Pekin’de Veri Uyumu: Sadece Bir Yazılım Güncellemesi Değil, Stratejik Bir Karar
2021’de Çìn’in Kişisel Bilgi Koruma Yasası (PIPL) yürürlüğe girdiğinde, pek çok uluslararası şirket bunu “GDPR’nin Çìn versiyonu” diye okudu ve mevcut gizlilik politikalarını biraz düzeltip hallederler sandı. 2026’nın sonlarına doğru baktığımızda, özellikle Pekin’te faaliyet gösteren veya veri işleyen Türkiye girişimcileri için durumun o kadar basit olmadığı açık. Pekin Şehir Düzeyinde Veri Güvenliği Yönetim Yöntemleri (征求意见稿 taslağı dahil) ve 2023-2024’te çıkan yargıtay kararları, “uyum"un tek bir belge değil, sürekli bir süreç olduğunu gösteriyor. Bu yazıda, ofisten Elevated bir bakış açısıyla değil, sahadaki gerçeklerle — hukuki riskler, maliyetler ve yerel avukatla nasıl çalışılacağıyla — yüzleşiyoruz.
Neden Pekin Farklı? Türkiye Girişimcisinin Bakış Açısıyla Bağlam
İstanbul’dan veya Ankara’dan bir SaaS platformu, e-ticaret sitesi veya fintech uygulaması yönetiyorsunuz. Müşterilerinizin bir kısmı Pekin’de yaşıyor, sunucularınız belki Singapur’da, belki Frankfurt’ta. PIPL’nın 11. maddesi: “Kritik bilgi altyapısı işleticileri ve büyük ölçekli kişisel bilgi işleyenler, Çin’de topladıkları kişisel bilgileri Çin’de saklamalıdır.” diyor. Peki, siz “büyük ölçekli” sayılır mısınız? 2023’te Çìn Siber Güvenliği İdaresi (CAC) tarafından yayımlanan “Kişisel Bilgi Dışa Aktarımı Standart Sözleşmesi Ölçütleri” ve sonrası gelen yargı uygulamaları, bu eşiğin net olmadığını, ama riskin çok yüksek olduğunu kanıtlıyor.
Türkiye’den gelen bir kurucu arkadaşım, geçen yıl Pekin’te bir veri güvenliği denetimi geçirdiğini anlattı. Denetimde sadece “veri nereye gidiyor?” sorulmadı; “Veri işleme amacı ne?”, “Onay formunda hangi dil kullanıldı?”, “Çalışanlarınızın veri erişim yetkileri nasıl sınırlandırılıyor?” soruları geldi. Cevap veremedikleri için idari para cezası aldılar — fakat asıl maliyet, 3 ay boyunca platformun Pekin IP’lerine kapatılmasıydı. Bu, “sadece bir ceza” değil, pazar kaybı ve itibar zararı.
İşte bu noktada yerel bir Pekin avukatının devreye girmesi gerekiyor. Uzaktan İstanbul’dan bir hukuk bürosu sözleşme şablonu gönderebilir, ama denetim sırasında “Bu şirketin veri sorumlusu kim?”, “Veri güvenliği etki değerlendirmesi (DPIA) raporu nerede?” sorularına anında, yerel dilde ve kurumsal kaşeyle cevap verecek kişi, Pekin Barosu’na kayıtlı bir avukattır.
Pratik Uyum Süreci: Adım Adım Ne Yapmalısınız?
1. Veri Haritalama ve Sınıflandırma (Data Mapping)
Önce sorunuz: “Hangi veri, nereden geliyor, nereye gidiyor, kim görüyor?” Pekin’de faaliyet gösteren her şirket için bu harita, CAC’a sunulabilecek bir Kişisel Bilgi Koruma Etki Değerlendirmesi Raporu (PIA/DPIA)’nin temelidir. 2024’te Pekin Yüksek Halk Mahkemesi’nin bir kararında, DPIA raporu hazırlamayan bir yabancı teknoloji şirketine 1 milyon CNY para cezası ve veri işleme faaliyetlerinin askıya alınması kararı verildi.
