Genel Veri Koruma Yönetmeliği (AB 2016/679), mevcut veri koruma rejimine yeni unsurlar ve önemli iyileştirmeler ekleyerek 25 Mayıs 2018 tarihinde yürürlüğe girmiştir.
23 Mayıs 2018'de yürürlüğe giren 2018 Veri Koruma Yasası (DPA), GDPR'ı uygulamaya koyarken, aynı zamanda GDPR'ın kapsamını güvenlik hizmetleri ve devlet kurumları gibi GDPR kapsamında olmayan alanlara genişletmek için Birleşik Krallık yasalarına da hükümler ekledi.
Brexit sonrası (1 Ocak 2021'den itibaren Brexit geçiş döneminin sona ermesini takiben), Birleşik Krallık GDPR'ı, Avrupa Birliği (Çekilme) Eylemi 2018'in 3. maddesi uyarınca ve Veri Koruma, Gizlilik ve Elektronik İletişim (Değişiklik vb.) (AB Çıkışı) Yönetmeliği 2020 ile yapılan değişiklikler doğrultusunda AB Yönetmeliğinin korunmuş versiyonudur.
Birleşik Krallık Genel Veri Koruma Yönetmeliği (GDPR), Birleşik Krallık vatandaşlarının verileriyle ilgili haklarını korurken, AB Genel Veri Koruma Yönetmeliği (GDPR) ise AB vatandaşlarının haklarını korur. Hem Birleşik Krallık hem de AB vatandaşlarına ait verileri işleyen kuruluşlar için her iki GDPR da geçerlidir.
AB Genel Veri Koruma Yönetmeliği'nin (GDPR) ilkeleri ve gereklilikleri, Brexit sonrası İngiltere'de de geçerliliğini koruyor ve burada başlıca kapsam alanlarına ve bazı tanımlara göz atacağız.
Kontrolcüler ve işlemciler
GDPR, hem veri sorumluları hem de veri işleyicileri için geçerlidir. Veri sorumluları, kişisel verilerin nasıl ve neden işlendiğini belirtir. Veri işleyici ise veri sorumlusunun adına verileri işler. Kuruluşunuz veri işleyici, veri sorumlusu veya her ikisi de olabilir.
Hem veri sorumluları hem de veri işleyicileri için belirli yasal yükümlülükler bulunmaktadır:
- Veri sorumluları, veri işleyicilerle yapılan sözleşmelerin GDPR'ye uygun olduğundan özellikle emin olmalıdır; ve
- Veri sorumluları ve veri işleyicilerinin, kişisel verilerin ve işleme faaliyetlerinin kayıtlarını tutma konusunda ayrı, ancak açık yükümlülükleri bulunmaktadır
- İşlemciler, güvenlik ihlallerinden de yasal olarak sorumlu ve yükümlüdürler.
Belgeleme gereklilikleri hakkında daha ayrıntılı bilgi için lütfen 'Veri Güvenliği – Genel Veri Koruma Yönetmeliği – Uyumluluğun Sağlanması' başlıklı ilgili bilgi broşürümüze bakın.
Veri koruma prensipleri
Kişisel veriler şunlar olacaktır:
- yasalara uygun, adil ve şeffaf bir şekilde işlenmiştir
- Belirtilen, açık ve meşru amaçlar için toplanmaktadır
- yeterli, ilgili ve amaca yönelik gerekli olanla sınırlı
- Doğru ve güncel tutulmalıdır. Yanlış veriler silinmeli veya düzeltilmelidir
- Gerekli olandan daha uzun süre, tanımlanabilir bir biçimde saklanmaz
- Veriler güvenli bir şekilde işlenir ve yetkisiz veya yasa dışı işleme, kaz accidental kayıp, imha veya hasara karşı korunur.
Bireylerin GDPR hakları
Bilgilendirilme hakkı
Bireyler, kişisel verilerinin nasıl işleneceğini bilme hakkına sahiptir. GDPR, (diğer hususların yanı sıra) veri sorumlusunun ayrıntılarını, veri kaynağını, veri alıcılarını, AB dışına yapılan veri aktarımlarını ve veri saklama süresini içeren bir gizlilik bildirimi yoluyla veri işleme konusunda şeffaflığı teşvik eder.
Erişim hakkı (kişisel bilgilere erişim talebi)
Kişiler, verilerinin işlendiğine dair teyit alma, kişisel verilerine erişme ve gizlilik bildiriminde belirtilenler gibi diğer bilgilere ulaşma hakkına sahiptir.
Kişisel verilere erişim taleplerinin değerlendirilmesi için tanınan azami süre 30 gündür ve talep asılsız, aşırı veya tekrarlayıcı olmadığı sürece, kişisel verilere erişim ücreti alma hakkı kaldırılmıştır.
Düzeltme hakkı
Kişilerin, yanlış veya eksik kişisel verilerinin düzeltilmesini talep etme hakkı vardır. Bu hak, üçüncü taraflarla paylaşılan veya onlara verilen kişisel verileri de kapsamalıdır.
Silme hakkı
Kişiler, kişisel verilerinin işlenmesine devam edilmesi için zorlayıcı bir nedenin bulunmadığı durumlarda, bu verilerin silinmesini veya kaldırılmasını talep etme hakkına sahiptir. Bu, üçüncü taraflarla paylaşılan veya onlara verilen kişisel verileri de kapsamalıdır.
Çocukla ilgili taleplerde ek şartlar bulunduğunu belirtmek önemlidir.
Verilerin silinmesi hakkına bazı istisnalar vardır; örneğin, verilerin yasal bir yükümlülüğe uymak amacıyla saklandığı durumlar.
