AB'de GDPR Temsilcisi Ataması Gerekenler

• GDPR Madde 27, AB verilerini işleyen çoğu AB dışı işletmenin bir AB temsilcisi atamasını zorunlu kılar.
• Muafiyetler: Ara sıra, düşük riskli işlemler veya ulusal güvenlik/defansla ilgili faaliyetler.
• Temsilci, veri sahiplerinin bulunduğu bir AB üye devletinde kurulmuş olmalıdır.
• İletişim bilgileri veri sahiplerine ve yetkililere sunulmalı ve gizlilik bildiriminde yayımlanmalıdır.
• Uyumsuzluk durumunda 10 milyon € veya dünya çapında cironun %2'sine kadar ceza uygulanabilir.
• Sağlayıcılar farklı hizmet seviyeleri sunar: sadece adres, tam yetki veya hukuki danışmanlık.
• Fiyatlar geniş ölçüde değişir; talep başına veya yenileme ücretleri gizli olabilir.

Güncellendi 17 October 2026 · 8 kaynaklar kontrol edildi

Sağlayıcılar karşılaştırıldı

Fiyatlar, 17 October 2026 tarihinde her sağlayıcının web sitesinde yayımlanan fiyatlardır, belirtilmediği sürece KDV hariçtir. Her satır kaynağına bağlantı sağlar.

Madde 27 GDPR'nin Gereklilikleri

GDPR'nin 27. maddesi açık bir yükümlülük getirir: AB'de kurulmamış ancak Madde 3(2) kapsamına giren (AB'deki bireylere mal veya hizmet sunan ya da davranışlarını izleyen) herhangi bir kontrolör veya işlemci, veri işleme faaliyetlerine başlamadan önce AB'de yazılı olarak bir temsilci atamalıdır. Bu kural, şirket AB dışında olsa bile AB veri sahipleri ve denetleyici otoritelerin gizlilik konularında yerel bir muhatap bulmasını sağlar.

Önemli muafiyetler vardır. Madde 27 şu durumlarda uygulanmaz:

• İşlemeniz sadece ara sıra ise, özel kategori verilerinin büyük ölçekli işlenmesini içermiyorsa ve bireylerin hak ve özgürlüklerine risk oluşturması olası değilse.
• Faaliyetleriniz ulusal güvenlik veya savunma ile ilgiliyse.

Temsilci, verilerini işlediğiniz veri sahiplerinin bulunduğu AB üye devletlerinden birinde kurulmuş olmalıdır. Atama yazılı yapılmalı ve temsilci GDPR yükümlülükleriyle ilgili olarak sizin adınıza hareket etmeye yetkili olmalıdır. Temsilcinin iletişim bilgileri hem veri sahiplerine hem de denetleyici otoritelere sunulmalı ve gizlilik bildiriminizde yayımlanmalıdır.

Uyulmaması durumunda Madde 83(4)(a) uyarınca bağımsız bir ihlal sayılır ve 10 milyon € veya küresel cironun %2'sine kadar ceza uygulanabilir. Hollanda otoritesi Locatefamily.com'u bu ihlal nedeniyle 525.000 € para cezasına çarptırmıştır. Temsilci bir kalkan değildir: Madde 27(5), temsilci atamanın şirketinize karşı işlemleri engellemediğini açıklar.

• Dahil Olanlar / Dahil Olmayanlar / Ek Ücretler Tablosu

GDPR Temsilcisi Nasıl Seçilir

Doğru GDPR temsilcisini seçmek uyumluluk ve operasyonel verimlilik için kritik önemdedir. Sağlayıcılar üç ana hizmet seviyesi sunar:

• Seviye 1: Sadece adres – Basit posta yönlendirme hizmeti. Yetki yok, kayıt yok, GDPR'ye özgü yükümlülük yok. En ucuz ancak Madde 27 gereksinimlerini karşılamaz.
• Seviye 2: Atama – Yazılı yetki, sertifika, talep masası ve Madde 30 kayıt yönetimi. Madde 27'nin beklediği budur: sağlayıcı rolü ve sorumlulukları yazılı kabul eder, kayıt tutar ve talepleri belirlenen sürede iletmeyi taahhüt eder.
• Seviye 3: Hukuki danışmanlık – Bir hukuk firması temsilci olarak görev yapar ve ayrıca hukuki danışmanlık sağlar. Bu maliyetlidir ve sadece sürekli hukuki danışmanlık isteniyorsa gereklidir; Madde 27 rolünün parçası değildir.

