Kişisel Veri Gizliliği: KVKK, GDPR ve Dijital Haklarınız

Giriş: Dijital Çağda Kişisel Veri Gizliliği

Dijital dünyada her tıklamanız, her aramanız, her paylaşımınız bir veri izi bırakır. Sosyal medya platformları, e-ticaret siteleri, sağlık uygulamaları ve akıllı cihazlar, günlük yaşamımızda sürekli olarak kişisel veri toplamaktadır. Peki bu veriler nasıl işleniyor, kimlerle paylaşılıyor ve haklarımız neler? Bu soruların yanıtları, modern hukuk sistemlerinin en önemli gündem maddelerinden biri haline gelmiştir. Türkiye'de KVKK, Avrupa Birliği'nde GDPR ve ABD'de CCPA gibi yasal düzenleme çerçeveleri, bireylerin veri haklarını korumak amacıyla oluşturulmuştur. Bu yazıda, kişisel veri gizliliğinin temel kavramlarını, Türkiye ve dünyadaki yasal düzenlemeleri, teknik önlemleri ve bireysel hakları kapsamlı biçimde inceleyeceğiz.

Kişisel Veri Nedir?

Kişisel veri, kimliği belirli veya belirlenebilir bir gerçek kişiye ilişkin her türlü bilgidir. Bu tanım hem KVKK'da hem GDPR'da benzer biçimde yer alır. Kişisel veriler, doğrudan ve dolaylı olmak üzere iki kategoride değerlendirilir:

• Doğrudan kişisel veriler: Ad-soyad, TC kimlik numarası, e-posta adresi, telefon numarası gibi kişiyi doğrudan tanımlayan bilgiler.
• Dolaylı kişisel veriler: IP adresi, konum verisi, çerez kimlikleri, cihaz parmak izi gibi tek başına yeterli olmasa da diğer verilerle birleştirildiğinde kişiyi tanımlamayı mümkün kılan bilgiler.

Özel nitelikli kişisel veriler ise daha hassas kabul edilen verilerdir: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, sağlık verileri, cinsel yaşam, ceza mahkumiyeti, biyometrik ve genetik veriler. Bu veriler, hem KVKK hem GDPR kapsamında özel koruma altındadır ve işlenmesi daha sıkı koşullara bağlanmıştır.

KVKK ve GDPR: Ayrıntılı Karşılaştırma

KVKK: Türkiye'nin Veri Koruma Yasası

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 7 Nisan 2016'da Resmi Gazete'de yayımlanarak yürürlüğe girmiştir. Büyük ölçüde AB'nin önceki veri koruma direktifinden (95/46/EC) ilham alan KVKK, zamanla GDPR ile paralel gelişmeler de yaşamıştır. KVKK'nın temel ilkeleri şunlardır:

• Hukuka ve dürüstlük kuralına uygun işleme: Veriler meşru bir gerekçeyle, şeffaf biçimde toplanmalıdır.
• Doğru ve gerektiğinde güncel olma: İşlenen verilerin doğruluğu sağlanmalıdır.
• Belirli, açık ve meşru amaçlar için işleme: Veri toplama amacı önceden belirlenmeli ve bu amaç dışında kullanılmamalıdır.
• İlgili, sınırlı ve ölçülü olma: Yalnızca amaç için gerekli olan veriler toplanmalıdır.
• Sınırlı süre saklama: Veriler, işleme amacı sona erdiğinde silinmeli veya anonim hale getirilmelidir.

KVKK kapsamında veri ilgilisi hakları şunlardır: kişisel verilerinin işlenip işlenmediğini öğrenme, işlenmişse buna ilişkin bilgi talep etme, işleme amacını öğrenme, üçüncü kişileri öğrenme, eksik veya yanlış işlenmişse düzeltilmesini isteme, silinmesini veya yok edilmesini isteme ve zarar görmesi halinde tazminat talep etme.

Kişisel Verileri Koruma Kurumu (KVKK Kurum), bağımsız bir idari otorite olarak veri işleme faaliyetlerini denetler ve ihlallere idari para cezası uygulayabilir. VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) üzerinden veri sorumlularının kaydolması zorunludur.

