Kişisel Verilerin İşlenmesine İlişkin İç Kontrol

Dijital çağda kişisel verilerin korunması, çok sayıda bireyle ve iş başvuru sahiplerinin ve çalışanların kişisel verileriyle ilgilenen şirketler için ana görevlerden biri haline gelmektedir. Kişisel verilerin işlenmesine ilişkin iç kontrol, Veri Koruma Görevlisinin (DPO) kritik işlevleri arasında yer alır. Bu makalede, DPO’nun kişisel verilerin işlenmesine ilişkin iç kontrolü nasıl gerçekleştirdiğini inceleyecek ve bu kritik rolde kendisine yardımcı olan kilit adımları vurgulayacağız.

Kişisel verilerin işlenmesine ilişkin iç kontrol ile ilgili olan DPO işlevleri

DPO’nun, kişisel verilerin işlenmesine ilişkin iç kontrol şeklindeki hayati işlevini diğer işlevleri yerine getirmeden gerçekleştirmesi imkansızdır; bunlar özellikle şunları içerir:

1. Kişisel verilerin işlenme süreçlerinin analiz edilmesi ve bu süreçlerin risklerinin belirlenmesi.
2. Kişisel verilerin işlenmesine ilişkin belgelerin geliştirilmesi ve zamanında güncellenmesi.
3. Yöneticiler için kişisel veri konularında danışmanlıklar ve yetkili kişilerle etkileşim.
4. Şirket çalışanları, kişisel verilerin korunmasına ilişkin gereklilikler ve kişisel verilerin işlenmesine dair şirket içi belgeler hakkında bilgilendirilmelidir.
5. Kişisel verileri işleyen çalışanlar için eğitimin organize edilmesi, kişisel veri işleme konusunda bilgi kontrolü.
6. Bireylerin verilerinin işlenmesine ilişkin şikayetlerinin değerlendirilmesine katılım.
7. Kişisel Veri Koruma Ulusal Merkezi ile etkileşim.

DPO’nun göreve atanmasından sonraki eylemleri

Göreve atandıktan sonra DPO genellikle şirket kişisel verilerinin işlenmesine ilişkin iç kontrolü gerçekleştirir. Bunu yapmak için DPO plana göre sıralı olarak hareket edebilir (adım adım sıra). Örneğin:

Adım 1. Kişisel veri işleme için seçilen yöntemin etkinliğini değerlendirin.
DPO, tüm şirket departmanlarında kişisel verilerin işlenmesini izleyeceği bir süre (örneğin bir takvim yılı veya başka bir süre) belirleyebilir.
Adım 2. Kişisel verilerin işlenmesiyle ilgili iş süreçlerini analiz edin.
Bu adım uygulanırken, kişisel verilerin işlenmesinde şirketin departmanlarıyla etkileşim prosedürünün (kişisel veri işleme sicili) düzenlenmesi gerekebilir. Bu belgede özellikle işleme süreçlerini ve bu süreçleri yürüten departmanları tanımlayabilirsiniz. Ayrıca her süreç için işleme amacını, işlenen kişisel veri kategorilerinin listesini, bunların alınma kaynağını ve saklama süresini belirlemek de mantıklıdır.
Adım 3. Belge taslakları hazırlayın veya belgeleri kontrol edin
Bu aşamada DPO, operatör şirketin veya yetkili bir kişinin kişisel verilerin işlenmesine ilişkin politikasını belirleyen belge taslakları hazırlar veya şirkette halihazırda mevcutlarsa bu belgeleri gerekliliklere uygunluk açısından kontrol eder. DPO ayrıca sınırsız sayıda bireyin politikaya erişimi olduğunu kontrol eder.
Kişisel veri işleme ile ilgili farklı iş süreçleri için ayrı politikalar gerekebilir. Örneğin çalışanların kişisel verilerinin işlenmesi, video gözetim ve çerezler (cookies) ile ilgili münferit politikalar geliştirilebilir. 
Politika(lar)da, kişisel verilerin işlenme amaçları ve dayanaklarının kapsamını, kişisel veri sahiplerini, kişisel verilerin listesini ve işleme süresini net bir şekilde (örneğin tablo biçiminde) belirtmek gereklidir.
Politikaya sınırsız sayıda kişinin erişimi, politika site ziyaretçilerinin, hizmet kullanıcılarının vb. kişisel verilerinin işlenmesiyle ilgili olduğunda yerindedir. Bu politika şirketin web sitesinde yayınlanır.
Şirket çalışanlarının veri işleme politikasının şirketin web sitesinde yayınlanmasına gerek yoktur. Çalışanların bu konuda bilgilendirilmesi yeterlidir; bu da çevrim içi dahil olmak üzere şirket içinde erişilebilir yerlerde yayınlanarak yapılır.
Adım 4. Kişisel verileri işleyen çalışanların ve diğer kişilerin koruma gereklilikleri ve politikalar hakkında bilgilendirilip bilgilendirilmediğini ve eğitimin yapılıp yapılmadığını kontrol edin
Çalışanlar, stajyerler ve yükleniciler (contractors); kişisel verileri koruma gereksinimleri, politikalar ve çalışan verilerinin işlenmesindeki ihlallere ilişkin sorumluluk tedbirleri hakkında bilgilendirilir.
Kişisel verileri işleyen çalışanlar genellikle şirketin kendisinde eğitilir. Ancak bu durum Kişisel Veri Koruma Ulusal Merkezi gibi kuruluşlarda da yapılabilir.
Eğitimden sonra şirket genellikle şirketin belirlediği bir şekilde bir bilgi testi gerçekleştirir. Bu örneğin bir test veya mülakat olabilir.
Adım 5. Kişisel verileri işleyen kişilerin resmi görevlerinin, kişisel verilerin işlenmesine ilişkin hükümlerle, işleme sırasında disiplin sorumluluğuyla desteklenip desteklenmediğini kontrol edin
Doğrudan kişisel veri işleyen kişilerin iş tanımlarının, devlet ve şirket düzeyinde belirlenen kişisel veri işleme gereksinimlerine uymaları gerektiğine dair hükümler içerip içermediğini kontrol ederler.
Adım 6. Kişisel verilere erişim prosedürü tanımlandı mı
Kişisel verilere erişim prosedürü tek bir belge veya şirketin kişisel verilerin işlenmesi için ayrı, örtüşmeyen iş süreçleri benimsemiş olduğu durumlarda birkaç belge olabilir. Örneğin video gözetim sırasında bilgi sistemlerinde kişisel veriler işlenirken kişisel verilere erişim prosedürüne ilişkin birkaç belge olabilir.
Adım 7. Bilginin teknik ve kriptografik koruması var mı
Şirketin kişisel verileri içeren bilgi kaynaklarına sahip olduğunu varsayalım. Bu durumda, bu tür kaynakların listesinin ve bu kaynaklardaki kişisel veri kategorilerinin güncel tutulup tutulmadığını kontrol etmek gereklidir.
Adım 8. Yetkili kişilerin listesi oluşturuldu mu ve güncel mi (varsa)
Yetkili kişilerin listesi genellikle yetkili kişileri, işledikleri kişisel verileri ve işleme amaçlarını listeleyen bir tabloda tutulur.
Adım 9. Kişisel Veri Operatörleri Siciline bilgi girilmesi gerekiyor mu
Kişisel verilerin işlendiği bilgi kaynaklarına ve sistemlerine sahip şirketler, bu kaynaklar ve sistemler hakkındaki bilgileri her zaman Operatörler Siciline girmezler. Sicil’e yalnızca bazı durumlarda bilgi girmeniz gerekir:

• Yabancı bir ülkede gerekli kişisel veri koruma düzeyinin sağlanmadığı durumlarda kişisel verilerin sınır ötesi aktarımında.
• Biyometrik ve genetik kişisel veriler işlendiğinde.
• 100 binden fazla gerçek kişinin kişisel verileri işlendiğinde.
• 16 yaş altı 10 binden fazla gerçek kişinin kişisel verileri işlendiğinde.

