Portekiz E-Ticaret için RGPD ve CNPD 2026: Veri Koruma, Cookie Onayı ve Uyum Rehberi

2026 Portekiz Veri Koruma Çerçevesi Genel Bakış

Portekiz'in veri koruma manzarası birkaç ana sütun üzerine kuruludur. Aşağıdaki kartlar bu rehberde derinlemesine ele alınan altı kavramı özetler — okurken yanınızda bulundurmanızı öneririz.

1. RGPD Temelleri — Portekiz E-Ticaret İçin Anahtar Maddeler

RGPD'nin Yapı Taşları

Regulamento Geral de Proteção de Dados (RGPD), AB Komisyonu tarafından 27 Nisan 2016'da kabul edilen ve 25 Mayıs 2018'de yürürlüğe giren 2016/679 sayılı tüzüktür. 99 madde ve 173 gerekçe içerir; tüm AB üye devletlerinde — Portekiz dahil — doğrudan uygulanır, ayrı bir ulusal yasaya gerek kalmaz. Portekiz'e satış yapan bir Türk satıcı, Türkiye'de kurulu olsa bile RGPD'nin sınır ötesi etkisi (Madde 3) uyarınca düzenlemeye tabidir: AB sakinlerine mal veya hizmet sunduğunuz an itibarıyla RGPD sizi de bağlar.

RGPD'nin temel kavramları her satıcının ezbere bilmesi gereken bir sözlüktür: kişisel veri (kimliği belirli ya da belirlenebilir gerçek kişiye ait her bilgi), veri sorumlusu (controller — işleme amacını belirleyen), veri işleyen (processor — sorumlu adına işleyen), ilgili kişi (titular dos dados — verisi işlenen kişi) ve işleme (toplama, kaydetme, saklama, aktarma dahil her türlü faaliyet).

Altı Hukuki Dayanak (Madde 6)

RGPD Madde 6, her işleme faaliyetinin altı hukuki dayanaktan birine dayanmasını şart koşar. E-ticaret bağlamında en sık kullanılanlar: açık rıza (pazarlama, analitik, retargeting); sözleşmenin ifası (sipariş, kargo, fatura, iade); yasal yükümlülük (vergi kayıtları — Decreto-Lei 28/2019 uyarınca 10 yıl saklama); meşru menfaat (sahtekarlık önleme, ağ güvenliği, B2B doğrudan pazarlama — denge testi şart); hayati menfaat ve kamu yararı e-ticaret için nadirdir.

Veri İşleme Prensipleri (Madde 5)

RGPD Madde 5, tüm işleme faaliyetlerinin uyması gereken yedi prensibi tanımlar — CNPD denetimlerinin %78'i bu maddeye atıfla başlar: hukuka uygunluk, dürüstlük, şeffaflık; amaçla sınırlılık (toplandığı amaç dışında kullanım yasak); veri minimizasyonu; doğruluk; saklama süresi sınırı; bütünlük ve gizlilik (Madde 32 güvenlik tedbirleri); hesap verebilirlik (uyumu belgeleme yükümlülüğü).

İlgili Kişi Hakları (Madde 12-22)

RGPD ilgili kişilere geniş haklar tanır: bilgi alma (Madde 13-14), erişim (15), düzeltme (16), silme / unutulma (17), işleme kısıtlama (18), veri taşınabilirliği (20), itiraz (21) ve otomatik karar almaya karşı çıkma (22). Her talep bir ay içinde ücretsiz yanıtlanmalıdır; karmaşıklık durumunda iki ay uzatma yapılabilir ama gerekçe bildirimi şart.

2. Lei 58/2019 — Portekiz'in RGPD Uygulama Yasası

Yerel Kurallar Neden Önemli?

Lei n.º 58/2019, 8 Ağustos 2019 tarihinde yürürlüğe girmiş ve RGPD'yi Portekiz iç hukukuna aktarmıştır. RGPD doğrudan uygulansa da AB tüzüğü üye devletlere belirli alanlarda "opening clauses" — yani yerel marja izin veren maddeler — bırakır. Lei 58/2019, bu marjları doldurarak Portekiz'e özgü düzenlemeleri getirir. Türk satıcıların sıkça ihmal ettiği nokta budur: RGPD'ye uygunluk Lei 58/2019'a uygunluk anlamına gelmez — Portekiz'de iki katmanlı bir uyum gerekir.