Kontrol Listesi:
- Toplanan veri kategorileri (kimlik, biyometrik, finansal, sağlık, konum vb.)
- Veri işleme amaçları ve hukuki dayanaklar (rıza, sözleşme, meşru menfaat)
- Veri aktarım yolları (API, bulut, e-posta, üçüncü taraf SDK’lar)
- Çapraz sınır veri aktarımı varsa: Standart Sözleşme, CAC güvenlik değerlendirmesi veya sertifikasyon yolu mu seçilecek?
2. Yerel Temsilci ve Veri Sorumlusu Ataması
PIPL 52. madde: Çìn’de yerleşik ofisi olmayan yabancı veri işleyiciler, Çìn’de bir yönderici (representative) ve kişisel bilgi koruma sorumlusu (DPO) atamak zorundadır. Bu kişi, Pekin’de ikamet eden, Çìn vatandaşı veya sürekli oturum izni sahibi bir gerçek kişi olmalı.
Pratikte: Bu rolü bir çalışana yüklemek risklidir; çünkü o kişi istifa ederse, sizin 30 gün içinde yenisi bildirmek zorundasınız. Pekin’deki hukuk büroları bu “yönderici hizmeti"ni aylık retainer karşılığında sunar — bu, sadece bir adres değil, denetimde ilk temas noktasıdır.
3. Standart Sözleşme ve CAC Bildirimi
Eğer veri Çìn’den çıkıyorsa (örneğin, Türkiye’deki analiz sunucularınıza), 2023 Standard Contract Measures uyarınca:
- Standart sözleşme imzalanmalı
- CAC’a işlem bildirimi (备案) yapılmalı
- Bildirim onayı alınıldıktan sonra veri aktarımı başlayabilir
Önemli not: 2024 sonrası Pekin CAC ofisi, bildirim dosyalarında “veri işleme amacı” ile “kullanıcı onay metni” arasındaki tutarsızlıkları çok sık sorguluyor. İngilizce şablonu çevirip imzalamak yetmiyor; Çince metinlerin PIPL terminolojisiyle birebir uyumlu olması gerekiyor.
4. Çalışan Verileri ve İç Kontroller
PIPL sadece müşteri verisi değil, çalışan verilerini de kapsıyor. Pekin’de işe aldığınız yerel satış ekibi, müşteri hizmetleri, geliştiriciler — hepsinin verisi (kimlik, maaş, performans, biyometrik giriş-çıkış) PIPL kapsamında. 2025 başında Pekin’de bir yabancıStartup, çalışan parmak izi giriş sistemini “uygun hukuki dayanak olmadan” kullanmış diye cezalandırıldı. Çözüm: Çalışan el kitabına veri işleme bildirimi eklemek, ayrı rıza formu almak (veya meşru menfaat dayanağını yazılı olarak kanıtlamak) ve erişim yetkilerini “need-to-know” prensibiyla sınırlandırmak.
5. Veri İhlali Müdahale Planı
PIPL 57. madde: Veri ihlali durumunda “derhal” CAC’a ve etkilenen kişilere bildirim yapılmalı. “Derhal” için net bir saat tanımı yok, ama yargı uygulamaları 24-72 saat aralığını gösteriyor. Planınız olmalı: Kim karar verir? Çince bildirim taslağı hazır mı? Medya krizi yönetimi için kimle iletişime geçersiniz? Yerel avukatınız bu planı yazmalı ve yılda bir kez “masa üstü tatbikat” (tabletop exercise) yapmalısınız.
