AB Vatandaşlarının Kişisel Verilerini İşleyen Bir Şirketin Nelere Dikkat Etmesi Gerekir?

Avrupa Birliği (AB) vatandaşlarının kişisel verilerini işleyen herhangi bir şirket, Belarus’taki BT alanında Genel Veri Koruma Yönetmeliği’nin (GDPR) getirdiği karmaşık düzenlemelere hakim olmalıdır. Veri yönetimi alanında yasal ve etik standartların sürdürülmesi, para cezalarından kaçınmak ve yasalara uymak için GDPR ilkelerinin anlaşılmasını ve bunlara uyulmasını gerektirir.

AB vatandaşlarının kişisel verileri işlenirken hangi kurallara uyulmalıdır?

Genel Veri Koruma Yönetmeliği (GDPR), AB vatandaşlarının kişisel bilgilerinin toplanması ve saklanması için kurallar koyar. GDPR, hem Avrupa Birliği içinde hem de dışında bulunan ve AB vatandaşlarının kişisel verilerinin işlenmesiyle uğraşan tüm şirketler için zorunlu hale gelmiştir. Bu yönetmelik Mayıs 2018’den beri yürürlüktedir.

AB vatandaşlarının kişisel verilerinin işlenmesine ne dahildir?

GDPR’a göre AB vatandaşlarının kişisel verilerinin işlenmesi, kişisel verilerle yapılan her türlü eylemi içerir. Bu kapsamda kişisel verilerin toplanması, kaydedilmesi, yapılandırılması, depolanması, işlenmesi, kullanılması, aktarılması, imha edilmesi ve diğer işlemler yer alır.

GDPR uyarınca, çevrim içi olarak bireylerin kimliğini belirlemeye yardımcı olan tüm tanımlayıcılar kişisel verilere dahildir. IP adresleri ve çerezler (cookies) buna dahildir.

AB vatandaşlarının kişisel verilerini işleyen şirketlerin iş süreçlerini GDPR’a uygun olarak yapılandırmaları gerekmektedir.

Hangi şirketlerin Genel Veri Koruma Yönetmeliği’ni uygulaması gerekir?

AB vatandaşlarının kişisel verilerini işleyen şirketin nerede bulunduğu önemli değildir. GDPR gereklilikleri şu şirketler tarafından karşılanmalıdır:

• Avrupa Birliği topraklarında yerleşik olan veya bu toprakların dışında yer alıp Avrupa Birliği topraklarına yönelik faaliyetler yürütenler.
• Avrupa Birliği’nden ortaklarla işbirliği yapan ve kullanıcıların kişisel verilerini alanlar.
• Avrupa Birliği topraklarından bilgi toplayan ve analiz eden, sakinlerine mal ve hizmet sunanlar.
• Genel veri koruma yönetmeliğinin gerekliliklerine tabi olan veri sorumlusunun (operator) adına kişisel verileri işleyenler.

AB vatandaşlarının hangi kişisel verilerinin işlenmesi yasaktır?

AB vatandaşlarının etnik veya ırksal kökene, siyasi veya dini görüşlere, genetik ve biyometrik verilere ve sağlıkla ilgili verilere ilişkin özel nitelikli kişisel verileri işlenemez. Yalnızca bireyin kendisi, bir Avrupa Birliği vatandaşı bu verileri erişilebilir kılabilir.

AB vatandaşlarının kişisel verilerinin işlenmesinin dayanakları

AB vatandaşlarının kişisel verilerinin işlenmesi için iki tür dayanak vardır. Bunlar vatandaşın rızası ve GDPR tarafından rızanın gerekmediği durumlardır.

Kişisel veriler yalnızca bir bireyle sözleşme akdetmek amacıyla kullanıldığında, AB vatandaşlarının kişisel verilerin işlenmesine ilişkin rızası gerekmez.

Diğer durumlarda, kişisel verileri içeren her bir eylem için bir AB vatandaşının rızasının alınması gereklidir. Rıza alınmadan önce ilgili kişiye, şirket hakkındaki bilgileri ve kişisel verilerin işlenme amaçlarını inceleme imkanı sunulmalıdır.

Web sitesinde rıza örneğin şu şekillerde ifade edilebilir:

• Web sitesindeki belirli bir form üzerindeki bir işaret.
• Sitedeki teknik ayarların seçilmesi yoluyla.