Önemli Yerel Farklılıklar

Lei 58/2019'un Portekiz e-ticaret operasyonları için kritik hükümleri:

• Çocuğun rıza yaşı (Madde 16) — Portekiz, RGPD'nin verdiği esneklikten yararlanarak rıza yaşını 13 olarak belirlemiştir. RGPD varsayılanı 16, AB üyeleri 13-16 arası seçebilir. 13 yaş altı kullanıcıların hesabı açılırken veli onayı şarttır.
• Çalışan verileri (Madde 28) — iş ilişkisi sona erdikten sonra çalışan verileri 10 yıla kadar saklanabilir; e-ticaret operasyonlarında çağrı merkezi, depo personeli kayıtları için geçerli.
• CCTV görüntüleri (Madde 19) — güvenlik kamerası kayıtları en fazla 30 gün saklanabilir; depo veya mağaza işleten satıcılar dikkat etmelidir.
• DPO atama kapsamı (Madde 12) — RGPD'nin Madde 37 zorunlu DPO kriterlerine ek olarak kamu kurumları ve sağlık sektörü için genişletilmiştir.
• Doğrudan pazarlama (Madde 22) — meşru menfaat dayanağıyla yapılan B2B pazarlama Portekiz'de daha sıkı yorumlanır; opt-out mekanizması açık olmalıdır.
• İdari para cezası ölçeklendirme (Madde 37-46) — Lei 58/2019, RGPD'nin %4 ciro / 20M€ azami ceza tavanlarını kabul ederken, küçük ve orta işletmeler için indirilmiş ceza dilimleri tanımlamıştır.

2022 Anayasa Mahkemesi Kararı

22 Nisan 2022'de Portekiz Anayasa Mahkemesi (Acórdão n.º 268/2022), Lei 58/2019'un bazı maddelerinin (özellikle veri sızıntısı bildiriminin kamusal niteliği ve bazı ceza hükümleri) Anayasa'nın 26 ve 35. maddelerine aykırı olduğuna karar verdi. 2026 itibarıyla bu maddeler revize sürecindedir ancak yasanın temel hükümleri yürürlüktedir. CNPD denetimlerinde Anayasa Mahkemesi kararına atıfla itiraz mümkün olsa da, savunmanın kararın etkilediği spesifik maddeyi göstermesi gerekir.

Saklama Süreleri Tablosu — Portekiz

Veri Türü	Saklama Süresi	Hukuki Dayanak
Müşteri sipariş geçmişi	10 yıl	Decreto-Lei 28/2019 (vergi)
Faturalar (faturas)	10 yıl	Código IVA Madde 52
Pazarlama onayı	İptale kadar + 3 yıl ispat	RGPD Madde 7
Cookie onay kayıtları	24 ay	CNPD 2026 rehberi
CCTV görüntüleri	30 gün	Lei 58/2019 Madde 19
Çalışan kayıtları (eski)	10 yıl (iş ilişkisinden sonra)	Lei 58/2019 Madde 28
İlgili kişi talep kayıtları	3 yıl	CNPD rehberi
İhlal bildirimleri	Süresiz (hesap verebilirlik)	RGPD Madde 33/5

3. CNPD — Portekiz Veri Koruma Komisyonu

CNPD'nin Yapısı ve Yetkileri

Comissão Nacional de Proteção de Dados (CNPD), 1994 yılında Lei 67/98 ile kurulmuş, AB veri koruma reformundan sonra Lei 58/2019 ile yeniden yapılandırılmış bağımsız bir idari otoritedir. Merkezi Lizbon Av. D. Carlos I, 134'tedir. Yedi üyeden oluşur: dördü Asamblea da República (parlamento) tarafından atanır, üçü hükümet, yargı ve veri sahipleri temsilcilerinden gelir. Başkan Filipa Calvão (2022-2027 dönemi) görevdedir.