Maliyetler ve Beklentiler: Gerçekçi Bir Tablo
| Hizmet | Tipik Aralık (CNY/Yıl) | Not |
|---|---|---|
| Yerel temsilci / DPO hizmeti (büyük büro) | 80,000 - 150,000 | Yıllık retainer, acil durum desteği dahil |
| DPIA raporu hazırlığı (tek proje) | 30,000 - 80,000 | Karmaşıklığa göre değişir |
| Standart sözleşme + CAC bildirimi | 20,000 - 50,000 | Çince metin hazırlığı, revizyonlar dahil |
| Yıllık uyum denetimi ve eğitim | 40,000 - 100,000 | İç denetim, personel eğitimi, politika güncellemesi |
| Veri ihlali müdahale (acil) | Saatlik 2,000 - 5,000 | Ayırt ettirmeksizin retainer kapsamında olabilir |
Bu rakamlar 2025-2026 Pekin pazar gözlemlerine dayalı tahmini değerlerdir; kesin teklif için mutlaka birden fazla bürodan görüşme yapın. Küçük bürolar (3-5 avukat) daha uygun olabilir, ama CAC denetimi deneyimi sorun.
Yerel Avukat Seçerken Sormeniz Gereken 5 Soru
- “Son 12 ayda kaç tane CAC veri güvenliği denetiminde müvekkil temsilciliği yaptınız?” — Deneyim sayıları önemlidir; “biz danışmanlık yaparız” demek yetmez.
- “PIPL 52. madde uyarınca yönderici hizmeti siz mi vereceksiniz, yoksa üçüncü bir tarafı mı koordine edeceksiniz?” — Sorumluluk net olmalı.
- “Standart sözleşme CAC bildirimi için Çince metni siz mi yazıyorsunuz, yokça müvekkilin çevirmenini mi kullanıyorsunuz?” — Çince metin avukat tarafından yazılmalı/onaylanmalı.
- “Çalışan veri koruma politikaları ve DPIA için şirket içi mühendis/IT ekibiyle nasıl çalışıyorsunuz?” — Hukuk + teknik anlayış birleşimi kritiktir.
- “Retainer kapsamında acil durum (veri ihlali, denetim çağrısı) için 7/24 ulaşılabilirlik var mı?” — Yazılı sözleşmede olmalı.
Sıkça Sorulan Sorular
S1: Şirketim Çince/ofis yok, sadece uzaktan Pekin kullanıcısına hizmet veriyorum. Yine de PIPL bana mı uygulanır?
C1: Evet. PIPL 3. madde: “Çin境外에서 Çin境内 kişilerin bilgilerini işleyenler” kapsar. Eğer Pekin kullanıcılarından veri topluyorsanız (IP, çerez, hesap, ödeme), PIPL uygulanır. Pratik adımlar: (1) Çince gizlilik politikası yayınlayın, (2) Yerel temsilci atayın, (3) Çapraz sınır aktarımı varsa standart sözleşme/CAC bildirimi yapın. Yerel avukat olmadan bu süreçleri yönetmek çok risklidir.
S2: Veri merkezim Frankfurt’ta, Pekin’de sunucu yok. Yine de “veri yerelleştirme” zorunluluğu var mı?
C2: “Kritik bilgi altyapısı” veya “büyük ölçekli işleyen” sayılmadığınız sürece, veri Çìn’de saklanmak zorunda değildir — ama çapraz sınır aktarımı güvenlik değerlendirmesinden (veya standart sözleşme/CAC bildiriminden) geçmek zorundadır. 2024 CAC rehberi: “Büyük ölçek” eşiği net değil; riski istemiyorsanız veri yerelleştirme (Pekin/Çin bulut) en güvenli yoldur. Yerel avukatınız risk değerlendirmesi yapmalı.
S3: Standart sözleşme imzaladık, CAC bildirimi yaptık. Artık rahat mıyız?
C3: Hayat. Bildirim onayı (备案通过) başlangıçtır. Sonrasında: (a) Veri işleme faaliyetleri bildirimdeki amaçlarla tutarlı olmalı, (b) Yıllık en az bir kez iç denetim yapmalı, (c) Kullanıcı hakları talepleri (silme, düzeltme, kopyalama) 15 günde cevaplanmalı, (d) Politikalar değişirse CAC’a güncelleme bildirimi yapılmalı. Uyum “bir kere yapılıp biten” bir iş değil.
