Kişisel Verilerin Korunması, Belarus’ta GDPR

Kişisel verilerin korunması, özellikle hızla gelişen dijital ortamda, günümüz dünyasının temel konularından biri hâline gelmiştir. Son yıllarda dünya genelindeki hükümetler ve kuruluşlar, kişisel bilgilerin güvenli biçimde işlenmesine giderek daha fazla önem vermektedir. Bu alandaki en önemli adımlardan biri, kişisel verilerin işlenmesine ilişkin yeni standartlar belirleyen Genel Veri Koruma Tüzüğü’nün (GDPR) Avrupa Birliği’nde kabul edilmesi olmuştur. Doğu ile Batı arasında yer alan Belarus’ta da kişisel verilerin korunmasına yönelik düzenlemeler giderek daha fazla önem kazanmaktadır. Bu makalede kişisel verilerin korunmasının temel yönlerini ve GDPR’ın Belarus’ta uygulanmasını inceleyecek; mevcut mevzuatı, uygulamadaki yaklaşımları ve şirketlerin kişisel verileri korurken karşılaştıkları zorlukları ele alacağız.

Belarus’ta Kişisel Verilerin Korunması

Belarus’ta kişisel veri, belirli bir kişiyle ilişkilendirilebilen ve o kişinin kimliğinin belirlenmesini sağlayan her türlü bilgidir. Bu veriler arasında ad, adres, telefon numarası, pasaport bilgileri, iş yeri bilgileri ve kişinin kimliğini belirlemek için kullanılabilecek diğer bilgiler yer alır.

Kuruluşlar ve devlet kurumları, vatandaşların kişisel verilerinin korunmasını sağlamakla yükümlüdür. Bu verilerin korunmasına ilişkin usul, devletin Kasım 2021 tarihli Kanunu’nda düzenlenmiştir. 

Kişisel Verilerin İşlenmesi

Kişisel verilerin işlenmesi; kişisel verilerin toplanması, saklanması, sistematik hâle getirilmesi ve silinmesi dâhil, bu veriler üzerinde gerçekleştirilen her türlü işlemi kapsar.

GDPR’a Göre Kişisel Verilerin Korunması

Genel Veri Koruma Tüzüğü (GDPR), Avrupa Birliği vatandaşlarının kişisel verilerinin toplanması ve saklanmasına ilişkin kuralları belirler. AB vatandaşlarının kişisel verilerini işlemeleri hâlinde, bulundukları yerden bağımsız olarak AB içindeki ve dışındaki tüm şirketler için GDPR’a uyum zorunludur. Tüzük Mayıs 2018’de yürürlüğe girmiştir.

Kişisel Verilerin İşlenmesi

GDPR kapsamında Avrupa Birliği vatandaşlarının kişisel verilerinin işlenmesi; bu verilerin toplanması, kaydedilmesi, yapılandırılması, saklanması, kullanılması, aktarılması, imha edilmesi ve diğer işlemleri kapsar. GDPR’a göre IP adresleri ve çerezler gibi, kişilerin çevrim içi ortamda kimliğinin belirlenmesini sağlayan tanımlayıcılar da kişisel veri sayılır. AB vatandaşlarının kişisel verilerini işleyen şirketler, iş süreçlerini GDPR gerekliliklerine uyarlamalıdır.

Görüldüğü üzere GDPR ile Belarus’un “Kişisel Verilerin Korunması” Kanunu, kişisel verilerin tanımı ve işlenmesi konusunda benzer yaklaşımlar benimsemektedir. Bu yaklaşımları anlamak ve Belarus mevzuatı ile GDPR gerekliliklerine uygun koruma önlemlerini uygulamak için kişisel veriler alanında deneyimli uzmanlara danışmanızı öneririz.

Şirketler Hangi Durumlarda GDPR’a, Hangi Durumlarda Belarus Kanunu’na Uymalıdır?

Avrupa Birliği vatandaşlarının kişisel verilerini işleyen şirketin nerede bulunduğu önemli değildir. Şirketler şu durumlarda GDPR gerekliliklerine uymalıdır:

• Avrupa Birliği içinde veya dışında bulunuyor ve AB ülkelerini hedefleyen faaliyetler yürütürken gerçek kişilerin kişisel verilerini işliyorlarsa.  
• Avrupa Birliği’ndeki iş ortaklarıyla iş birliği yapıyor ve kullanıcıların kişisel verilerini alıyorlarsa.  
• Avrupa Birliği’nden bilgi topluyor ve analiz ediyor, ayrıca AB sakinlerine mal ve hizmet sunuyorlarsa.  
• Genel veri koruma düzenlemesine tabi bir veri sorumlusu adına kişisel verileri işleyen yetkili kişilerse.
  