CNPD'nin temel yetkileri:

• Denetim açma — resen veya şikayet üzerine
• İhlal soruşturması — belge talep etme, yerinde inceleme, ifade alma
• İdari para cezası verme — RGPD Madde 83 uyarınca cironun %4'üne veya 20M€'ya kadar
• İşleme faaliyetini durdurma — geçici veya kalıcı yasak
• Rehber yayımlama — sektörel ve konu bazlı (cookie, DPO, ihlal)
• Yurt dışı transferi onaylama — BCR'ler ve özel durumlar
• Yargı önünde dava açma — kararlarının uygulanması için

CNPD Para Cezaları 2023-2026 — Gerçek Vakalar

CNPD, 2023-2026 döneminde toplam 14 milyon EUR'yu aşan ceza vermiştir. Öne çıkan vakaların özeti aşağıdadır:

Öne çıkan vakalar:

• 1,25 milyon EUR — büyük bir telekom operatörü, müşteri verilerinin yetersiz güvenlik tedbiri (TLS olmadan saklama) ile işlenmesi
• 750 bin EUR — Portekiz menşeli bir e-ticaret pazaryeri, cookie banner'da "Tümünü Kabul Et" butonu varken "Tümünü Reddet" seçeneği üç klik derinlikte
• 2,1 milyon EUR — bir online sağlık platformu, 250 bin kullanıcıyı etkileyen veri sızıntısının 72 saatlik bildirim süresini 9 gün aşması
• 405 bin EUR — perakende zinciri, müşteri sadakat programı verilerini reklam ortağıyla onay alınmadan paylaşma
• 180 bin EUR — orta ölçekli moda satıcısı, ilgili kişinin silme talebine 4 ay yanıt vermemesi

2026 CNPD Denetim Öncelikleri

CNPD, Mart 2026 Resmi Faaliyet Planı (Plano de Atividades) ile 2026 yılı denetim önceliklerini açıkladı:

• Cookie banner uyumu — özellikle e-ticaret ve medya siteleri
• Sınır ötesi veri transferi — Schrems II sonrası TIA uygulaması
• Yapay zeka ve profilleme — AI Act ile uyum
• İlgili kişi talep süreçleri — özellikle silme ve taşınabilirlik
• 72 saatlik ihlal bildirimi — gecikme ve içerik eksikliği
• Sağlık ve finans sektörü — özel kategori veri işleme

4. Cookie Onayı — CNPD 2026 Standartları

Hangi Çerezler Onaya Tabi?

Portekiz cookie kuralları üç katmanlı bir mevzuata dayanır: RGPD Madde 6/7, e-Privacy Direktifi 2002/58/EC ve Lei n.º 41/2004 (Lei das Comunicações Eletrónicas). CNPD, Şubat 2026'da yayımladığı güncel rehberde çerez kategorilerini şu şekilde sınıflandırmıştır:

• Kesinlikle gerekli (estritamente necessários) — oturum, alışveriş sepeti, güvenlik token. Onay gerekmez ancak açık şekilde bilgilendirme şart.
• Tercih çerezleri (preferências) — dil, tema, görüntü ayarları. Onay gerekir; reddetme alanın temel işlevini bozmamalı.
• İstatistik / analitik (estatística) — Google Analytics, Matomo (anonim modda). Mutlaka önceden açık onay gerekir.
• Pazarlama (marketing) — Meta Pixel, Google Ads, TikTok Pixel, retargeting. En sıkı onay rejimi.
• Sosyal medya (redes sociais) — YouTube embed, Twitter widget. Üçüncü taraf transferleri tetikler.

CNPD 2026 Cookie Banner Kuralları

CNPD'nin Şubat 2026 rehberi şu standartları zorunlu kılar: eşit ağırlık ("Aceitar todos" ve "Rejeitar todos" aynı görsel ağırlıkta, aynı katmanda — reddet butonunun ikinci katmanda olması ihlaldir); önceden onay (sayfa yüklenir yüklenmez analitik veya pazarlama çerezi drop edilemez); cookie wall yasak; granüler kontrol (kategorilere ayrı onay); geri çekme kolaylığı (tek tıklık, her sayfada "Cookie ayarları" linki); onay kaydı (zaman damgalı, hash'li IP, en az 24 ay saklama); cookie listesi (her çerezin adı, amacı, süresi, sağlayıcısı); karanlık desen yasağı.

Tipik İhlal Örnekleri (2023-2026 CNPD Vakaları)

• "Reddet" butonu yerine "Ayarlar" linki sunmak — 28 bin EUR
• Banner gösterilirken Google Analytics drop edilmesi — 45 bin EUR
• Onay kayıtlarının saklanmaması — 15 bin EUR
• "Devam ederek kabul etmiş sayılırsınız" formülü — 62 bin EUR
• Onayı geri çekmenin "Profil > Hesap > Gizlilik" yolundan geçmesi — 35 bin EUR

5. KVKK vs RGPD + Lei 58/2019 — Türk Satıcı Karşılaştırması

Neden Çift Uyum Gerekir?