GDPR: Avrupa Birliği'nin Altın Standardı

General Data Protection Regulation (GDPR), 25 Mayıs 2018'de yürürlüğe giren ve dünya çapında veri koruma alanında altın standart olarak kabul edilen düzenleme çerçevesidir. GDPR'ın KVKK'dan önemli farkları şunlardır:

• Ekstra-teritoryal kapsam: GDPR, yalnızca AB içindeki şirketleri değil, AB vatandaşlarının verilerini işleyen dünyadaki tüm şirketleri kapsar. Türkiye'de faaliyet gösteren ve Avrupa kullanıcılarına hizmet sunan bir şirket de GDPR'a tabidir.
• Daha yüksek cezalar: GDPR, küresel yıllık cironun %4'üne veya 20 milyon Euro'ya (hangisi büyükse) kadar ceza öngörürken, KVKK'daki cezalar daha sınırlıdır. Meta 2023'te Instagram veri ihlali nedeniyle 390 milyon Euro ceza aldı.
• Veri taşınabilirliği hakkı: GDPR'ın 20. maddesi, bireylere verilerini yapılandırılmış, makine okunabilir bir formatta alarak başka bir hizmet sağlayıcıya aktarma hakkı tanır.
• Veri koruma etki değerlendirmesi (DPIA): Yüksek riskli veri işleme faaliyetlerinden önce zorunlu etki analizi yapılmasını gerektirir.
• 72 saat bildirim süresi: Veri ihlalinin tespit edilmesinden itibaren 72 saat içinde yetkili otoriteye bildirim zorunluluğu vardır.
• Veri koruma görevlisi (DPO): Belirli koşullarda zorunlu DPO atanması yükümlülüğü, KVKK'da henüz yasal zorunluluk haline getirilmemiştir.

Temel Farklar Tablosu

İki düzenleme arasındaki en kritik operasyonel farkları şöyle özetleyebiliriz: GDPR'da veri ihlali bildirimi 72 saat içinde zorunluyken, KVKK'da "en kısa sürede" ifadesi kullanılmıştır. GDPR açık rıza için önceden işaretlenmiş kutulara izin vermezken, KVKK uygulamasında bu alan daha belirsizdir. GDPR'da veri taşınabilirliği hakkı açıkça düzenlenmiş olup KVKK'da bu hak dolaylı olarak mevcuttur. Her iki düzenleme de giderek yakınsamaktadır: Türkiye'nin AB üyelik süreci ve uluslararası veri transferi gereklilikleri, KVKK'nın GDPR ile uyumlu hale getirilmesi yönünde baskı oluşturmaktadır.

Gözetim Kapitalizmi: Zuboff'un Çerçevesi

Harvard Business School profesörü Shoshana Zuboff, 2019 tarihli "The Age of Surveillance Capitalism" kitabında, günümüz dijital ekonomisinin yapısal bir sorununu tanımlamıştır: gözetim kapitalizmi. Bu kavram, insan deneyimini ve davranışını ham madde olarak ele alıp tahmine dayalı ürünler üretmek ve davranışsal vadeli piyasalarda satmak üzerine kurulu ekonomik bir mantığı ifade eder.

Google ve Facebook gibi platformlar, kullanıcılara "ücretsiz" hizmet sunarken, kullanıcıların her tıklamasını, her aramasını, her beğenisini ayrıntılı profil oluşturmak için kullanan davranışsal artıklar (behavioral surplus) toplamaktadır. Bu profiller reklam hedeflemesi için kullanılmakla kalmaz; kullanıcıların gelecekteki davranışlarını tahmin etmek ve şekillendirmek için de işe koşulur. Zuboff'a göre bu durum, bireysel özerklik ve demokratik süreçler açısından tehdit oluşturan bir güç asimetrisi yaratmaktadır. Cambridge Analytica skandalı, Facebook kullanıcı verilerinin 87 milyondan fazla kişi için izinsiz olarak siyasi profilleme amacıyla kullanılmasını gözler önüne sererek bu tartışmayı somutlaştırmıştır.

Veri Simsarı (Data Broker) Ekosistemi

Veri simsarları (data brokers), farklı kaynaklardan kişisel veri toplayarak bu verileri birleştiren, zenginleştiren ve satan şirketlerdir. Bu sektörün en büyük oyuncuları arasında Acxiom, LexisNexis, Equifax ve CoreLogic yer almakta olup milyarlarca insana ait trilyon veri noktasını bünyelerinde barındırmaktadır. Bir bireysel kişi hakkında kredi geçmişi, alışveriş alışkanlıkları, konum geçmişi, aile durumu, sağlık tahminleri ve hatta siyasi eğilimler gibi çok katmanlı profiller oluşturulabilmektedir.

