DPO’nun Amacı: Neye Dikkat Edilmeli

Mevzuat gerekliliklerinden biri, kişisel verilerin işlenmesine ilişkin iç kontrolün sağlanmasından sorumlu bir kişinin atanmasıdır. Böyle bir kişiye Veri Koruma Görevlisi – DPO (Data Protection Officer) denir. Bu makalede, Şirketin DPO atama sorumluluklarını, DPO’ya yönelik gereksinimleri, görevlerini ve Şirkette kişisel verilerin işlenmesine ilişkin iç kontrolle ilgili diğer hususları ele alacağız.

Sorumlu kişi atama alanında şirketlerin yükümlülükleri

1. Kişisel verilerin işlenmesine ilişkin iç kontrolden sorumlu kişilerin atanması: Bireylerin kişisel verileriyle ilgilenen şirketler, bu tür verilerin işlenmesine ilişkin iç kontrolü organize etmekle yükümlüdür. Bunu yapmak için Şirket şu yollardan birini seçebilir:

1. Kişisel verilerin işlenmesine ilişkin iç kontrolden sorumlu bir birim atamak.
2. Kişisel verilerin işlenmesine ilişkin iç kontrolden sorumlu bir kişi atamak. Kişisel verilerin işlenmesine ilişkin iç kontrolden sorumlu bir yapısal birim oluşturulmamasına karar verildiğinde, DPO’nun işlevleri aşağıdaki gibi dağıtılabilir:

• Bir DPO çalışanı işe almak.
• DPO işlevlerini, mevcut işlevlerine ek olarak birkaç çalışana atamak.
• DPO görevlerini, asli görevlerine ek olarak bir çalışana vermek.

2. DPO görev ve sorumluluklarının tanımlanması ve belgelerin düzenlenmesi: Ayrı bir çalışanın işe alınıp alınmadığına veya DPO görevlerinin mevcut bir çalışana ya da birkaç çalışana verilip verilmediğine bağlı olarak, görev ve sorumlulukların tanımlanması veya bunlara ekleme yapılması gereklidir. Ayrı bir çalışan için, kişisel verilerin işlenmesine ilişkin iç kontrolün uygulanmasından sorumlu uzman görev tanımı düzenlenir ve kendisine talimatlar tebliğ edilir.

Bir DPO işe alınırken veya işlevleri birkaç çalışan arasında dağıtılırken, personel departmanının ilgili belgeleri düzenlenir.

Yokluğu sırasında DPO’nun yerini alacak bir çalışanın adaylığını önceden değerlendirmenizi tavsiye ederiz. Böyle bir uzmanın DPO yetkinlikleri konusunda eğitilmesi gerekecektir.

3. DPO eğitimi: DPO atayan şirketler en az 5 yılda bir kez, bu çalışanlar için kişisel veri koruma konularında eğitim organize etmelidir. Eğitim için bir DPO gönderebilirsiniz:

• Eğitim lisansına sahip kuruluşlar personel eğitimi organize edebilir. Bunlar genellikle eğitim kurumlarıdır.
• Eğitim lisansı olmayan ancak eğitim kursları, eğitim (seminer) ve konferanslar düzenleyen kuruluşlar.

Bu tür kuruluşlara gönderilmek yerine bir DPO kendi Şirketinde eğitim alabilir. Bunun için kişisel verileri koruma gereksinimlerini inceler ve bu konularda bir bilgi testinden geçer. Bilgi testi mülakat, test etme veya diğer yöntemler biçiminde olabilir. Şirket, kişisel veri işleme konusunda eğitim verme yetkisine sahip uzmanları davet edebilir.

Kişisel Veri Koruma Ulusal Merkezinde Eğitim: Belirli kuruluşlarda DPO’lar yalnızca Kişisel Veri Koruma Ulusal Merkezinde eğitilir. Bu tür kuruluşlar özellikle bankaları ve banka dışı kredi ve finans kuruluşlarını, sigorta şirketlerini, telekomünikasyon operatörlerini, gayrimenkul kuruluşlarını, istihdam ajanslarını ve en az 10.000 gerçek kişinin kişisel verilerini işleyen şirketleri kapsar.