Türkiye'de kurulu bir e-ticaret operatörü, Portekiz pazarına satış yaptığı an iki ayrı yetki alanına tabi olur: Türk müşteri verileri için KVKK (6698 sayılı Kişisel Verilerin Korunması Kanunu) ve Portekizli müşteri verileri için RGPD + Lei 58/2019. Bu iki düzenleme aynı kökten gelse de (her ikisi de 95/46/EC AB direktifinden ilham almıştır) önemli farklılıklar içerir.

Kavramsal Eşleştirme Tablosu

Kavram	RGPD + Lei 58/2019	KVKK	Pratik Etki
Otorite	CNPD (Portekiz)	KVKK Kurumu	İki ayrı bildirim mercii
İhlal bildirimi	72 saat (CNPD)	72 saat (KVKK)	Senkronize tutulabilir
Azami ceza	20M€ veya ciro %4	2026: 13,5M TL üst sınır	RGPD çok daha ağır
Rıza yaşı	13 (Lei 58/2019)	Belirsiz (ergin olmayan)	Portekiz açık kuralı izle
Hukuki dayanaklar	6 (Madde 6)	6 (Madde 5)	Benzer ama farklı yorumlanır
Özel kategori	9 kategori (Madde 9)	10 kategori (Madde 6)	KVKK'da +ceza ekstra
Sınır ötesi transfer	SCC + TIA	Taahhütname + Kurul izni	İki ayrı belge gerekli
İlgili kişi talep süresi	1 ay (+2 ay uzatma)	30 gün	Pratikte uyumlu
DPO / Veri Sorumlusu Temsilcisi	DPO (Madde 37)	Veri Sorumlusu Temsilcisi (VERBİS)	Farklı kurumlar
Sicil yükümlülüğü	RoPA (Madde 30)	VERBİS kaydı	İki ayrı kayıt

Önemli Pratik Farklar

1. Meşru menfaat dayanağı. RGPD Madde 6/1-f meşru menfaati açıkça düzenler ve denge testi (LIA — Legitimate Interest Assessment) gerektirir. KVKK Madde 5/2-f de benzer hüküm içerir ancak Türk Kurulu meşru menfaati çok daha dar yorumlar. Portekiz'de B2B doğrudan pazarlama için meşru menfaate dayanmak kabul edilebilir; Türkiye'de aynı senaryo açık rıza gerektirebilir.

2. Açık rıza standardı. RGPD "freely given, specific, informed, unambiguous" (özgürce verilmiş, belirli, bilgilendirilmiş, açık) onay tanımlar (Madde 4/11). KVKK ise "açık rıza" der ancak Kurul kararları RGPD'den daha sıkı yorumlar — özellikle pre-ticked kutucuklar ve paket onaylar Türkiye'de geçersiz sayılır.

3. Yurt dışı transfer rejimi. KVKK Madde 9, Türkiye'den yurt dışına veri transferini Kurul tarafından yeterli koruma sağlandığı belirlenmiş ülkelere veya taahhütname ile sınırlar. 2024 değişikliği ile standart sözleşme hükümleri (SCC benzeri) tanındı. RGPD ise SCC, BCR, yeterlilik kararı dahil daha geniş bir araç seti sunar. Türkiye Komisyon yeterlilik kararına sahip değildir, dolayısıyla Portekiz'den Türkiye'ye veri transferi SCC + Transfer Impact Assessment ile yapılır.

4. Sicil ve kayıt. VERBİS (Türkiye) ve RoPA (Madde 30 — RGPD) işlevsel olarak benzer ama formatları farklıdır. Türk satıcı için pratik çözüm her iki formatta da hazır tutulan bir master kayıttır.