Bu ekosistemin tehlikeleri çok boyutludur: sigorta şirketleri risk değerlendirmesinde, işverenler ön eleme süreçlerinde, ve hatta devlet kurumları soruşturmalarda bu verilere başvurmaktadır. Veri simsarı pazarı, kullanıcının doğrudan rızası olmaksızın işlemektedir; zira veriler genellikle kamuya açık kaynaklardan veya gizlilik politikaları derinliklerine gömülmüş rıza maddelerinden elde edilmektedir. Hem GDPR hem de CCPA, veri simsarlarına yönelik bazı kısıtlamalar getirmiş olmakla birlikte, bu ekosistemi düzenlemek son derece güçtür.

Rıza Çerçeveleri: Opt-In ve Opt-Out

Kişisel verilerin işlenmesi için rıza alma modellerinde iki temel yaklaşım mevcuttur: opt-in ve opt-out.

Opt-in modelinde, kişi verisinin işlenmesini aktif olarak onaylamalıdır; varsayılan durum onaysızlıktır. GDPR'ın açık rıza standardı opt-in modelini benimser: önceden işaretlenmiş kutular, paket rızalar ve belirsiz ifadeler geçerli sayılmaz. Rıza, geri alınabilir olmalı ve diğer hizmetlerden bağımsız sunulmalıdır.

Opt-out modelinde ise kişi aksini belirtmedikçe rızanın verilmiş sayıldığı varsayılır. ABD'nin CCPA'sı, kişisel verilerin satışı için opt-out modeli kullanır: tüketiciler "verilerimi satma" hakkına sahiptir, ancak varsayılan durum veri satışına izin verilmesidir. Bu iki model arasındaki fark, pratikte devasa bir sonuç farkı yaratmaktadır. Araştırmalar, opt-in modelinin veri işleme onaylarını %60-80 oranında düşürdüğünü göstermiştir.

Çerez Onayları ve Gerçek Tercih

Çerez banner'larının çoğu, "Kabul Et" butonunu büyük ve yeşil, "Reddet" seçeneğini ise küçük ve görünmez konumda sunarak kullanıcıları kabule yönlendiren karanlık örüntüler (dark patterns) kullanmaktadır. GDPR ve ePrivacy yönergeleri, zorunlu olmayan çerezler için gerçek opt-in rızası gerektirmekte; Fransa CNIL ve İrlanda DPC gibi veri koruma otoriteleri bu konuda milyonlarca Euro ceza uygulamaktadır. Gerçek bir çerez rızası şu özellikleri taşımalıdır: reddetmek kabul etmek kadar kolay olmalı, her çerez kategorisi ayrı değerlendirilebilmeli ve rıza istediğinde geri alınabilmelidir.

Unutulma Hakkı ve Veri Taşınabilirliği

Unutulma Hakkı (Right to Erasure)

GDPR'ın 17. maddesi, bireylere kişisel verilerinin silinmesini talep etme hakkı tanır. Bu hak, verilerin artık işleme amacı için gerekli olmadığı, rızanın geri çekildiği, verilerin hukuka aykırı işlendiği veya verilerin bir çocuğa ilişkin olduğu durumlarda kullanılabilir.

Avrupa Birliği Adalet Divanı'nın 2014'teki Google Spain v. Costeja González kararı, unutulma hakkının pratik uygulamasını şekillendiren landmark bir emsal olmuştur. Bu karara göre bireyler, arama motorlarından haklarında eski, alakasız veya hatalı sonuçların kaldırılmasını talep edebilir. Google, 2014'ten bu yana Avrupa'da 5 milyonu aşkın kaldırma talebi aldığını bildirmiştir; bu taleplerin yaklaşık yarısını onaylamıştır. Ancak bu hakkın sınırları da vardır: kamu yararına (politikacıların resmi faaliyetleri, suç haberleri gibi) ait bilgiler kaldırma talebine konu olamaz.

