Genel Veri Koruma Yönetmeliği (AB 2016/679), mevcut veri koruma rejimine yeni unsurlar ve önemli iyileştirmeler ekleyerek 25 Mayıs 2018 tarihinde yürürlüğe girmiştir.
Görev ve Sorumluluklar
GDPR'ın yürürlüğe girmesinden önce, resmi olarak bir Veri Koruma Görevlisi (DPO) atamanız gerekip gerekmediğini değerlendirmiş olmalısınız; bu, aşağıdaki durumlarda bir zorunluluktur:
- Siz bir kamu otoritesi veya kuruluşusunuz; veya
- Temel faaliyetleriniz, bireylerin geniş ölçekli, düzenli ve sistematik olarak izlenmesini gerektiriyor; veya
- Temel faaliyetleriniz, özel veri kategorilerinin veya suç mahkumiyetleri ve suçlarla ilgili verilerin büyük ölçekli işlenmesinden oluşmaktadır.
Birçok kuruluş, resmi bir Veri Koruma Sorumlusu (DPO) atamasına gerek kalmadan, gizlilik faaliyetlerinden sorumlu bir kişi veya departman belirlemeyi tercih etmektedir. Kuruluşunuzda veri koruma rollerinin ve sorumluluklarının iyi bilinmesi ve belgelenmesi, önemli bir uyumluluk gerekliliğidir.
ROPA – İşleme Faaliyetleri Kaydı
Kuruluşunuzun gerçekleştirdiği veri işleme faaliyetlerinin belgelendirilmesi, GDPR'nin (hem Birleşik Krallık hem de AB) 30. maddesi gereğince, kuruluşunuzun 250'den fazla çalışanı varsa zorunludur. Ayrıca, işlediğiniz veriler aşağıdaki durumlarda daha küçük şirketler için de zorunludur:
- ara sıra meydana gelenler değildir.
- Bireylerin hak ve özgürlüklerini etkileme olasılığı yüksektir; ve
- Özel kategori verilerini veya suç mahkumiyeti ve suç verilerini içerir.
ROPA'nız, kişisel verileri içeren sistemlerinizin veri haritasını, veri işlemenin yasal dayanağını, veri işleme amaçlarını ve yöntemlerini, veri paylaşım ve veri saklama politikalarını ve prosedürlerini içermelidir.
Zaman içinde güncellemeler olabileceğinden, bu dokümantasyonun düzenli olarak gözden geçirilmesi önemlidir.
ICO'dan ROPA en iyi uygulamalarına ilişkin rehberlik mevcuttur
Politikalar ve prosedürler
Politikalarınız ve prosedürleriniz, kuruluşunuzdaki gizlilikle ilgili çeşitli alanları kapsayan rolleri ve sorumlulukları açıkça belirtmelidir:
- Veri Koruma ve Kayıt Yönetimi
- Bilgi güvenliği, ihlaller ve olay yönetimi dahil
- Kişisel hak talepleri (örneğin, konuyla ilgili erişim talepleri ve bilgi bildirimleri) sonrasında bilgi sağlanması.
- Yeni sistemler, hizmetler, ürünler ve süreçler uygulanırken veya mevcut olanlar değiştirilirken sorunların dikkate alınmasını ve belgelenmesini sağlamak için tasarım ve varsayılan olarak veri koruması (Gizlilik etki değerlendirmeleri) sağlanır.
- Web sitenizdeki gizlilik politikası düzenli olarak gözden geçirilmeli ve son güncelleme tarihi açıkça belirtilmelidir.
Tedarikçi Yönetimi
Sizin adınıza veri işleyen kuruluşlarla sözleşme yapılması şarttır. Sözleşmelerde, veri işleme detayları şu şekilde belirtilmelidir:
- İşlemenin konusu
- İşlemin süresi
- İşlemenin niteliği ve amacı
- Kişisel verilerin türü ve veri sahiplerinin kategorileri
- Eğer herhangi bir alt işlemci kullanılıyorsa.
Bu kuruluşların GDPR'ye uygun teknik ve organizasyonel gereklilikleri yerine getirdiklerinden emin olmak için bir dizi durum tespiti kontrolüne ihtiyaç vardır.
Diğer kuruluşlarla yaptığınız sözleşmeleri ve veri paylaşım anlaşmalarını düzenli olarak gözden geçirmeniz önerilir.
Eğitim
Personelinizin kişisel verilerin işlenmesiyle ilgili sorumluluklarının farkında olmasını sağlamak çok önemlidir. Oryantasyon ve yenileme eğitimleri, veri koruma, potansiyel güvenlik tehditleri ve kuruluşunuzun bilgi yönetimi politikaları ve yapıları hakkında bilgiler içermelidir. Eğitimlerin tamamlanmasının izlenmesi ve belgelendirilmesi, uyumluluğunuzu gösterebilmeniz için önemli bir unsurdur.
Diğer kanunlar ve düzenlemeler
Birleşik Krallık'ta veri güvenliğiyle ilgili çeşitli başka kanunlar ve düzenlemeler de bulunmaktadır. Bunlar şunlardır:
- 2003 tarihli Gizlilik ve Elektronik İletişim Yönetmelikleri (PECR) - 'istenmeyen e-postaları' ve toplu pazarlama amaçlı posta gönderimlerini kapsar. PECR kapsamında zaman zaman yeni yönetmelikler de çıkarılmaktadır. Örneğin, web sitelerinde çerez kullanımına ilişkin yönetmelikler ve 2016 yılında pazarlama amaçlı arama yapan herkesin numarasını göstermesini zorunlu kılan yönetmelik.
- Telif Hakkı, Tasarım ve Patent Yasası – yazılım hırsızlığını da kapsayacak şekilde 2002 yılında değiştirilmiştir.
- Uygulanabilecek başka BT standartları ve düzenlemeleri de olabilir: örneğin, kredi kartı işlemlerini işleyen şirketlerin Ödeme Kartı Sektörü Veri Güvenliği Standartlarına (PCI DSS) .
Kaynaklar ve bağlantılar
ICO'nun kuruluşlar için ana sayfası
AB GDPR portalı – www.gdpreu.org