  

Belarus’ta gerçek kişilerin kişisel verilerini işleyen tüm şirketler, kişisel verilerin korunmasına ilişkin Belarus mevzuatının gerekliliklerine uymalıdır.

Durumunuzu değerlendirmek ve hangi kişisel veri koruma gerekliliklerinin uygulanacağını belirlemek için kişisel verilerin korunması alanında deneyimli uzmanlarımıza danışabilirsiniz.

Belarus’ta Kişisel Veri İşlemenin Dayanağı

Belarus’taki yerel gerekliliklere göre kişisel veriler, kural olarak yalnızca ilgili kişinin (kişisel verileri işlenen gerçek kişinin) rızasıyla işlenebilir. Belirlenmiş meşru bir dayanak varsa rıza aranmaksızın da işleme yapılabilir.

İlgili kişinin rızası olmadan kişisel verileri, yalnızca kesin olarak belirlenmiş hâllerde işlenebilir. Bu hâller şunlardır:

• Yargı süreçlerinin ve diğer devlet işlemlerinin yürütülmesi.
• İşe alım ve çalışma sürecindeki işlemler.
• Kişisel veri sahibiyle sözleşme yapılması veya sözleşmenin yerine getirilmesi amacıyla, bu kişinin kişisel verileri işlenebilir.
• Kişisel veri sahibi verileri bizzat veri sorumlusuna aktardığında. Veri sorumlusu, kişisel verileri işleyen şirket veya gerçek kişidir.
• Devlet tarafından belirlenen veri sorumlusu görevleri kişisel verilerin işlenmesini gerektirdiğinde.
  
  

GDPR Kapsamında Kişisel Veri İşlemenin Dayanağı

AB vatandaşlarının kişisel verilerinin işlenmesi için iki dayanak türü vardır: kişinin rızası ve GDPR uyarınca rızanın aranmadığı diğer hukuki dayanaklar. Kişisel veriler yalnızca bir gerçek kişiyle sözleşme yapılması amacıyla kullanılıyorsa, AB vatandaşının kişisel verilerinin işlenmesine rıza vermesi gerekmez. 

Diğer tüm hâllerde, Avrupa Birliği vatandaşının kişisel verileri üzerinde gerçekleştirilecek her işlem için rıza alınması gerekir. Rıza alınmadan önce kişiye şirket ve kişisel verilerin işlenme amaçları hakkında bilgi verilmelidir. İnternet sitesinde rıza, örneğin özel bir formdaki kutucuğun işaretlenmesi veya teknik ayarların seçilmesi yoluyla alınabilir.

Şirkette Kişisel Verilerin Korunması Hususlarını Kim Kontrol Eder?

GDPR’ın ve kişisel verilerin korunmasına ilişkin Belarus mevzuatının doğru uygulanmasını sağlamak için veri sorumlusu veya veri sahibi (örneğin yazılımın müşterisi), kişisel verilerin korunmasından sorumlu bir uzman olan DPO’yu (Veri Koruma Görevlisi) atar. 

DPO, bireylerden gelen başvuruları ele almaktan ve düzenleyici makamlarla iletişim kurmaktan sorumludur. Belarus’un kişisel verilerin korunmasına ilişkin gerekliliklerine göre, gerçek kişilerle çalışan her şirketin kişisel verilerin işlenmesi konusunda uzman bulundurması gerekir. AB vatandaşlarının kişisel verilerinin işlenmesinde ise böyle katı bir zorunluluk yoktur. GDPR uyarınca DPO, dışarıdan hizmet veren bir uzman veya şirket çalışanı olabilir. DPO’lar şu kuruluşlar tarafından atanır veya istihdam edilir:

• Çok sayıda AB vatandaşının kişisel verilerini işleyen kuruluşlar.  
• Özel nitelikli kişisel verileri büyük ölçekte işleyen kuruluşlar.
  
  

AB vatandaşlarının kişisel verilerini işleyen Belarus şirketlerinde DPO, kişisel verilerin korunmasına ilişkin hem yerel gerekliliklere hem de Avrupa mevzuatındaki gerekliliklere uyulmasını sağlar.