Veri Taşınabilirliği (Data Portability)

GDPR'ın 20. maddesi, bireylere kişisel verilerini yaygın kullanılan, makine okunabilir formatta (JSON, CSV gibi) alma ve başka bir veri sorumlusuna aktarma hakkı tanır. Bu hak, pazar rekabetini artırma ve "vendor lock-in" etkisini azaltma potansiyeline sahiptir. Facebook ve Google gibi büyük platformlar, bu doğrultuda veri indirme araçları (Download Your Data) sunmak zorunda kalmıştır. Sağlık sektöründe FHIR (Fast Healthcare Interoperability Resources) standardı, sağlık verisi taşınabilirliğini teknik olarak kolaylaştırmaktadır.

Çocukların Veri Koruması: COPPA ve Ötesi

Çocuklara ait kişisel veriler, özel hassasiyetiyle ayrı bir düzenleme alanı oluşturmaktadır. ABD'de 1998'de yürürlüğe giren COPPA (Children's Online Privacy Protection Act), 13 yaşın altındaki çocuklara yönelik hizmetlerde ebeveyn onayı zorunluluğu getirir. GDPR, 16 yaş sınırı belirlemekte ve üye devletlere bu sınırı 13'e kadar indirme esnekliği tanımaktadır. Türkiye'de ise bu alanda henüz çocuklara özgü kapsamlı bir düzenleme bulunmamaktadır.

İngiltere'nin 2021'de yürürlüğe giren Age Appropriate Design Code (Children's Code), dijital hizmetlerin çocuklar için varsayılan gizlilik ayarlarıyla sunulmasını, konum takibini devre dışı bırakmasını ve profilleme yapmadan çalışmasını zorunlu kılmaktadır. Bu düzenleme, Snapchat, TikTok ve Instagram gibi platformları önemli değişiklikler yapmaya zorlamıştır. Sosyal medyanın çocuklar üzerindeki etkileri ve veri toplama pratikleri, gelecek dönemin en tartışmalı düzenleme gündemlerinden biri olmaya devam etmektedir.

Sınır Ötesi Veri Transferleri

Küresel dijital ekonomide, kişisel verilerin farklı ülkeler arasında akışı kaçınılmazdır. GDPR, AB'den üçüncü ülkelere yapılacak veri transferlerini yalnızca üç yoldan meşrulaştırır:

• Yeterlilik kararı (Adequacy decision): Avrupa Komisyonu, üçüncü ülkenin yeterli veri koruma düzeyine sahip olduğuna karar vermişse, ek önlem gerekmez. Türkiye bu statüde henüz yer almamaktadır.
• Standart sözleşme maddeleri (SCCs): AB'nin yayımladığı standart veri aktarım sözleşmelerinin kullanılması.
• Bağlayıcı şirket kuralları (BCRs): Çok uluslu şirket grupları içindeki veri aktarımları için grup genelinde politikalar.

ABD ile yapılan veri transferleri, Privacy Shield'in 2020'deki Schrems II kararıyla geçersiz sayılmasının ardından karmaşık hale gelmiştir. 2023'te yürürlüğe giren EU-US Data Privacy Framework, bu boşluğu doldurmaya çalışmaktadır. Türk şirketlerinin AB müşterilerine hizmet sunması durumunda, ilgili SCCs'lerin uygulanması gerekmektedir.

Privacy-by-Design: Yedi Temel İlke

Ann Cavoukian tarafından geliştirilen ve GDPR'ın 25. maddesiyle yasal zorunluluk haline getirilen Privacy-by-Design (PbD), gizlilik korumasının sonradan eklenen bir katman değil, tasarım aşamasından itibaren entegre edilen temel bir bileşen olmasını savunur. Yedi temel ilkesi şunlardır:

• Proaktif, reaktif değil: Gizlilik ihlalleri gerçekleşmeden önce önlem alınmalıdır.
• Varsayılan gizlilik (Privacy as default): Kullanıcı herhangi bir seçim yapmasa bile en güçlü gizlilik koruması otomatik olarak devrede olmalıdır.
• Tasarıma gömülü gizlilik: Gizlilik koruması sistem mimarisine ve iş süreçlerine entegre edilmelidir.
• Tam işlevsellik: Gizlilik ile işlevsellik sıfır toplamlı bir oyun değildir; her ikisi de elde edilebilir.
• Uçtan uca güvenlik: Verinin yaşam döngüsünün tamamında güvenlik sağlanmalıdır.
• Görünürlük ve şeffaflık: Tüm süreçler paydaşlara görünür ve doğrulanabilir olmalıdır.
• Kullanıcı odaklılık: Bireylerin çıkarları merkeze alınmalı, güçlü varsayılanlar ve uygun bildirimler sunulmalıdır.

