açılımı general data protection regulation. avrupa birliği’nin 25 mayıs 2018'de yürürlüğe soktuğu, 99 maddelik kişisel veri koruma tüzüğü. türkiye’deki karşılığı kvkk, kendisi de gdpr’ın biraz daha az korkutucu kuzenidir. ceza kısmı ciddidir: 20 milyon euro ya da şirketin global cirosunun yüzde 4'ü, hangisi büyükse. bu rakamı duyan her yönetim kurulu bir gecede “veri gizliliği bizim için öncelik” demeye başlamıştır. hayatımıza en somut katkısı, girdiğimiz her siteye selam veren çerez banner’larıdır. “tümünü kabul et” butonu kocaman ve renklidir, “tercihleri yönet” ise gri, minik ve 47 tane checkbox’ın arkasına saklanmıştır. avrupalı internet kullanıcısı günde ortalama 30 kez onay verir, hiçbirini okumaz. sap tarafında ise apayrı bir dünyadır. “unutulma hakkı” (madde 17) kağıt üzerinde basittir: müşteri “verimi silin” der, silersin. pratikte o müşterinin kaydı 2009'dan beri fi’da, sd’de, z’li tablolarda, bw’de, bir de kimsenin hatırlamadığı bir interface log’unda durur. ilm projesi başlatılır, blocking kuralları yazılır, retention süreleri muhasebeyle tartışılır. vergi mevzuatı “10 yıl saklayacaksın” der, gdpr “gereğinden fazla tutmayacaksın” der, danışman ikisinin arasında kalır. ihlal olduğunda 72 saat içinde otoriteye bildirim zorunludur (madde 33). bu 72 saatin ilk 48'i “gerçekten ihlal mi bu” toplantısıyla, kalan 24'ü de hukukçunun dönüşünü beklemekle geçer. her projenin bir dpo’su vardır. toplantılara nadiren katılır ama katıldığında projenin en sevilmeyen insanı olur, çünkü sorduğu tek soru hep aynıdır: “bu veriyi neden tutuyoruz?” bonus: yapay zeka projelerinde artık ilk slayt mimari değil, “kişisel veri llm’e gidiyor mu?” sorusudur. cevap evetse proje dpo onayına gider, dpo onayı da genelde bir sonraki çeyreğe kalır.