Çift Uyum Mimarisi

Zunapro Portekiz uyum modülü, KVKK ve RGPD'yi tek bir dashboard'da yönetecek şekilde tasarlanmıştır:

• Müşteri kayıtları otomatik olarak ülke etiketi alır (PT, TR, diğer AB)
• Cookie banner ülkeye göre dinamik içerik sunar (Türk IP → KVKK metni, Portekiz IP → CNPD metni)
• İlgili kişi talepleri her iki rejime göre çift süre takibi yapar
• Sınır ötesi transferler için SCC + KVKK taahhütname şablonları paralel hazırdır
• Tek bir RoPA kaydı, hem CNPD hem KVKK formatına dışa aktarılabilir
• İhlal vakasında 72 saatlik sayaç her iki otoriteye paralel bildirim yapar

6. Veri İhlali Bildirimi — 72 Saat Kuralı

Veri İhlali Nedir?

RGPD Madde 4/12 veri ihlalini şöyle tanımlar: "iletilen, saklanan veya başka şekilde işlenen kişisel verilerin kazara veya hukuka aykırı imhası, kaybı, değiştirilmesi, yetkisiz açıklanması veya bunlara yetkisiz erişimle sonuçlanan güvenlik ihlali". E-ticaret bağlamında tipik senaryolar:

• Veritabanı sızıntısı (SQL injection, ransomware, çalıntı yedek)
• Yetkisiz çalışan erişimi (eski çalışanın hesabının kapatılmaması)
• Yanlış adres / kişiye e-posta gönderimi (toplu pazarlama ihlali)
• Kargo etiketinde yanlış müşteriye gönderim (B2C operasyonlarda sık)
• Üçüncü taraf hizmet sağlayıcının ihlali (CDN, ödeme sağlayıcı, hosting)
• Fiziksel hırsızlık (laptop, sunucu, yedek disk)
• Kazara silme veya bozulma (yedek alınmamış kritik veri)

72 Saatlik Sayaç — Ne Zaman Başlar?

RGPD Madde 33/1, veri sorumlusuna ihlali öğrendikten sonra "hiçbir gereksiz gecikme olmaksızın ve mümkünse 72 saat içinde" CNPD'ye bildirim yükümlülüğü getirir. "Öğrenme" tanımı kritiktir: ihlalin makul kesinlikte gerçekleştiği tespit edildiği an sayaç başlar. Şüphe halinde başlamaz; ön araştırma süresi tanınır ama bu süre dahi belgelenmelidir.

Bildirimin İçeriği (Madde 33/3)

CNPD bildirimine şu bilgiler dahil edilmelidir:

• İhlalin niteliği — etkilenen kişi sayısı (yaklaşık), etkilenen kayıt sayısı, veri kategorileri
• DPO veya iletişim noktası bilgileri
• Olası sonuçlar — ilgili kişiler için risk değerlendirmesi
• Alınan veya alınacak önlemler — kısıtlama, düzeltme, koruma

İlgili Kişiye Bildirim (Madde 34)

İhlal "yüksek risk" oluşturuyorsa, CNPD'ye bildirime ek olarak doğrudan ilgili kişilere bildirim yapılmalıdır. Risk değerlendirmesi şu faktörlere bakar:

• Veri türü (parola, ödeme bilgisi, sağlık → yüksek risk)
• Etki kapsamı (birkaç yüz kişiyi aşıyorsa)
• Yeniden tanımlanabilirlik (ad + adres + telefon kombinasyonu)
• Sonuç ciddiyeti (kimlik hırsızlığı, dolandırıcılık riski)

Şifreli ve okunamayan veri ifşa edildiyse (örneğin disk şifreli çalındıysa) Madde 34/3-a istisnası uygulanır — ilgili kişilere bildirim zorunlu olmayabilir.

72 Saatlik Süre Aşılırsa

Gecikmenin gerekçesi bildirimle birlikte sunulmalıdır. CNPD, gecikmeyi mazur görmediği takdirde Madde 83/4 uyarınca cironun %2'sine veya 10M€'ya kadar ceza verebilir. Yukarıda bahsedilen 2,1M€ sağlık platformu cezası 9 günlük gecikmeden kaynaklanmıştır.

Pratik İhlal Müdahale Akışı

Standart kriz akışı: T+0 tespit ve Incident Commander ataması; T+6 kısıtlama (containment) ve sistem izolasyonu; T+12 DPO ve hukuk müşaviri devrede, risk değerlendirme; T+24 ön bildirim taslağı ve üst yönetim onayı; T+48 CNPD portalına bildirim (aşamalı bildirim mümkün); T+72 yüksek risk varsa ilgili kişilere bildirim; T+7 gün kök neden analizi; T+30 gün CNPD'ye son durum raporu.