Pratik PbD uygulamaları arasında minimum veri toplamayı destekleyen form tasarımları, granüler izin mekanizmaları, otomatik veri saklama süresi politikaları ve veri akış diyagramları ile yürütülen gizlilik etki değerlendirmeleri (PIA) sayılabilir.

Gizlilik Araçları: VPN, Tor ve Uçtan Uca Şifreleme

VPN (Sanal Özel Ağ)

VPN, internet trafiğini şifreleyerek İSS'lerin (İnternet Servis Sağlayıcısı), ağ operatörlerinin ve potansiyel izleyicilerin trafiğinizi görmesini engeller. Aynı zamanda gerçek IP adresinizi gizleyerek coğrafi kısıtlamaları aşmanıza olanak tanır. Ancak tüm VPN'lerin aynı güvenliği sunmadığını vurgulamak gerekir: bazı ücretsiz VPN sağlayıcıları, kullanıcı trafiğini kaydedip üçüncü taraflara satmaktadır. Güvenilir bir VPN, açık kaynak protokol kullanmalı (WireGuard veya OpenVPN), bağımsız güvenlik denetiminden geçmiş olmalı ve sıfır kayıt (no-log) politikasını kanıtlamış olmalıdır.

Tor (The Onion Router)

Tor, internet trafiğini gönüllü çalıştırılan dünya genelindeki binlerce röle üzerinden geçirerek anonimlik sağlayan bir ağdır. Her röle yalnızca bir önceki ve bir sonraki noktayı bilir; bu çok katmanlı şifreleme yapısı, kaynak-hedef ilişkisini belirlemeyi çok güçleştirir. Tor, VPN'den çok daha güçlü bir anonimlik sağlamakla birlikte, bant genişliği ve hız konusundaki sınırlamaları nedeniyle günlük kullanım için pratik değildir. Gazetecilik, ifade özgürlüğü ve sansürden kaçınma bağlamlarında kritik bir araçtır.

Uçtan Uca Şifreleme (End-to-End Encryption)

E2E şifreleme, yalnızca iletişimin uçlarındaki tarafların mesajları okuyabilmesini garanti eder; aradaki hiçbir sunucu içeriğe erişemez. Signal protokolü, bugün mevcut en güçlü mesajlaşma şifreleme standartlarından birini sunar ve WhatsApp, Signal uygulaması ve Wire tarafından kullanılmaktadır. E-posta için PGP (Pretty Good Privacy) ve S/MIME şifreleme standartları mevcuttur; ancak kullanım kolaylığı eksikliği yaygın benimsenmelerinin önündeki en büyük engel olmaya devam etmektedir.

Gözetim Kapitalizmine Karşı Bireysel Savunma Stratejileri

Bireyler olarak dijital gizliliğimizi güçlendirmek için alabileceğimiz pratik önlemler şunlardır:

• Şifre yöneticisi kullanın: Her hesap için benzersiz, güçlü şifreler oluşturun ve bunları güvenli biçimde saklayın (Bitwarden, 1Password, KeePassXC).
• Çok faktörlü kimlik doğrulama (MFA): SMS yerine donanım anahtarı (YubiKey) veya authenticator uygulaması tercih edin.
• Gizlilik odaklı tarayıcı ve arama motoru: Firefox (uBlock Origin ile) veya Brave, DuckDuckGo veya Startpage gibi alternatifleri değerlendirin.
• Çerez tercihlerinizi bilinçli yönetin: uBlock Origin ve Privacy Badger gibi eklentiler, gizli izleyicileri engeller.
• Veri sızıntısı takibi: Have I Been Pwned gibi servislere kaydolarak hesaplarınızın sızıntıda yer alıp almadığını kontrol edin.
• Uygulama izinlerini düzenleyin: Uygulamalara yalnızca gerçekten ihtiyaç duydukları izinleri verin; gereksiz konum, mikrofon ve rehber erişimlerini kaldırın.
• Veri talep haklarınızı kullanın: KVKK ve GDPR kapsamında şirketlerden verilerinizin neler olduğunu, nerede saklandığını ve kiminle paylaşıldığını talep etme hakkınız vardır.