Uygun bir DPO adayı seçmek kolay değildir. Bu seçimi üstlenebilir ve adayın kişisel verilerin korunması alanındaki gerekliliklerin yanı sıra ihtiyaçlarınıza da uygun olmasını sağlayabiliriz.

Kişisel Verilerin Korunması Alanındaki Düzenleyici Makamlar 

Elbette, devletin kişisel verilerin korunmasına ilişkin düzenlemeleri Belarus’ta ve Avrupa Birliği ülkelerinde farklıdır. AB vatandaşlarının kişisel verilerini işlerken GDPR gerekliliklerini ihlal eden Belarus şirketlerine Avrupa’daki düzenleyici makamlar para cezası verebilir. Bu makamların GDPR’a uymayan şirketleri etkilemek için başka yolları da vardır.

Belarus’taki Düzenleyici Otoriteler 

Veri sorumlularının ve yetkili kişilerin kişisel verilerin korunmasına ilişkin gerekliliklere uyumunu denetleyen devlet kurumu Ulusal Kişisel Verileri Koruma Merkezi’dir (NCPD). NCPD, ilgili kişilerin kişisel verilerinin işlenmesindeki ihlallere ilişkin şikâyetlerini inceler. 

1 Ocak 2024’ten bu yana NCPD, devletin “Kişisel Veri Operatörleri Sicili” veri tabanını tutmaktadır. Veri sorumluları, büyük miktarda kişisel veri işleyen bilgi kaynakları (sistemleri) ile biyometrik ve/veya genetik kişisel verileri işleyen kaynaklara ilişkin bilgileri Sicil’e kaydeder.

Avrupa Birliği’ndeki Düzenleyici Otoriteler

Kişisel veriler alanındaki düzenleyici makamlar arasında, Avrupa Birliği’nin her ülkesindeki devlet kurumları, özellikle de mahkemeler yer alır.  

Düzenleyicinin şunları yapma hakkı vardır:  

• Kişisel veri işleme kurallarına uyumu kontrol etmek.  
• GDPR’a uyulması için uyarı ve talimatlar vermek.  
• Kişisel verilerin sınır ötesi aktarımı için koşullar belirlemek.  
• Kişisel verilerin işlenmesini yasaklamak ve GDPR ihlalleri için para cezası vermek.  
  
  

Avrupa Birliği genelinde bu alanı Avrupa Veri Koruma Kurulu denetler.

Kişisel Verileri Korumak İçin Alınan Önlemlerin Yeterliliği Nasıl Belirlenir?

Kişisel verileri korumaya yönelik önlemlerin yeterliliği bakımından tüm şirketlere uygun tek bir yaklaşım yoktur. 

Her şirket kendine özgü risklerle karşı karşıyadır. Bu nedenle kişisel verilerin işlenmesine yönelik iç denetim sırasında alınan koruma önlemleri, şirkete özgü risklerle karşılaştırılmalıdır. Bu yaklaşım “riske dayalı yaklaşım” olarak adlandırılır. AB vatandaşlarının kişisel verilerini işlerken Belarus şirketi, kişisel verilerin korunmasına ilişkin yerel gerekliliklerin yanı sıra GDPR’ın uygulanmasıyla bağlantılı riskleri de dikkate almalıdır.

İç denetim sırasında DPO, belirli iş süreçleriyle bağlantılı riskleri belirleyebilir. Ulusal Kişisel Verileri Koruma Merkezi’nin denetimleri veya vatandaşların kişisel bilgilerinin işlenmesine ilişkin şikâyetleri sonucunda da riskler ortaya çıkarılabilir.  

İlgili riskleri şirketin DPO’su belirler. DPO, elde edilen bilgilere dayanarak kişisel verilerin işlenmesiyle bağlantılı tespit edilen riskleri şirket yönetimine bildirir ve mevcut koruma yöntemlerini tamamlayacak, riskleri azaltmaya yönelik ek önlemler önerir.

Bize Ulaşın

Belarus’ta kişisel verilerin korunmasıyla ilgili sorularınız veya uyuşmazlıklarınız varsa size memnuniyetle yardımcı oluruz! Temettü ödemeleri konusundaki uzun yıllara dayanan deneyimimiz, bu alandaki uyuşmazlıkları çözmenize yardımcı olacaktır.

• +375 29 505 10 51 (WhatsApp, Viber, Telegram);
• info@ambylegal.by.