Şirkette GDPR uygulamasının doğruluğunu kim denetler?

GDPR uygulamasının doğruluğunu izlemek amacıyla veri sahibi (bu yazılım müşterisi olabilir) bir DPO – Veri Koruma Görevlisi (Data Protection Officer) veya kişisel verilerin korunması için bir müfettiş atar. Böyle bir uzman bireylerden ve düzenleyici makamlardan gelen başvurularla ilgilenir.

Kişisel verilerin korunmasına ilişkin Belarus mevzuatı gereklilikleri uyarınca, bireylerle ilgilenen her şirketin kişisel verileri işleyen uzmanlara sahip olması gerekir.

AB vatandaşlarının kişisel verileriyle ilgili bu kadar katı bir gereklilik yoktur. DPO, dış kaynaklı (outsourcing) bir uzman veya şirketin bir çalışanı olabilir.

DPO’lar şu kuruluşlar tarafından atanır veya işe alınır:

• Avrupa Birliği vatandaşı olan birçok bireyin kişisel verilerini işleyenler.
• Çok miktarda özel kişisel veri işleyenler.

DPO’nun işlevleri nelerdir?

DPO, kişisel verilerin işlenmesi için bir iç kontrol sistemi organize eder. Şirketin özellikleri DPO’nun işlevlerini belirler. Çoğu zaman DPO:

• Kişisel verileri işleyen şirket çalışanlarına GDPR’ın uygulanması konusunda danışmanlık yapar.
• Bireysel taleplerin işlenmesini ve GDPR tarafından tanımlanan prosedüre uyulmasını denetler.
• Kişisel verilerin işlenmesinin denetimini (audit) yürütür, GDPR’a göre bunların işlenmesine yönelik yönetmelikler ve politikalar geliştirir.
• Kişisel veri sızıntısı risklerini değerlendirir.
• Denetleyici makamla işbirliği yapar.

Avrupa Birliği’nden bir müşteri, bir DPO’nun katılımıyla kişisel verilerle ilgili GDPR uyumluluğunun denetlenmesinde ısrar edebilir. Her durumda, AB vatandaşlarının kişisel verilerini işleyen bir şirketin DPO’dan tavsiye alması faydalı olacaktır.

Veri sorumlusu (controller) ve veri işleyen (processor) kimlerdir?

GDPR, “veri sorumlusu” (controller) ve “veri işleyen” (processor) gibi kavramlar kullanır. Bu kavramlar, kişisel veriler hakkındaki Belarus mevzuatındaki veri sorumlusu (operator) ve yetkili kişi (authorized person) kavramlarına karşılık gelir.

Veri sorumlularının sorumlulukları şunları içerir:

• Kişisel veri işleme prosedürünün hukukilik, dürüstlük ve şeffaflık ilkelerine uygunluğunun doğrulanması.
• Vatandaşların kişisel verilerinin işlenmesiyle ilgili haklarını kullanabilmelerinin sağlanması.
• Bilgi koruması.
• Veri işleyenlerin (processor) görevlendirilmesi ve bunlarla sözleşme imzalanması.
• Kişisel verilerin işlenmesindeki ihlallerin 72 saat içinde denetleyici makama bildirilmesi.
• Kişisel verilerin uluslararası aktarım prosedürüne uyulması.
• AB üyesi devletlerde kişisel verilerin işlenmesini denetleyen yetkililerle etkileşim.

Bir bireye hangi hususlarda bilgi verilmelidir?

Veri sorumlusu, kişisel verileri bireyin kendisinden – kişisel veri öznesinden almadığında, GDPR’a göre veri sorumlusu bireyi şunlar hakkında bilgilendirmelidir:

1. Kendi verileri ve temsilcisinin verileri hakkında.
2. DPO iletişim bilgileri hakkında.
3. Kişisel verilerin işlenme amaçları ve işleme dayanakları hakkında.
4. Kişisel veri türleri ve kişisel veri alıcıları hakkında.