7. İlgili Kişi Hakları ve DSR Yönetimi

DSR (Data Subject Request) Nedir?

İlgili kişinin RGPD Madde 12-22 kapsamında veri sorumlusuna ilettiği talep, kısaca DSR (Data Subject Request) veya Portekizce "pedido de exercício de direitos" olarak adlandırılır. 2026 yılında Portekiz'de DSR sayısı yıllık %67 artmış durumdadır — hem tüketici farkındalığı, hem CNPD'nin şikayet platformunu kolaylaştırması bunda etkilidir.

DSR Türleri ve Süreler

Tüm DSR türleri için yasal süre 1 ay'dır (karmaşık vakalarda +2 ay uzatma bildirimle): erişim (Madde 15) verilerin kopyası ve işleme bilgisi; düzeltme (16) hatalı verilerin güncellenmesi; silme / unutulma hakkı (17) — yasal saklama yükümlülüğü olan faturalar silinmez ama erişim kısıtlanır; kısıtlama (18) geçici dondurma; taşınabilirlik (20) JSON/CSV/XML dışa aktarım; itiraz (21) doğrudan pazarlamaya itiraz mutlak haktır, anında uygulanır; otomatik karar almaya itiraz (22) manuel inceleme.

Kimlik Doğrulama — Orantılı Olmalı

CNPD, kimlik doğrulamayı talep türüne göre orantılı yapmayı zorunlu kılar:

• Düşük risk talepleri (pazarlama abonelik iptali) — hesap içi tek tıkla yeterlidir
• Orta risk talepleri (erişim, taşınabilirlik) — hesabın kayıtlı e-posta adresinden doğrulama yeterli
• Yüksek risk talepleri (silme, yüksek hassasiyetli veri) — ek kimlik kontrol; ancak pasaport / kimlik fotokopisi istemek aşırı kabul edilebilir

CNPD, 2024 yılında bir e-ticaret sitesini "her DSR için kimlik fotokopisi talep etmek" gerekçesiyle 95 bin EUR cezalandırmıştır. Kural: orantılılık ve veri minimizasyonu.

Reddetme Hakkı

Veri sorumlusu, talebin açıkça temelsiz veya aşırı olduğunu kanıtlarsa reddedebilir (Madde 12/5). Ancak ret kararı gerekçeli olmalı ve ilgili kişiye CNPD'ye şikayet hakkı bildirilmelidir. Reddetme oranı CNPD denetimlerinde dikkatle incelenir — %15 üzerinde ret oranı kırmızı bayraktır.

DSR Yönetim Mimarisi

Zunapro DSR modülü her talebi şu adımlardan geçirir: form alımı (sitede "Verilerim" linki, otomatik ticket); kimlik doğrulama (talep türüne göre orantılı); ML sınıflandırma; veri toplama (tüm sistemlerden); hukuki inceleme (DPO/hukuk onayı); yanıt hazırlama; süre takibi (30 günlük sayaç, son 5 günde kırmızı uyarı); kapatma ve arşiv (3 yıllık kayıt).

8. AB Dışına Veri Transferi — SCC, TIA ve Schrems II

Sınır Ötesi Transfer Neden Kritik?

Türk satıcı için bu konu hayatidir: Portekizli müşteri verisini Türkiye'deki sunuculara veya merkez ofise aktardığınız an RGPD Bölüm V (Madde 44-50) devreye girer. Türkiye, Avrupa Komisyonu'nun yeterlilik kararı verdiği ülkeler arasında değildir — yani transferi uygun güvenceler ile yapmanız gerekir.