DPO’nun sorumlulukları bilgi güvenliğinin sağlanmasını içerdiğinde ve Şirket, Yüksek Teknoloji Parkı (HTP) yerleşik şirketlerinin blokzincir ile ilgili veya Park yerleşiklerinin katılımıyla oluşturulan faaliyetlerde kullandıkları hariç olmak üzere bazı bilgi sistemlerine sahip olduğunda, DPO’yu en az üç yılda bir kez Kişisel Veri Koruma Ulusal Merkezinde eğitmek gereklidir.

4. Şirketin DPO hakkında raporlaması: Her yıl 15 Kasım’a kadar şirketler Kişisel Veri Koruma Ulusal Merkezine bilgi sunar:

• Ulusal Merkezde eğitilmesi gereken DPO sayısı.
• Yetkinliklerini geliştirmek amacıyla eğitime gönderilecek bilgi güvenliğinden sorumlu kişilerin sayısı.

Ayrıca Şirketin Kişisel Veri Operatörleri Siciline kayıtlı olduğu durumlarda DPO hakkındaki bilgiler Sicile girilmelidir: soyadı, adı, baba adı, iletişim telefon numarası ve e-posta adresi. Kişisel veri işleyen tüm şirketlerin Sicil’e kaydolmasının gerekmediğini hatırlatırız. Bir şirketin bu Sicil’e kaydolması gereken belirli durumlar vardır. Özellikle biyometrik ve genetik kişisel verileri, 100.000’den fazla gerçek kişinin kişisel verilerini işlediğinde.

DPO bir şirkette ne yapar

DPO’nun görev alanı oldukça geniştir ve özellikle şunları içerir:

• Kişisel veri işlemesiyle ilgili iş süreçlerinin incelenmesi ve bu süreçlerle ilişkili risklerin belirlenmesi.
• Kişisel veri işleme iş süreçleriyle ilişkili riskleri en aza indirmek için önlem önerisi.
• Kişisel veriler alanında şirket belgelerinin geliştirilmesi, güncellenmesi ve koordine edilmesi.
• Kişisel verilerin teknik ve kriptografik korumasına yönelik önlemlerin benimsenmesine katılım.
• İş ilişkilerinde kişisel verilerin kontrolü, işlenmesinin sonlandırılması, daha fazla işleme için gerekçelerin bulunmaması durumunda silinmesi ve bloke edilmesi.
• Şirketin yapısal birimlerinde kişisel verilerin işlenmesine ilişkin gereksinimlere uyumun doğrulanması.
• Şirket çalışanlarının kişisel verileri işleme gereksinimlerini ihlal etmelerinin soruşturulması ve faillerin sorumluluğu konusunda öneriler.
• Kişisel verilerin korunması gerekliliklerine uygunluk açısından Şirketin iç düzenlemelerinin ve sözleşmelerinin koordine edilmesi.
• Çalışanların kişisel verilerin işlenmesine ilişkin kurallar hakkında bilgilendirilmesi.
• Doğrudan kişisel veri işleyen çalışanlar için eğitimin organize edilmesi, en optimal eğitim biçiminin sunulması.
• Kişisel verilerin işlenmesiyle ilgili konularda Kişisel Veri Koruma Ulusal Merkezi ile etkileşim.

DPO adayı seçilirken neye dikkat edilmeli

Bir DPO adayı seçilirken ve görev kapsamı belirlenirken dikkate alınması gereken çeşitli hususlar vardır. İşte bunlardan bazıları:

1. Çıkar çatışmalarından kaçının: Kişisel verileri doğrudan işleyen bir kişiyi DPO olarak atamamanızı tavsiye ederiz; çünkü bu durumda bir çıkar çatışması ortaya çıkar: DPO, kişisel verilerin işlenmesine ilişkin iç kontrolden sorumlu kişi olarak kendini denetlemek zorunda kalacaktır. Kişisel verileri doğrudan işleyen kişi ile DPO’nun Şirketin aynı departmanında çalışan olması durumunda da bir çıkar çatışması doğabilir.

2. Bir serbest çalışanı (freelancer) DPO olarak düşünmeyin: Şartlar farklılık gösterebilir; ancak kural olarak tam zamanlı bir çalışan, sözleşmeli (hizmet sözleşmesi kapsamında) çalışan bir uzmana kıyasla Şirkete karşı daha yüksek bir sorumluluk taşır. Buna ek olarak, kişisel verilerin işlenmesine ilişkin iç kontrol genellikle iş süreçlerine derinlemesine dahil olmayı ve şirketin ticari sırrını oluşturan bilgilere erişimi gerektirir. Kişisel veri korumasını denetleyen yetkili kamu kurumuna göre DPO tam zamanlı bir çalışan olmalıdır.