Sağlayıcıları karşılaştırırken sorun:

• Yetki belgesi Madde 27 görevlerini açıkça kabul ediyor mu?
• Madde 30 kaydını kim tutuyor ve yetkililere nasıl sunuluyor?
• Yetkililerden gelen talepler ne kadar sürede iletiliyor?
• Talep başı veya yenileme ücretleri var mı?
• Çok dilli destek mevcut mu?

REP27 gibi bazı sağlayıcılar 24 saat içinde imzalı atama mektubu ve sertifika verir, çok dilli destek sunar ve Standart ile Çoklu planlarda talep başı ücret almaz. Diğerleri talep başı ücret alabilir veya sadece bir yönlendirme adresi sunabilir, bu da GDPR gereksinimlerini karşılamaz.

Karar Matrisi:

Her zaman ödemeden önce sağlayıcının atama şablonunu isteyin. Eğer Madde 27 görevlerini listelemiyor ve kabul etmiyorsa, uyumlu bir hizmet almıyorsunuz demektir.

Fiyat Gerçekten Neleri Kapsar

GDPR temsilcisi hizmet fiyatları yılda 300 €'nun altında başlayıp 2.000 €'nun çok üzerinde olabilir. Bu fark, sağlanan hizmet kapsamını yansıtır. Düşük fiyat sadece posta adresini kapsayabilir, yüksek ücret tam yetki, talep masası ve kayıt yönetimini içerebilir. Kontrol edilmesi gereken önemli dahil olanlar:

• Madde 27 görevlerinin yazılı kabulü: Sağlayıcı rolü ve yükümlülükleri resmi olarak yazılı kabul etmelidir.
• Sertifika ve kamu doğrulaması: Doğrulanabilir sertifika müşteriler, denetçiler ve otoriteler için güvence sağlar. REP27 QR kodlu sertifika ve doğrulama sayfası sunar.
• Çok dilli talep yönetimi: AB genelinde kapsama için gereklidir. REP27 Standart planından itibaren 8 dil sunar.
• Madde 30 kayıt yönetimi: Sağlayıcı kayıtları tutmalı ve yetkililere sunmalıdır. REP27 Standart ve Çoklu planlarda dahildir.
• Talep başı ücretler veya yenileme artışları: Bazı sağlayıcılar veri sahibi talebi başına 25–90 € ücret alır veya ilk yıldan sonra fiyatları artırır. REP27 Standart planında talep başı ücret yoktur ve yenileme fiyatları ikinci yılda düşer.

Her planda nelerin dahil olduğunu sadece fiyat etiketine bakmadan karşılaştırın. Örneğin, REP27 Temel plan yılda 10 talebe kadar kapsarken, Standart ve Çoklu planlar sınırsız talep ve kayıt yönetimi sunar. Pek çok rakip tam detayları yayınlamaz veya talep etmenizi ister.

İkinci yıl yenileme fiyatını yazılı olarak mutlaka sorun; tanıtım fiyatları yaygındır. AB ve İngiltere temsilciliği birlikte gereken şirketler için bazı sağlayıcılar (REP27 dahil) her iki hizmeti de bazen indirimle sunar.

Gizli Maliyetler ve Hariç Tutulanlar

Birçok sağlayıcı düşük yıllık ücretler sunar ancak temel hizmetler için önemli ek ücretler ekler. Yaygın gizli maliyetler şunlardır:

• Veri sahibi talebi başına ücretler: Bazı sağlayıcılar talep başına 25–90 € ücret alır, bu da ayda birden fazla talep alırsanız yıllık abonelikten daha pahalı olabilir.
• Kurulum veya başlangıç ücretleri: 0–250 € arasında tek seferlik ücretler yaygındır. REP27 kurulum ücretini yıllık fiyata dahil eder.
• Ek dil desteği: Giriş seviyesi planlar sadece İngilizce kapsayabilir. REP27 Standart ve Çoklu planlarda 8 dil dahildir.
• Madde 30 kayıt yönetimi: Bazı sağlayıcılar kayıt tutma ve sunma için yıllık 100–400 € ücret alır. REP27 bunu Standart ve Çoklu planlarda dahil eder.
• Yenileme fiyat artışları: Bazı sağlayıcılar ilk yıldan sonra fiyatları artırır. REP27 yenileme ücretleri ikinci yılda 240/390/690 € seviyelerine düşer.