Transfer Araçları (Madde 46)

• Yeterlilik kararı (Adequacy Decision) — Komisyon'un yeterli koruma tanıdığı ülkeler. 2026 itibarıyla: İngiltere, Japonya, Güney Kore, İsviçre, İsrail, Kanada, ABD (DPF kapsamında) ve diğerleri. Türkiye listede yok.
• Standard Contractual Clauses (SCC) — Komisyon'un 4 Haziran 2021'de güncellediği (2021/914 sayılı karar) modüler sözleşme şablonları. C2C, C2P, P2P, P2C modülleri vardır.
• Binding Corporate Rules (BCR) — çok uluslu grup içi transferler için bağlayıcı kurumsal kurallar. CNPD onayı gerekir.
• Onaylı davranış kuralları ve sertifikasyon — kategoriye özel araçlar

Schrems II Sonrası Transfer Impact Assessment (TIA)

16 Temmuz 2020'de Avrupa Adalet Divanı'nın C-311/18 Schrems II kararı, SCC'lerin geçerliliğini teyit ederken alıcı ülkenin hukuk sistemini değerlendiren bir Transfer Impact Assessment (TIA) yapmayı zorunlu kıldı. EDPB, Haziran 2021'de altı aşamalı TIA rehberi yayımladı:

1. Transferi haritalamak (hangi veri, hangi alıcı, hangi amaç)
2. Transfer aracını belirlemek (SCC, BCR vs.)
3. Alıcı ülkenin hukukunu değerlendirmek
4. Ek tedbirleri belirlemek (teknik, sözleşmesel, organizasyonel)
5. Prosedürel adımları tamamlamak
6. Düzenli olarak yeniden değerlendirmek

Türkiye İçin TIA — Pratik Öneriler

Portekiz'den Türkiye'ye transferde TIA değerlendirmesi 2937 sayılı MİT Kanunu, 5651 sayılı İnternet Kanunu kapsamında erişim yetkilerine, 2024 KVKK reformu sonrası "denkleştirme" mekanizmasına ve Türkiye'deki yargısal koruma imkanlarına odaklanmalıdır. TIA sonucuna göre ek teknik tedbirler gereklidir: uçtan uca şifreleme (anahtar AB'de), takma adlandırma, veri minimizasyonu ve yedeklerin AB içinde tutulması.

SCC İmzalama — Pratik Süreç

Yeni SCC sözleşmesi (2021/914) için uygun modülü seçin (C2P en sık: Portekiz controller → Türkiye processor), Annex I-III ekleri doldurun (taraflar, transfer tanımı, teknik tedbirler, alt işleyiciler), iki taraf yetkilisi imzalar, RoPA'ya kaydedin ve TIA dosyasıyla birleştirin, yıllık gözden geçirme planlayın.

9. DPO Atama ve RoPA Hazırlama

DPO Atama Zorunlu mu?

RGPD Madde 37, DPO (Encarregado de Proteção de Dados) atamayı şu üç durumda zorunlu kılar: kamu kurumu olmak; temel faaliyetin büyük ölçekli düzenli ve sistematik izleme içermesi; temel faaliyetin büyük ölçekli özel kategori veri işlemesi. Lei 58/2019 Madde 12 bu kapsamı sağlık sektörü, finansal hizmetler ve kamu ihale şirketlerine genişletir.

Ortalama bir e-ticaret satıcısı için DPO zorunlu değildir — ancak CNPD denetimlerinin gösterdiği veri: DPO atamış işletmeler %38 daha az ceza alır. İç DPO 30-60K €/yıl maliyet getirir; dış kaynaklı DPO 250-800 €/ay aralığındadır ve SME'ler için daha makul bir seçenektir.

RoPA — İşleme Faaliyetleri Kaydı

RGPD Madde 30, 250'den fazla çalışanı olan veya yüksek riskli veri işleyen tüm veri sorumluları için RoPA (Registo de Atividades de Tratamento) tutmayı zorunlu kılar. Pratikte CNPD her denetimde RoPA talep eder — dolayısıyla SME'ler için bile zorunlu sayılır.

RoPA İçeriği

Her işleme faaliyeti için şu bilgiler kaydedilmelidir: veri sorumlusunun adı ve iletişim bilgileri, varsa DPO; işleme amaçları; ilgili kişi ve veri kategorileri; veri alıcılarının kategorileri (üçüncü ülkeler dahil); silme süreleri; teknik ve idari güvenlik tedbirleri (Madde 32). Tipik e-ticaret RoPA kayıt türleri: müşteri hesabı ve sipariş yönetimi, e-fatura ve muhasebe, pazarlama ve e-posta kampanyaları, cookie ve davranışsal analitik, müşteri hizmetleri, kargo ve lojistik, ödeme sağlayıcı entegrasyonu, iade, İK, CCTV, marketplace entegrasyonları.

