MKB Juristen, özel hukuki belgeler hazırlamaktadır
Önemli sözleşmeleri, şartları ve diğer yasal belgeleri kendiniz bir araya getirmek veya kopyalamak en iyisi değildir. Bütçesi kısıtlı girişimcilere özel yasal çözümler, net maliyetler ve pratik açıklamalar sunuyoruz.
- Gümrük sözleşmeleri, şartlar ve koşullar ve yasal belgeler
- Bütçe dostu ve maliyetler konusunda baştan net bilgi veriyor
- Ücretsiz danışmanlık veya herhangi bir yükümlülük gerektirmeyen fiyat teklifi isteyin
Veri Koruma Etki Değerlendirmesi (DPIA) taslağı hazırlamak belirli adımları izler: işlemeyi tanımlarsınız, gerekliliği ve orantılılığı değerlendirirsiniz, veri sahipleri için riskleri belirlersiniz ve bu riskleri kontrol altına almak için alınacak önlemleri kaydedersiniz. GDPR'nin 35. maddesinin 7. paragrafı, DPIA'ya dahil edilmesi gereken asgari bileşenleri belirtir. Bunu dikkatlice yaparsanız, yalnızca zorunlu bir belgeye değil, aynı zamanda işlemeye başlamadan önce düzenlemeniz gerekenlerin somut bir özetine de sahip olursunuz.
Kısa cevap
- İşleme sürecini açıklayın: amacı, niteliği, kapsamı, bağlamı ve ilgili veriler.
- Gereklilik ve orantılılık testi: İşleme, amacına uygun ve orantılı mı?
- Veri sahiplerinin hak ve özgürlüklerine yönelik riskleri değerlendirin
- Bu riskleri (teknik ve organizasyonel) azaltmaya yönelik önlemleri belirleyin
- Eğer varsa, Veri Koruma Sorumlusundan (DPO) tavsiye alın (GDPR Madde 35, paragraf 2)
- Sonraki adımları belirleyin: başlatın, değiştirin veya denetleyici makama danışın (GDPR Madde 36).
Veri koruma etki değerlendirmesi (DPIA) taslağı hazırlama: zorunlu bileşenler
GDPR'nin 35. maddesinin 7. paragrafı, veri gizliliği etki değerlendirmesinde asgari olarak bulunması gereken dört bileşeni listelemektedir. Bunlar belgenin temelini oluşturmaktadır:
- Planlanan işleme operasyonlarının ve amaçlarının sistematik bir açıklaması; eğer yasal dayanak olarak meşru menfaati kullanıyorsanız, bu husus da dahil edilmelidir.
- İşlemenin amaçlarla ilişkili olarak gerekliliği ve orantılılığına dair bir değerlendirme.
- Veri sahiplerinin hak ve özgürlüklerine yönelik risklerin değerlendirilmesi.
- Bu riskleri gidermeye yönelik planlanan önlemler arasında, kişisel verilerin korunmasını göstermeye yönelik güvenlik önlemleri ve tedbirler yer almaktadır.
Bu dört bileşen asgari gereksinimlerdir. Uygulamada, ilgili tarafların açıklamasını, saklama sürelerini ve her bir işleme faaliyetinin yasal dayanağını ekleyerek, belgenin denetleyici makama karşı hesap verebilirlik işlevi görmesini sağlarsınız.
1. ve 2. Adımlar: İşlemeyi tanımlayın ve gerekliliğini değerlendirin
Öncelikle olgusal bir açıklama yapın. Hangi kişisel verileri işliyorsunuz, kimden, hangi amaçla, hangi yasal dayanağa dayanarak (GDPR Madde 6) ve ne kadar süreyle saklıyorsunuz? Ayrıca veri akışlarını da açıklayın: kimlerin erişimi var, hangi veri işleyiciler dahil ve Avrupa Ekonomik Alanı dışına herhangi bir veri aktarılıyor mu?
Ardından, gerekliliği ve orantılılığı değerlendirin. Hedefe daha az veriyle veya daha az müdahaleci bir yöntemle ulaşabilir misiniz? Veri minimizasyonu ilkesi (GDPR Madde 5(1)(c)) burada merkezi öneme sahiptir. Daha az müdahaleci bir alternatif aynı amaca hizmet ediyorsa, daha yoğun işlemleme orantılı değildir.
3. ve 4. Adımlar: Riskleri değerlendirin ve önlemleri belirleyin
Riskleri, kuruluşunuzun bakış açısından değil, veri sahibinin bakış açısından değerlendirin. Kimlik sahtekarlığı, ayrımcılık, itibar kaybı, veriler üzerindeki kontrolün kaybı veya mali zarar gibi riskleri göz önünde bulundurun. Hem olasılığı hem de potansiyel etkiyi tartın. Her risk için önlemler belirleyin: teknik (şifreleme, takma adlandırma, erişim kontrolü) ve organizasyonel (yetkilendirme politikası, saklama süreleri, veri işleme sözleşmeleri, eğitim).
Amaç, kalan riski kabul edilebilir bir seviyeye indirmektir. Her risk için hangi önlemi aldığınızı ve kalan riskin ne olduğunu belgeleyin. Bu bağlantı, Veri Koruma Etki Değerlendirmesini (DPIA) doğrulanabilir hale getirir ve bilinçli bir değerlendirme yaptığınızı gösterir.