İşlemeyi kısıtlama hakkı
Kişilerin kişisel verilerinin işlenmesini kısıtlama hakkı vardır. Bu koşullar altında kişisel veriler saklanabilir, ancak işlenemez.
Veri taşınabilirliği hakkı
Bireyler, kişisel verilerini farklı hizmetler arasında elde etme ve yeniden kullanma hakkına sahiptir. Bu, kişisel verileri taşımalarına, kopyalamalarına veya aktarmalarına olanak tanır. Kişisel veriler, yapılandırılmış ve makine tarafından okunabilir bir biçimde (örneğin .csv) sağlanmalıdır.
İtiraz hakkı
Kişilerin kişisel verilerinin işlenmesine itiraz etme hakkı vardır. İşleme, işleme için 'zorlayıcı' meşru gerekçeler bulunmadığı veya işlemenin yasal hakların tesis edilmesi, kullanılması veya savunulması için yapılmadığı sürece derhal durdurulmalıdır.
Otomatik karar verme ve profilleme ile ilgili haklar
Bireyler, insan müdahalesi olmadan alınan ve zarar verici kararlar riskine karşı koruma sağlayan önlemlerin mevcut olmasını sağlama hakkına sahiptir. Bu, profil oluşturma amacıyla kullanılan kişisel verilerin korunmasını da kapsar.
Hesap verebilirlik ve yönetişim
Hesap verebilirlik ilkesi, uyumluluğu belgelemek için uygun yönetim önlemlerinin alınmasını gerektirir. Bu nedenle kuruluşların şunları yapması gerekir:
- Veri koruma ilkelerine uygun önlemler uygulamak
- Kişisel verilerin saklanması ve işlenmesiyle ilgili politika ve prosedürleri belgelemek
- Uyumluluğu sağlamak ve göstermek için teknik ve organizasyonel önlemler uygulamak.
- Gerekli durumlarda veri koruma görevlisi atayın.
Daha detaylı bilgi için lütfen 'Veri Güvenliği – Veri Koruma Uyumluluğunun Sağlanması' başlıklı ilgili bilgi broşürümüze bakın.
İşlemenin hukuka uygunluğu
Verilerinizin işlenmesinin yasal dayanağını anlamak ve belgelemek önemlidir. Altı yasal dayanak vardır:
- Onay
- Sözleşmesel yükümlülük
- Yasal yükümlülük
- Hayati çıkarlar
- Kamu yararı
- Meşru çıkarlar.
Onay konusunda, onayın spesifik, açık ve özgür iradeyle verilmiş olması gerekir. Olumlu onay, çevrimiçi "abonelikten çık" kutusunu işaretlememek veya önceden işaretlenmiş kutuları kullanmak gibi eylemsizlikten varsayılamaz. İşletmeler, onay alma tarihini, yöntemini ve kullanılan gerçek ifadeleri kaydetmelidir; bu nedenle, işletmenizin bu tür bilgileri kaydetme ve belgeleme olanağına sahip olması önemlidir.
Meşru menfaat, bireylerin verilerini işleme olanağı sağlar, ancak bu işlem yalnızca onların bekledikleri sınırlar dahilinde gerçekleşir. Meşru menfaatlere dayanmanız durumunda, şunlardan sorumlu olacaksınız:
- Meşru menfaati kullanmak için bir dayanak mevcuttur
- Veri işleme, bu ilgi alanıyla sınırlıdır ve gösterilebilir
- Bireyin hakları, dengeleyici bir süreçte dikkate alınmıştır
- Kişi, gizlilik politikalarınızdaki meşru çıkarlarınız konusunda bilgilendirilir.
İhlal bildirimi
Kişisel veri ihlali, kişisel verilerin kazara veya hukuka aykırı olarak yok edilmesi, kaybolması, değiştirilmesi, yetkisiz olarak ifşa edilmesi veya bunlara yetkisiz erişim sağlanmasıdır.
Birleşik Krallık düzenleyici kurumu ICO'nun, ihlalin ciddiyetini ve bildirilmesi gerekip gerekmediğini belirlemeye yardımcı olan çevrimiçi bir öz değerlendirme aracı bulunmaktadır. Bazı ihlallerin ilgili denetim makamına 72 saat içinde bildirilmesi gerekmektedir. İhlal keşfedilir keşfedilmez değerlendirmenin yapılması hayati önem taşımaktadır.
ICO kişisel veri ihlali değerlendirme kılavuzu
Veri aktarımı
28 Haziran 2021'de AB Komisyonu, Birleşik Krallık için bir yeterlilik kararı aldı; bu da çoğu verinin ek güvenlik önlemlerine gerek kalmadan Birleşik Krallık ve AB-AEA arasında akmaya devam edebileceği anlamına geliyor. (İstisna, göç kontrolü amacıyla kullanılan verilerdir.)
Verilerin 'üçüncü bir ülkeye' aktarılması durumunda, Standart Sözleşme Maddeleri veya Bağlayıcı Kurumsal Kurallar gibi ek güvenlik önlemleri uygulanabilir. Aşağıdaki ilk bağlantı İngiltere'nin düzenleyici kurumu olan ICO'ya aittir. İkincisi ise Avrupa Komisyonu'na aittir.
ICO veri transferi anlaşması kılavuzu
AB'nin blok dışına yapılan transferlere ilişkin kuralları
Kaynaklar ve bağlantılar
ICO'nun kuruluşlar için ana sayfası
AB GDPR portalı – www.gdpreu.org