Hukuki danışmanlık, DPO hizmetleri ve uyumluluk denetimleri REP27 veya çoğu rakip tarafından dahil edilmez. REP27 talepleri içerik açısından yanıtlamaz; size iletir. Atama şirketinize doğrudan yaptırımları engellemez.

Sağlayıcılar bu hariç tutulanlar ve ek ücretleri pazarlamada nadiren vurgular. İmzalamadan önce yetki belgesini ve hizmet şartlarını dikkatle okuyun. Talep başı ücretler, yenileme fiyatları ve hizmet değişikliği/iptali durumunda ne olacağını özellikle sorun.

Atama Süreci: Adım Adım

1. Uygulanabilirliği değerlendirin: Madde 3(2) GDPR kapsamına giren AB dışı kontrolör veya işlemci misiniz? (AB'deki bireylere mal/hizmet sunuyor veya izliyorsunuz.)
2. Hedef ülkeleri belirleyin: Veri sahiplerinin bulunduğu AB üye devletlerini listeleyin. Temsilciniz bu ülkelerden en az birinde kurulmuş olmalıdır.
3. Sağlayıcıları kısa listeye alın: Yayınlanan hizmetleri, fiyatları ve şartları karşılaştırın. Madde 27 yükümlülüklerini kapsayan atama şablonunu isteyin.
4. Gizli ücretleri inceleyin: Talep başı ücretler, kurulum ücretleri, dil desteği ve yenileme fiyatlarını sorun.
5. Onboarding tamamlayın: Sağlayıcının formunu doldurun; şirket bilgileri, işlem kapsamı ve iletişim bilgileri verin.
6. Karşı imzalı atama alın: Sağlayıcı dosyanızı inceleyip imzalı atama mektubu (REP27: 24 saat içinde), sertifika ve doğrulama kodu verir.
7. Gizlilik bildirimini güncelleyin: Madde 13(1)(a) gereği temsilcinin adı, adresi ve iletişim bilgilerini ekleyin.
8. Uyumluluk kayıtlarını saklayın: İmzalı yetki, sertifika ve Madde 30 kaydını denetimler için tutun. Tam yetki veya ticari şartları yayımlamayın.
9. Sürekli işletme: Sağlayıcı, veri sahipleri ve yetkililerden gelen talepleri kararlaştırılan sürede kaydeder ve iletir. REP27 için bu Standart/Çoklu planlarda yetkililere aynı gün, diğer durumlarda iki iş günü içindedir.
10. Yenileme veya iptal: Yenileme tarihlerini ve iptal şartlarını takip edin. REP27 yenilemeden önce iptale izin verir ve yazılı onay sağlar.

Bu süreç Madde 27 gerekliliklerini karşılamanızı ve denetim ya da düzenleyici taleplere hazır olmanızı sağlar.

Uyumsuzluk Riskleri ve Cezalar

AB kişisel verilerini işleyen çoğu AB dışı işletme için AB temsilcisi atamak zorunludur. Uyumsuzluk riskleri büyüktür:

• Bağımsız ihlal: Temsilci atamamak, veri ihlali olup olmamasına bakılmaksızın Madde 83(4)(a) GDPR kapsamında ihlaldir.
• Cezalar: Denetleyici otoriteler 10 milyon € veya toplam dünya çapı yıllık cironuzun %2'sine kadar ceza kesebilir. Örneğin, Locatefamily.com Hollanda otoritesi tarafından temsilci atamadığı için 525.000 € ceza aldı.
• Doğrudan yaptırım: Temsilci atamak şirketinizi yaptırımlardan korumaz. Yetkililer doğrudan işletmenize karşı işlem yapabilir (Madde 27(5)).
• Operasyonel risk: Temsilci olmadan veri sahiplerinin taleplerine veya düzenleyici sorulara zamanında yanıt veremeyebilir, ek cezalar ve itibar kaybı yaşayabilirsiniz.

Bu riskleri azaltmak için sağlayıcınızın karşı imzalı yetki vermesini, Madde 30 kaydınızı tutmasını ve talepleri belirlenen sürede ileteceğini taahhüt etmesini sağlayın. Tüm belgeleri denetimler için hazır tutun. Sağlayıcı işletmeniz için hareket edemezse (örneğin yasaklı faaliyetler nedeniyle), tam iade ve yazılı onay vermelidir; REP27 bunu uygular.