5. ve 6. Adımlar: FG tavsiyesini belirleyin ve takibi yapın
Veri Koruma Görevliniz varsa, taslak hazırlarken mutlaka onun tavsiyesini almalısınız (GDPR Madde 35(2)). Bu tavsiyeyi ve bununla ne yaptığınızı belgeleyin. Uygun olduğu durumlarda, çalışanları etkileyen işleme operasyonları ile ilgili olarak, veri sahiplerinin veya temsilcilerinin, örneğin İşçi Konseyi'nin görüşünü de alın.
Veri Koruma Etki Değerlendirmesi (DPIA), aldığınız önlemlere rağmen yüksek bir riskin devam ettiğini gösteriyorsa, GDPR'nin 36. maddesi, başlamadan önce Veri Koruma Otoritesine danışmanızı gerektirir. Kalan risk kabul edilebilir düzeydeyse, başlayabilir ve DPIA'yı güncel tutmalısınız.
Pratik bir örnek: Küçük ve orta ölçekli bir çevrimiçi mağaza, hedefli profiller oluşturmak için müşteri davranışlarını harici verilerle birleştirmek istiyor. Veri Koruma Etki Değerlendirmesi (DPIA) hazırlığı sırasında, profil oluşturmanın amacın gerektirdiğinden daha kapsamlı olduğu ortaya çıkıyor. Şirket veri setini sınırlandırıyor ve harici bir veri kaynağını kaldırıyor; bunun sonucunda kalan risk kabul edilebilir hale geliyor ve denetleyici otoriteyle görüşmeye gerek kalmıyor.
Dürüst tavsiye
Veri Koruma Etki Değerlendirmesi (DPIA) hazırlamak için her zaman bir avukata ihtiyacınız yoktur. Açık bir amaç ve sınırlı veri içeren basit işlemler için, GDPR'nin 35(7) maddesinin dört bileşenini iyi bir şablon ve Hollanda Veri Koruma Otoritesi'nin rehberliğiyle kendiniz tamamlayabilirsiniz. Ancak, durum karmaşık hale gelirse—örneğin özel veri kategorileri, profilleme, Avrupa Ekonomik Alanı dışına aktarımlar veya yeni teknoloji söz konusu olduğunda—sürecin hukuki yardım ile incelenmesi faydalı olacaktır. Gereklilik ve orantılılığın değerlendirilmesi genellikle en zor kısımdır ve pratikte işler tam olarak burada ters gider.
Daha fazla bilgi edinmek ister misiniz? Veri koruma etki değerlendirmesi (DPIA) raporunu inceleyin, DPIA'nın ne olduğunu ve nasıl hazırlanacağını anlatan açıklamayı okuyun .
Sıkça Sorulan Sorular
GDPR'nin 35(7) maddesi dört bileşeni listeler: işlemenin ve amaçlarının açıklaması, gereklilik ve orantılılık değerlendirmesi, veri sahiplerine yönelik risklerin değerlendirilmesi ve bu riskleri gidermeye yönelik önlemler.
İşleme sürecine ilişkin olgusal bir açıklama ile başlayın: hangi veriler, kimden, hangi amaçla, hangi yasal dayanakla ve ne kadar süreyle işleniyor. Ayrıca veri akışlarını, veri işleyicilerini ve Avrupa Ekonomik Alanı dışına yapılan her türlü aktarımı da haritalandırın.
Veri işlemenin amaca uygun ve orantılı olup olmadığını değerlendirirsiniz. Amaca daha az veriyle veya daha az müdahaleci bir yöntemle ulaşılabiliyorsa, daha yoğun veri işleme orantılı değildir. Veri minimizasyonu (GDPR Madde 5) merkezîdir.
Olayı, kuruluşunuzdan değil, ilgili bireyin bakış açısından değerlendirin. Kimlik sahtekarlığı, ayrımcılık, itibar kaybı veya kontrol kaybı gibi durumları göz önünde bulundurun. Hem olasılığı hem de etkiyi değerlendirin ve her risk için somut bir önlem belirleyin.
Kuruluşunuzda Veri Koruma Sorumlusu (DPO) varsa, DPO belgesini hazırlarken mutlaka onun tavsiyesini almalısınız (GDPR Madde 35, paragraf 2). Bu tavsiyeyi belgeleyin ve nasıl uyguladığınızı açıklayın. DPO tavsiye verir, ancak nihai sorumluluk veri sorumlusundadır.
Bu durumda, başlamadan önce Hollanda Veri Koruma Kurumu'na danışmalısınız (GDPR Madde 36). Aldığınız önlemlerden sonra kalan risk kabul edilebilir düzeyde kalırsa, veri koruma etki değerlendirmesini başlatabilir ve güncel tutabilirsiniz.
Basit bir işlemle, iyi bir şablon kullanarak dört bölümü kendiniz tamamlayabilirsiniz. Özel veri kategorileri, profil oluşturma, Avrupa Ekonomik Alanı dışına veri transferleri veya yeni teknolojiler için, özellikle gereklilik ve orantılılık değerlendirmesi konusunda hukuki yardım alınması tavsiye edilir.