3. Pozisyonun nitelik özelliklerini dikkate alın: Kişisel verilerin işlenmesine ilişkin iç kontrolden sorumlu uzman pozisyonunun nitelik tanımı bir eğitim şartı içerir: DPO, iş deneyimine bakılmaksızın yükseköğrenim mezunu olmalıdır. İlerleyen dönemde DPO olarak edinilen iş deneyimi, bu uzmanın mesleki derecesini yükseltmek için gereklidir: ikinci derece için en az 2 yıl ve birinci dereceye geçiş için ikinci derecede 3 yıl.

4. İşlevleri ayırın: Farklı çalışanlara teknik ve kriptografik bilgi koruması ile kişisel verilerin işlenmesine ilişkin iç kontrol işlevlerini atamanızı tavsiye ederiz. Yüksek kalitede teknik ve kriptografik bilgi koruması için teknik eğitim gereklidir, ancak diğer DPO işlevlerini yerine getirmek için gerekli değildir; örneğin bir avukat bunları gerçekleştirebilir.

DPO kişisel verilerin işlenmesini nasıl kontrol eder

DPO görevlerini yürüten bir çalışan, kişisel verileri işleyen personelin yanına sadece verilerin işlenmesini denetleme teklifiyle gitmez. Kişisel verilerin işlenmesine ilişkin iç kontrol; analiz edilmesi, yapılandırılması ve şirket içi bir düzenleme ile resmiyete kavuşturulması gereken bir iş sürecidir.

Kişisel Veri Koruma Ulusal Merkezi şirket içi bir düzenlemenin hazırlanmasını önermektedir: kişisel verilerin işlenmesine ilişkin iç kontrol prosedürü. Bu belge, kişisel verilerin işlenmesine ilişkin diğer şirket içi belgelere, özellikle Politikalara dayanılarak hazırlanır.

Kişisel verilerin işlenmesine ilişkin iç kontrol biçimleri

Kişisel verilerin işlenmesine ilişkin iç kontrol, Şirketin yapısal birimlerinin izlenmesi ve rutin dışı (önceden bildirilmeyen) denetimler biçimini alabilir.

İzleme (monitoring), bir yıl için önceden hazırlanan bir izleme planına göre her altı ayda bir gerçekleştirilir.

DPO, şirket yöneticisinin talimatı üzerine rutin dışı denetimler gerçekleştirir. Böyle bir kontrol için DPO şunları belirler:

• Şirketin hangi departmanının veya hangi çalışanın işini kontrol edeceğini.
• Hangi iş sürecinin veya bilgi sisteminin kontrol edileceğini.
• Denetim dönemi. 
• Rutin dışı bir denetim, başkanın talimatının alınmasından itibaren üç iş günü içinde gerçekleşmelidir.

DPO seçiminde ve çalışma ilişkilerinin resmiyete dökülmesinde nasıl yardımcı olabiliriz

Avukatlarımız ve bilgi güvenliği uzmanlarımız, kişisel verilerin işlenmesi ve kişisel veri hakkındaki bilgilerin korunması konusunda iç kontrol alanında deneyimli uzmanlardır.

Şunları yapabiliriz:

• Kişisel verilerin işlenmesine ilişkin iç kontrolün uygun bir biçimini seçme konusunda size danışmanlık verme.
• Bir DPO adayı seçme, istihdama ilişkin personel belgelerini hazırlama ve düzenleme, DPO görevlerini Şirket çalışanları arasında paylaştırma.
• Kişisel verilerin işlenmesine ilişkin iç kontrol belgelerini geliştirme.
• Şirketinizde kişisel veri işleme ve bilgi koruması konusunda dahili eğitim verme.
• Devlet kurumları nezdinde menfaatlerinizi temsil etmek.

Bize Ulaşın

DPO’nun amacı ve işlevleri ile ilgili herhangi bir sorunuz veya uyuşmazlığınız varsa, size yardımcı olmaktan memnuniyet duyarız! Kurumsal hukuk ve vergilendirme alanındaki uzun soluklu deneyimimiz, bu alandaki her türlü uyuşmazlığı çözüme kavuşturmanıza yardımcı olacaktır.

• +375 29 505 10 51 (WhatsApp, Viber, Telegram);
• info@ambylegal.by.