Sağlayıcıların Genellikle Söylemediği Şeyler

Birçok GDPR temsilcisi sağlayıcısı hizmetlerinin sınırlamalarını ve hariç tutulanları tam olarak açıklamaz. Yaygın eksiklikler şunlardır:

• Sadece posta yönlendirme: Bazı giriş seviyesi teklifler sadece posta adresi sağlar, gerçek bir Madde 27 yetkisi değildir. GDPR gereksinimlerini karşılamazlar.
• Talep başı ücretler: Düşük yıllık ücretler yüksek talep başı ücretlerle gizlenebilir, çok sayıda talep alındığında maliyet hızla artar.
• Kayıtlar tutulmuyor: Bazı sağlayıcılar Madde 30 kaydını tutmaz, bu uyumluluk için gereklidir. Kayıt kimde ve nasıl tutuluyor mutlaka kontrol edin.
• Otomatik yenileme ve fiyat artışları: Birçok sağlayıcı ilk yıldan sonra fiyatları artırır veya otomatik yeniler. İkinci yıl fiyatını yazılı isteyin.
• Sorumluluk sınırları: Temsilci GDPR ihlallerinizden sorumlu değildir. Madde 27(5) şirketinizin tam sorumluluğunu korur.
• İptal ve devretme: Sağlayıcı değiştirir veya iptal ederseniz bekleyen talepler ve kayıtlar ne olur kontrol edin. REP27 yazılı onay ve devir prosedürleri belirtir.

Hizmet tanımını ve yetki belgesini dikkatle okuyun. Tüm şartları yazılı isteyin, nelerin dahil, hariç ve ek ücretli olduğunu netleştirin.

Bugün GDPR Temsilcisi Atamak İçin Kontrol Listesi

1. Madde 3(2) GDPR kapsamına giren AB dışı kontrolör veya işlemci olup olmadığınızı teyit edin.
2. Veri sahiplerinin bulunduğu AB ülkelerini belirleyin.
3. Yazılı Madde 27 yetkisi sunan sağlayıcıları kısa listeye alın.
4. Atama şablonunu isteyin ve inceleyin.
5. Gizli ücretler ve yenileme şartlarını kontrol edin.
6. Onboarding tamamlayın ve karşı imzalı belgeleri alın.
7. Gizlilik bildiriminizi temsilci iletişim bilgileriyle güncelleyin.
8. İmzalı yetki ve sertifikayı denetimler için saklayın.
9. Madde 30 kaydınız varsa tutulduğundan ve erişilebilir olduğundan emin olun.
10. Yenileme tarihlerini ve iptal şartlarını takip ederek istenmeyen ücretlerden kaçının.

Bu listeyi takip etmek uyumluluğu sağlar, cezaları önler ve veri sahipleri ile otoritelerin taleplerine hızlı yanıt vermenize yardımcı olur.

Gerçekçi Senaryolar: Kim Neye İhtiyaç Duyar?

• ABD merkezli SaaS, AB işletmelerine ve tüketicilerine satış yapıyor: Madde 27 kapsamında AB temsilcisi atamalı. REP27 Standart plan tüm gereksinimleri karşılar: yazılı yetki, sınırsız talep iletimi, kayıt yönetimi ve çok dilli destek. Temel plan düşük hacim için uygundur, ancak çoğu SaaS için Standart önerilir.
• AB pazarlarında listeleme yapan Çinli Amazon satıcısı: Hem AB GDPR temsilcisi (veri koruma için) hem de ürün uyumluluğu için GPSR sorumlusu gerekir. REP27 Çoklu plan her iki rolü tek sipariş ve tek yenileme ile kapsar, Amazon, Etsy veya eBay satıcıları için uyumu kolaylaştırır.
• AB müşterili İngiltere online mağazası: Brexit sonrası AB'ye mal veya hizmet sunan İngiltere şirketleri AB temsilcisi atamalıdır. REP27 Temel veya Standart plan talep hacmine ve kayıt yönetimi ihtiyacına göre uygundur. CE işaretli ürün satılıyorsa Çoklu plan düşünülmelidir.

Her senaryoda en basit uyumlu yol, imzalı yetki veren, kayıtları tutan (gerekirse) ve denetimler ile müşteriler için açık, doğrulanabilir belgeler sağlayan bir sağlayıcı atamaktır.