S4: Küçük bir startup’ız, bütçe sınırlı. Avukatsız halleder miyiz?
C4: Şablonları indirip doldurabilirsiniz — ama denetimde, dava da veya ihbarde “avukat imzalı DPIA”, “avukat hazırlığıyla CAC bildirimi”, “yerel temsilci kaşeli yazışmalar” kanıt olarak istenecektir. 2025 Pekin mahkeme kararında, avukat danışmanlığı olmadan hazırlanan DPIA “yetersiz” bulunmuş, şirket cezalandırılmıştır. Maliyetleri yönetmek için: küçük büro seçin, retainer yerine proje bazlı anlaşın, ama kritikal noktalarda (bildirim, denetim, ihlal) avukat imzası olsun.
Özet: Ne Yapmalı, Nereden Başlamalı?
Pekin’de veri uyumu, bir “şekil” değil, operasyonel bir disiplindir. Türkiye girişimcisiyseniz:
- Hemen bugün: Veri haritanızı çıkarın — hangi veri Pekin’e gidiyor/geliyor?
- Bu hafta: Pekin Barolu 2-3 avukatla giriş görüşmesi yapın (çoğu ücretsiz 30 dk sunar). Yukarıdaki 5 soruyu sorun.
- Bu ay: En azından yerel temsilci/DPO ataması ve Çince gizlilik politikası yayınlayın.
- Bu çeyrekte: Çapraz sınır veri aktarımı varsa standart sözleşme + CAC bildirimi sürecini başlatın.
- Sürekli: Yıllık denetim, personel eğitimi, ihlal müdahale tatbikatı.
Bu yol haritası size “garanti” vermez — çin hukukunda garanti yoktur. Ama sizi “hazırlıksız yakalanan” grubundan çıkarıp, “yönetilebilir risk” grubuna taşır.
Bizimle İletişime Geçin
On yıldır bu işi yapıyoruz, küçük bir ekibiz, kocaman vaatler vermeyiz. Hızlı sonuç garantilemeyiz, başarı şansı vermem ama şeffaflık, güvenilirlik ve sahadaki tecrübeyi garanti ederiz. Dünya geniş, girişimcinin yolu daha da geniş. Lvga, Türkiye girişimcilerini Pekin’deki güvenilir yerel avukatlarla buluşturuyor — netlik ve güvenle yolunuzu açmanız için.
👋 Herhangi bir Çin hukuku sorunuz var mı? E-posta: lvga2015@qq.com (birincil iletişim). E-posta uygun değilse, WeChat’te JingJing (WeChat ID: lvga2015) ekleyebilirsiniz — yazının konusuyla ilgili sohbeti devam ettirmek için yedek bir yol olarak. Hadi sohbet edelim, yanlış yolları kaçınalım, gereksiz ders ücretlerinden kurtulalım.
📚 Daha Fazla Okuma
(Bu makalede kullanılan araştırma bağlamı kaynakları bulunmadığı için bu bölüm atlanmıştır.)
📌 Feragatname
Önemli Uyarı: Lvga.com bir hukuk bürosu değil, bir platformdur. Bu makale yalnızca bilgilendirme amaçlı yapay zeka yardımıyla hazırlanmıştır ve hukuki, mali veya yatırım tavsiyesi oluşturmaz. Kişisel veri koruma yasaları (PIPL dahil) bölge, sektör ve şirket boyutuna göre farklılık gösterebilir; güncel ve resmi bilgiler için mutlaka Çin Siber Güvenliği İdaresi (CAC), Pekin Adalet Bürosu veya yetkili bir Çin avukatıyla danışın. Makaledeki herhangi bir bilgi hatası veya eksikliği için Lvga.com sorumluluk kabul etmez. Düzeltme ve geri bildirimleriniz için lvga2015@qq.com adresinden bize ulaşabilirsiniz.