Adım 10. Kişisel verilerin üçüncü taraflara aktarılması hakkındaki bilgilerin nasıl kaydedildiğini kontrol edin.
Bu tür bilgilerin kaydedilmesi, bireylere verilerinin işlenmesi hakkında bilgi sağlanmasına yardımcı olur. Genellikle bu amaçla tablolar elektronik formda tutulur, elektronik kaynaklardaki sistemler günlüğe kaydedilir (log). Bu kaynaklardan, operatör şirketin kişisel verileri kime, ne zaman ve hangi gerekçeyle aktardığı açık olmalıdır.
Adım 11. Kişisel veri korumasındaki ihlal olaylarına müdahale etme ve Kişisel Veri Koruma Ulusal Merkezini bilgilendirme prosedürü tanımlandı mı
Operatör, ihlallerden haberdar olduktan sonra en geç üç iş günü içinde kişisel veri koruma sistemlerindeki ihlalleri Kişisel Veri Koruma Ulusal Merkezine derhal bildirmelidir.
İhlali kişisel verilerin yasa dışı yayılması, değiştirilmesi veya imha edilmesi takip etmediyse bildirim göndermenize gerek yoktur.
Adım 12. Kişisel verilerin saklanması, silinmesi ve bloke edilmesi prosedürü tanımlandı mı
Kişisel verilerin silinmesi, veri taşıyıcılarının imha edilmesine yönelik eylemleri veya bir bilgi kaynağında (sistemde) kişisel verilerin geri yüklenememesi ile sonuçlanan eylemleri kapsar. Silme usulü, kişisel verilerin hangi ortamda depolandığına bağlıdır. Kişisel verilerin saklama süresi belirlenirken devlet, belge saklama sürelerini belirleyerek sürece rehberlik etmelidir.

Kişisel verileri korumak için yeterli önlemin alınıp alınmadığı nasıl belirlenir

Tüm adımların izlenmesi, şirketteki kişisel veri işleme faaliyetlerinin genel olarak belirlenen gereksinimleri karşıladığını gösterebilir. Ancak tüm faaliyet gösteren şirketler için tek bir yaklaşım yoktur. Her şirketin kendi riskleri vardır; bu nedenle kişisel verilerin işlenmesine ilişkin iç kontrol icra edilirken, kişisel verileri korumak için alınan önlemleri bu şirkete özgü risklerle karşılaştırmak gereklidir. Bu yaklaşıma “risk tabanlı yaklaşım” denir. 

Kişisel verilerin işlenmesine ilişkin iç kontrol ile DPO, münferit iş süreçlerindeki riskleri tespit edebilir. Kişisel Veri Koruma Ulusal Merkezi tarafından yapılan denetim ve bireylerin verilerinin işlenmesine ilişkin şikayetler de riskleri belirleyebilir.

Bu bilgilere dayanarak DPO, şirket yönetimine kişisel verileri işleme riskleri hakkında bilgi verir ve kişisel verileri korumak için mevcut önlemlere ek olarak bu riskleri en aza indirmek üzere önlemler önerir.

Kişisel verilerin işlenmesine ilişkin iç kontrolün organize edilmesinde nasıl yardımcı olabiliriz?

Avukatlarımız ve bilgi güvenliği uzmanlarımız, kişisel verilerin işlenmesi ve kişisel veri hakkındaki bilgilerin korunması konusunda iç kontrol alanında deneyimli uzmanlardır.

Şunları yapabiliriz: 

1. Kişisel verilerin işlenmesine ilişkin iç kontrolün uygulanması konusunda size danışmanlık verme.
2. Kişisel verilerin işlenmesiyle ilgili iş süreçlerinin dahili denetimini (audit) gerçekleştirme ve şirkette kişisel veri korumasının nasıl organize edileceği konusunda tavsiyelerde bulunma.
3. Kişisel verilerin işlenmesi iş süreçlerini analiz etme ve bunların işlenmesine ilişkin iç kontrolü organize etmenin en iyi yolunu önerme.
4. Doğrudan kişisel veri işleyen kişiler ve DPO için iş tanımları geliştirme.
5. Kişisel verilerin işlenmesine ilişkin iç kontrol belgesi paketi geliştirme.
6. Devlet kurumları nezdinde menfaatlerinizi temsil etmek.

Bize Ulaşın

Kişisel verilerin işlenmesine ilişkin iç kontrol ile ilgili herhangi bir sorunuz veya uyuşmazlığınız varsa, size yardımcı olmaktan memnuniyet duyarız! Temettü ödemesindeki uzun soluklu deneyimimiz, bu alandaki her türlü uyuşmazlığı çözüme kavuşturmanıza yardımcı olacaktır.

• +375 29 505 10 51 (WhatsApp, Viber, Telegram);
• info@ambylegal.by.