Çerezler, Takip Teknolojileri ve Dijital Reklamcılık

Çerezler (cookies), web sitelerinin kullanıcı tarayıcılarına yerleştirdiği küçük veri dosyalarıdır. Zorunlu çerezler sitenin çalışması için gerekli olsa da, analitik ve reklam çerezleri kullanıcıların çevrimiçi hareketlerini izleme amacıyla kullanılır. Üçüncü taraf çerezleri, farklı web siteleri arasında kullanıcıları izlemek için reklam ağları tarafından kullanılır.

Google'ın Chrome tarayıcısında üçüncü taraf çerezlerini kaldırma planı, dijital reklamcılık sektöründe büyük tartışmalara yol açmıştır. Bunun yanı sıra fingerprinting (tarayıcı parmak izi), piksel izleme ve cihaz kimlikleri gibi alternatif izleme teknolojileri de gizlilik endişelerine neden olmaktadır. ePrivacy Regulation'un yürürlüğe girmesiyle çerez yönetiminde daha sıkı kurallar beklenmektedir.

Veri Gizliliğini Artırıcı Teknik Önlemler

Kurumsal düzeyde veri gizliliğini korumak için çeşitli teknolojiler geliştirilmiştir:

• Diferansiyel gizlilik (Differential Privacy): İstatistiksel analizlere kontrollü gürültü ekleyerek, bireysel verilerin tespit edilmesini engeller. Apple ve Google bu tekniği kullanmaktadır.
• Homomorfik şifreleme: Verilerin şifreli haldeyken işlenmesini mümkün kılar; çok daha geniş kapsamlı gizlilik garantisi sağlar.
• Sıfır bilgi ispatı (Zero-Knowledge Proof): Bir bilginin doğruluğunu, bilginin kendisini açıklamadan kanıtlama. Kimlik doğrulama protokollerinde kullanımı artmaktadır.
• Federate öğrenme (Federated Learning): Verilerin merkezi bir yerde toplanmadan, yerel cihazlarda işlenerek model eğitimi yapılması. Google Gboard bu teknikle kullanıcı verilerini cihazda tutarak tahmin modelini geliştirmektedir.
• Veri anonimleştirme ve takma adlandırma: Kişisel verilerin doğrudan veya dolaylı olarak bir bireyle ilişkilendirilmesini zorlaştırma. Ancak yeniden kimlik tespiti (re-identification) araştırmaları, "anonimleştirilmiş" verilerin çoğunun kolay de-anonimleştirilebildiğini göstermektedir.

CCPA, LGPD ve Küresel Düzenlemeler

California Consumer Privacy Act (CCPA) 2020'de, ardından California Privacy Rights Act (CPRA) 2023'te yürürlüğe girmiştir. CCPA, opt-out modeli kullanır: tüketiciler "Kişisel Verilerimi Satma veya Paylaşma" hakkına sahiptir. Ayrıca erişim, düzeltme, silme ve taşınabilirlik hakları da tanınmıştır. Brezilya'nın LGPD'si (2020), Güney Kore PIPA, Hindistan DPDP Act (2023) ve Çin PIPL (2021) gibi düzenlemeler, veri korumanın gerçek bir küresel norm haline geldiğini göstermektedir. Türkiye'deki şirketler, yalnızca KVKK'ya değil; uluslararası müşterileri varsa GDPR, CCPA ve diğer mevzuata da uymak zorundadır.

Sonuç

Kişisel veri gizliliği, dijital çağın en temel insan haklarından biri haline gelmiştir. KVKK ve GDPR arasındaki farkları anlamak, hangi hakların kullanılabileceğini bilmek, veri simsarı ekosisteminin varlığından haberdar olmak ve gözetim kapitalizminin mekanizmalarını kavramak; bugün bilinçli bir dijital vatandaşlığın ön koşullarıdır. Privacy-by-design, opt-in rıza standartları, güçlü şifreleme araçları ve veri minimizasyonu ilkesi, hem kurumsal hem bireysel düzeyde alınması gereken önlemlerin temelini oluşturmaktadır. Unutulma hakkından veri taşınabilirliğine, çocukların korunmasından sınır ötesi veri transferlerine kadar uzanan bu geniş çerçeve, dijital haklarımızın pratiğe nasıl yansıtılacağını belirlemektedir.