Veri işleyenlerin (processor) sorumlulukları şunları içerir:

1. Veri sorumlusunun talimatlarının, bilgilerin gizliliğine ilişkin yasal gereklilikleri ihlal etmeyecek şekilde yerine getirilmesi.
2. Bilgi koruması.
3. Bilgi güvenliği olayları hakkında veri sorumlularına ve düzenleyicilere bilgi iletilmesi.
4. Veri sorumlusunun talimatıyla alt veri işleyenlerin (subprocessors) dahil edilmesi ve bunlarla etkileşim kurulması.

“Unutulma hakkı” nedir?

GDPR, Belarus mevzuatı gibi, bireylere veri sorumlusundan bu bireylerle ilgili kişisel verilerin silinmesini talep etme hakkı verir. Kişisel verilerin silinmesi için şu dayanaklar bulunmalıdır:

• Kişisel verilere, toplandıkları amaçlar doğrultusunda artık ihtiyaç kalmaması.
• Bir bireyin kişisel verilerin işlenmesine ilişkin rızasını geri çekmesi.
• Bir bireyin kişisel verilerin işlenmesine itirazları.
• Kişisel verilerin yasadışı işlenmesi.
• Yasanın gerektirdiği şekilde kişisel verilerin imha edilmesi.

Bir olay (incident) durumunda nasıl hareket edilmelidir?

Olaylar kişisel veri sızıntısı vakalarını içerir. Sızıntı, kişisel verileri etkilenen kişilerin vatandaşı olduğu AB üyesi devletin denetleyici makamına bildirilmelidir. Büyük ölçekli kişisel veri sızıntısı durumunda, bu konudaki bilgiler medyada yayılır.

Düzenleyici makam nedir?

Kişisel veriler alanındaki düzenleyici makamlar, her AB üyesi devletteki mahkemeler gibi devlet kurumlarını içerir.

Düzenleyici şunları yapabilir:

• Kişisel verilerin işlenme prosedürünü denetlemek.
• GDPR’a uyum konusunda uyarılar ve yönetmelikler yayımlamak.
• Kişisel verilerin sınır ötesi aktarımı için koşulları belirlemek.
• Kişisel verilerin işlenmesini yasaklamak ve GDPR ihlalleri için para cezası vermek.

Avrupa Birliği’nin denetleyici makamı Avrupa Kişisel Veri Koruma Konseyi’dir.

Düzenleyici, kişisel verilerin işlenmesinde GDPR ihlalleri için hangi önlemleri alabilir?

Gizlilik yükümlülüklerinin ihlalleri ile veri sorumluları ve veri işleyenlerin yükümlülüklerinin ihlalleri için, önceki yıla ait finansal ciro üzerinden %2’ye kadar veya 10 milyon euroya kadar para cezası uygulanır.

Kişisel veri işleme ilkelerinin, kişisel veri sahiplerinin haklarının, kişisel veri aktarım prosedürünün ihlalleri, DPO bulunmaması durumlarında, önceki yıla ait finansal ciro üzerinden %4’e kadar veya 20 milyon euroya kadar para cezası uygulanır.

Mahkemede dava açılması mümkündür.

GDPR’a uygun iş süreçlerinin oluşturulmasında ve AB vatandaşlarının kişisel verilerinin işlenmesinde size nasıl faydalı olabiliriz?

Şunları yapabiliriz:

• Şirketteki kişisel verileri işleme prosedürünün GDPR uyumluluğu konusunda size danışmanlık yapmak.
• GDPR uyumluluğu için kişisel verilerin işlenmesini denetlemek (audit) ve tavsiyelerde bulunmak.
• Dış kaynak (outsourcing) DPO hizmetleri sağlamak.
• GDPR süreçlerinin uyumluluğu konusunda müşterilerle yapılan müzakerelerde hak ve menfaatlerinizi temsil etmek.
• GDPR’a uygun olarak kişisel verilerin korunmasına ilişkin belgeler geliştirmek.

Bize Ulaşın

GDPR gerekliliklerini karşılamaya ilişkin herhangi bir sorunuz varsa, memnuniyetle size yardımcı oluruz! Uzun yıllara dayanan deneyimimiz her türlü uyuşmazlığı çözmenizde size yardımcı olacaktır.
İletişim için telefon ve e-posta seçenekleri kullanımınıza sunulmuştur:

• +375 29 505 10 51 (WhatsApp/Telegram/Viber);
• info@ambylegal.by.