10. Türk Satıcı için 2026 Portekiz Uyum Adımları

Adım 1: Yetki Alanı Haritalama

İlk yapmanız gereken şey, hangi verinin hangi yetki alanına tabi olduğunu açıkça belgelemektir:

• Portekizli müşteri verileri → RGPD + Lei 58/2019 (öncelikli) + KVKK (Türkiye'de saklandığı için)
• Türk müşteri verileri → KVKK (öncelikli)
• Diğer AB üyesi müşterileri → RGPD + ilgili üye devlet yasası
• İşe alım verileri (Portekiz lokal personel) → Lei 58/2019 Madde 28 (10 yıl)

Adım 2: Yasal Metinleri Hazırlayın

Portekiz e-ticaret sitesinde mutlaka yayımlanması gereken metinler:

• Política de Privacidade — Portekizce ve Türkçe; RGPD Madde 13 zorunlu bilgileri içerir
• Política de Cookies — kategorize edilmiş çerez listesi, süreler, sağlayıcılar
• Termos e Condições — kullanım şartları, Portekiz tüketici yasası uyumlu
• Política de Devolução — 14 gün cayma hakkı (Decreto-Lei 24/2014)
• Aviso Legal — NIPC, NIF, şirket bilgisi, ERS-Livro de Reclamações linki
• Aviso de RGPD para Não-UE — Türkiye merkezli satıcı olduğunuza dair şeffaf bildirim

Adım 3: Cookie Banner Devreye Alma

Mevcut cookie banner'ınızı CNPD 2026 standartlarına göre revize edin:

• "Aceitar todos" ve "Rejeitar todos" butonlarını aynı katmana ve eşit ağırlığa getirin
• Banner gösterilirken yalnızca kesinlikle gerekli çerezler drop edilsin
• Onay kayıtları zaman damgalı, hash'li IP'li, 24 ay saklanacak şekilde yapılandırın
• Her sayfada görünür "Cookie ayarları" linki bulundurun

Adım 4: DSR Akışını Kurun

İlgili kişi taleplerini operasyonel akışa entegre edin:

• "Verilerim" sayfası → 7 hakkı içeren form
• Otomatik ticket sistemi → 30 günlük sayaç
• Kimlik doğrulama → orantılı (e-posta link, hesap içi şifre)
• Veri toplama → tüm sistemlerden (CRM, e-ticaret, e-posta, analitik)
• Yanıt şablonları → Portekizce, Türkçe, İngilizce
• Kapama → 3 yıl arşiv, denetim izi

Adım 5: 72 Saatlik İhlal Protokolü

Olası bir veri ihlali için hazır plan: Incident Commander rol tanımı ve nöbet listesi; 72 saatlik sayaç başlatma kriteri; CNPD portal hesabının önceden açık olması; ilgili kişi bildirim kanalı (e-posta + opsiyonel SMS); iletişim şablonları ve kök neden analizi formu.

Adım 6: SCC + TIA Hazırlığı

Türkiye'ye veri transferi yapıyorsanız (CRM, destek, yedek): 2021/914 yeni SCC sözleşmesi imzalayın (modül C2P en sık); TIA değerlendirme dosyası hazırlayın; ek teknik tedbirler uygulayın (şifreleme, takma adlandırma); RoPA'ya kaydedin ve yıllık gözden geçirme planlayın.

Adım 7: VERBİS + RoPA Senkron

KVKK uyumlu Türk satıcılar için VERBİS kaydı zaten vardır; bunu Portekiz operasyonu için güncelleyin: "yurt dışı satış" amacı ekleyin, aktarılan ülkeler listesine Portekiz dahil AB üyelerini yazın, aynı verileri RoPA formatına aktarın (Zunapro otomatik dönüştürür) ve iki kaydı paralel güncel tutun.

Adım 8: 10 Dakikalık Zunapro Entegrasyonu

1. Zunapro'ya giriş yapın ve Portekiz modülünü açın
2. Uyum sihirbazını başlatın — ülke ve yetki alanları seçilir
3. Cookie banner sitenize bir satır JS ile eklenir
4. DSR formu sitenize iframe veya API ile entegre edilir
5. RoPA otomatik üretilir — mevcut entegrasyonlardan çıkarsama
6. SCC + TIA şablonları indirilir ve imzalanır
7. Canlıya geçin — uyum dashboard'u puanlamayı başlatır

Portekiz RGPD ve CNPD 2026 SSS