KVKK ile örtüşmektedir. Verilerle ilgili belirli suçlar, hapis ve/veya 3 milyon AED'ye kadar para cezalarıyla sonuçlanabilir.

DIFC Komiseri para cezaları: Ciddi ihlaller için sınırsız para cezaları; Daha hafif ihlaller için 100.000 dolar. DIFC tarihsel olarak yayınlanan kararlarla aktif olarak uygulamıştır.

---

BAE Veri Koruma Uyumluluğu Kontrol Listesi

• Her tüzel kişilik için belirlenen geçerli yasa (federal PDPL, DIFC DP Yasası, ADGM DPR veya bunların birleşimi)
• Tüm sistemlerde kişisel veri envanteri tamamlandı
• Hassas veriler belirlendi ve artırılmış korumalar uygulandı
• Her işleme faaliyeti için belgelenen yasal dayanak
• Gerekli tüm açıklamaları kapsayan gizlilik bildirimi yayınlandı
• Gerektiğinde DPO atanır; iletişim bilgileri yayınlandı
• Veri sahibi hakları prosedürleri belgelendi (30 günlük yanıt zaman çizelgesi)
• İşleyici anlaşmaları gözden geçirildi ve KVKK gerekliliklerine göre güncellendi
• Sınır ötesi transfer değerlendirmesi tamamlandı - mekanizmalar mevcut
• Uygunsa sağlık hizmeti verilerinin yerelleştirilmesi değerlendirildi
• Riskle orantılı olarak belgelenen ve uygulanan güvenlik önlemleri
• İhlal bildirim prosedürü belgelendi (72 saatlik zaman çizelgesi)
• PDPL/DIFC DP yükümlülüklerine ilişkin çalışan eğitimi tamamlandı
• UAEDO kaydı mevcut düzenlemelere göre değerlendirildi

---

Sıkça Sorulan Sorular

Serbest bölge işletmem için hangi BAE veri koruma kanunu geçerli?

Serbest bölgenize bağlıdır. DIFC'ye kayıtlı işletmeler, federal PDPL'den bağımsız olan DIFC Veri Koruma Yasası 2020'ye tabidir. ADGM'deki işletmeler ADGM Veri Koruma Düzenlemeleri 2021'e tabidir. Diğer serbest bölgelerdeki (JAFZA, DMCC, Dubai Internet City vb.) işletmeler genellikle serbest bölgenin kendi düzenlemelerinin yanı sıra federal PDPL'ye tabidir. Çoğu durumda, özellikle BAE anakarası ve serbest bölgeleri kapsayan operasyonları olan işletmeler için birden fazla çerçeve geçerlidir.

BAE PDPL veri yerelleştirmesini gerektiriyor mu?

BAE PDPL'nin kendisi genel veri yerelleştirme gereklilikleri getirmemektedir; sınır ötesi aktarımlara uygun önlemler kapsamında izin verilmektedir. Ancak sektöre özgü düzenlemeler (özellikle sağlık hizmetleri ve finansal hizmetler), belirli veri kategorileri için yerelleştirme gereklilikleri getirebilir. BAE Merkez Bankası'nın siber güvenlik çerçevesi ve Dubai Sağlık Otoritesi düzenlemeleri, düzenlenmiş belirli veriler için veri ikamet yükümlülüklerini zorunlu kılmaktadır. KVKK'ya ek olarak daima sektöre özel gereklilikleri kontrol edin.

BAE veri koruması bulut hizmetlerine nasıl uygulanır?

BAE işletmeleri adına BAE kişisel verilerini işleyen bulut hizmeti sağlayıcıları, PDPL kapsamındaki işleyicilerdir. Verilerin BAE dışında saklanması durumunda kontrolörlerle işleyici anlaşmaları yapmalı, uygun güvenlik önlemlerini uygulamalı ve sınır ötesi aktarım gerekliliklerine uymalıdırlar. Bulut hizmetlerini kullanan BAE işletmeleri şunları doğrulamalıdır: bulut sağlayıcısının PDPL uyumluluk durumu, bir BAA/DPA'nın mevcut olup olmadığı ve veri depolama konumunun sınır ötesi aktarım mekanizmaları gerektirip gerektirmediği.

BAE'nin yapay zeka ve otomatik karar alma sürecine yaklaşımı nedir?

BAE PDPL, talep üzerine insan müdahalesini gerektiren, önemli hukuki veya benzer şekilde önemli etkiler doğuran, yalnızca otomatik işlemeye dayalı kararlara tabi olmama hakkını içerir. BAE ayrıca yapay zekada veri gizliliğini ve etiğini vurgulayan bir Yapay Zeka Etiği çerçevesi ve Dubai Yapay Zeka Stratejisi 2031'i de geliştirdi. Önemli kararlar (kredi puanlama, İK taraması, müşteri sınıflandırması) için yapay zeka kullanan işletmeler, hem PDPL yükümlülüklerini hem de sektöre özgü yapay zeka yönetişim gereksinimlerini değerlendirmelidir.

BAE veri koruması GDPR ile karşılaştırıldığında nasıldır?

BAE PDPL, GDPR'nin temel ilkelerini (yasallık, adalet, şeffaflık, amaç sınırlaması, veri minimizasyonu, doğruluk, depolama sınırlaması, güvenlik, hesap verebilirlik) ve benzer veri sahibi haklarını paylaşmaktadır. Ancak PDPL bazı alanlarda daha az kuralcıdır; zaman çizelgeleri, DPO yeterlilik gereklilikleri ve DPIA gereklilikleri GDPR'den daha az ayrıntılıdır. DIFC DP Yasası 2020, yapı ve ayrıntı açısından GDPR'ye önemli ölçüde daha yakındır. Hem GDPR'ye hem de BAE PDPL'ye tabi kuruluşlar, GDPR uyumluluğunun PDPL uyumluluğu için güçlü bir temel oluşturduğunu ve BAE'ye özgü bazı eklemelerin gerekli olduğunu görecektir.

---

Sonraki Adımlar

BAE'nin karmaşık, çok katmanlı veri koruma ortamı (federal PDPL, DIFC, ADGM ve sektör düzenlemeleri), yükümlülükleri ilgili her tüzel kişiliğe ve veri akışına eşleyen yapılandırılmış bir uyumluluk yaklaşımı gerektirir. ECOSIRE ekibi, aynı anda birden fazla düzenleme gerekliliğini karşılayan teknoloji platformu uygulamalarında özel uzmanlığa sahip olup, BAE serbest bölgesi ve ana kara ortamlarında uyumluluk konusunda gezinme deneyimine sahiptir.

Başlayın: ECOSIRE Hizmetleri

Yasal Uyarı: Bu kılavuz yalnızca bilgilendirme amaçlıdır ve yasal tavsiye niteliğinde değildir. BAE veri koruma yasaları gelişmektedir ve bu kılavuz 2026'nın başından itibaren gereklilikleri yansıtmaktadır. Kuruluşunuza ve yetki alanınıza özel tavsiyeler için nitelikli BAE hukuk müşavirine danışın.