Veri Koruma Görevlisi (VPO)

Ne yapıyoruz?

Bir kuruluş içinde, kişisel verilerin işlenmesini denetleyecek bir kişi bulunmalıdır. Bu kişiye Veri Koruma Sorumlusu (VKÖ) denir. Gizlilik ve Veri Koruma uygulama grubumuzdaki gizlilik uzmanlarımızdan biri, bir kuruluş içindeki VKÖ pozisyonunu doldurabilir. Ayrıca, kuruluş içindeki VKÖ'nün kendisinden ne beklendiğini bilmesi için hukuki danışmanlık da sağlanabilir.

Veri Koruma Sorumlusu pozisyonuyla ilgili sorularınız mı var? Lütfen bizimle iletişime geçin.

Veri Koruma Sorumlusu ne zaman zorunludur?

Kuruluşunuzun bir Veri Koruma Görevlisi (DPO) ataması gerekip gerekmediği, Genel Veri Koruma Yönetmeliği'nin (GDPR) 37. maddesinden kaynaklanmaktadır. Bir DPO, üç durumda zorunludur: (1) kamu otoritesi veya kamu kuruluşuysanız; (2) temel faaliyetleriniz, bireylerin büyük ölçekli, düzenli ve sistematik olarak gözlemlenmesinden oluşuyorsa; veya (3) temel faaliyetleriniz, özel kategorideki kişisel verilerin (sağlık, biyometrik veya suç verileri gibi) büyük ölçekli işlenmesinden oluşuyorsa. "Büyük ölçekli" ve "temel faaliyet" durumlarının olup olmadığı genellikle vaka bazında hukuki bir değerlendirmeye tabidir. Avukatlarımız ve kurum içi danışmanlarımız, uluslararası bir gruptan bir sağlık kuruluşuna veya köşedeki çevrimiçi mağazaya kadar her kuruluş için bunu ayrı ayrı değerlendirir. Atama zorunlu olmasa bile, gönüllü bir DPO atamak mantıklı olabilir; gönüllü olarak atanan bir DPO'nun aynı GDPR gerekliliklerini karşıladığından emin olun.

Veri Koruma Sorumlusunun Görevleri (GDPR Madde 39)

Veri Koruma Görevlisinin asgari görevleri GDPR'nin 39. maddesinde belirtilmiştir. Veri Koruma Görevlisi:

• Kuruluşu ve çalışanlarını GDPR ve diğer gizlilik düzenlemeleri kapsamındaki yükümlülükleri konusunda bilgilendirir ve onlara tavsiyelerde bulunur;
• GDPR'ye uyumluluğu denetler; sorumlulukların dağılımı, personel farkındalığı ve eğitimi ile denetimlerin yürütülmesini içerir;
• Talep üzerine Veri Koruma Etki Değerlendirmesi (DPIA) ve uygulanmasını denetler;
• Hollanda Veri Koruma Kurumu (AP) ile işbirliği yapar ve veri ihlalleri de dahil olmak üzere durumlarda irtibat noktası görevi görür .

Veri Koruma Sorumlusu (DPO) bir denetleyici ve danışmandır, uygulayıcı değil: uyumluluktan kişisel olarak sorumlu değildir; bu sorumluluk veri sorumlusunda kalır.

Pozisyon, imkanlar ve bağımsızlık (GDPR Madde 38)

GDPR'nin 38. maddesi, Veri Koruma Sorumlusunun (DPO) konumunu güvence altına alır. Kuruluş, kişisel verilerin korunmasıyla ilgili tüm konularda DPO'yu zamanında ve uygun bir şekilde dahil etmeli, ona yeterli kaynak ve verilere erişim sağlamalı ve görevlerini yerine getirdiği için DPO'yu işten çıkarmamalı veya cezalandırmamalıdır. DPO doğrudan üst yönetime rapor verir. Önemli bir özellik, yasal olarak güvence altına alınmış bağımsızlıktır : DPO, görevlerini yerine getirme biçimiyle ilgili hiçbir talimat almaz. DPO, çıkar çatışmasına yol açmadığı sürece başka görevler de yerine getirebilir; örneğin, işleme amaçlarına kendisi karar veren bir kişi aynı anda bağımsız bir DPO olamaz. Son olarak, DPO, görevlerini yerine getirmesiyle ilgili olarak gizlilik yükümlülüğüne tabidir

Kurum içi Veri Koruma Sorumlusu, kurum dışı Veri Koruma Sorumlusu veya Gizlilik Sorumlusu?

Veri Koruma Sorumlusu (DPO) kurum içi bir çalışan olabilir veya dışarıdan işe alınabilir; GDPR her ikisine de izin verir ve kuruluşlar ortak bir DPO'yu da paylaşabilir. Birçok KOBİ, sağlık kurumu ve eğitim kuruluşu için dışarıdan bir DPO caziptir: kalıcı bir pozisyon oluşturmak zorunda kalmadan bağımsız uzmanlık elde edersiniz. Gizlilik ve Veri Koruma uygulama grubumuzdaki (kurumsal) hukuk danışmanlarımız ve avukatlarımız, dışarıdan bir DPO olarak görev yapabilir veya kurum içi bir DPO'ya hukuki destek sağlayabilir. Gizlilik Görevlisi: Gizlilik Görevlisi gizlilik politikasını pratikte uygular (kayıtları tutar, talepleri ele alır), oysa DPO bağımsız gözetim yapar. Her iki rolü de tek bir kişide birleştirmek hızla çıkar çatışmasına yol açabilir.

Denetim birimine raporlama ve uyumsuzluk riskleri

Kuruluşunuz bir Veri Koruma Sorumlusu (DPO) atadıysa, bu kişiyi Hollanda Veri Koruma Kurumu'na kaydettirmeniz ve iletişim bilgilerini kamuya açık hale getirmeniz gerekmektedir (GDPR Madde 37, paragraf 7). DPO, zorunlu kuruluşların bir DPO'ya sahip olup olmadığını aktif olarak kontrol eder. Bir DPO atamamak veya yanlış şekilde kaydettirmek, GDPR'nin ihlalidir ve DPO bu nedenle para cezası uygulayabilir. Bu nedenle, iyi konumlandırılmış, bağımsız bir DPO sadece yasal bir yükümlülük değil, aynı zamanda sorumluluk riskinizi de sınırlandırır. Gizlilik yönetiminizi düzene sokmak için bu değerlendirmeyi bir gizlilik denetimiyle birleştirmekten memnuniyet duyarız

Yaklaşımımız: şirketlerden köşe başındaki fırıncıya kadar

MKB Juristen, avukatlar ve şirket içi hukuk danışmanlarından oluşan karma ekiplerle çalışmaktadır. Bu sayede, uluslararası bir grup için stratejik gizlilik danışmanlığı ile küçük işletme sahipleri için pratik ve uygun fiyatlı destek arasında sorunsuz bir şekilde geçiş yapabiliyoruz. Bir Veri Koruma Sorumlusuna (DPO) ihtiyacınız olup olmadığını değerlendiriyor, istenirse harici bir DPO olarak bu rolü üstleniyor, şirket içi DPO'nuzu destekliyor ve daha geniş kapsamlı gizlilik uyumluluğunuzun kurulmasına yardımcı oluyoruz. Bu sayfa, Veri İhlalleri, Veri Koruma Etki Değerlendirmeleri (DPIA) ve gizlilik denetimleri gibi ilgili konular için de başvurabileceğiniz Gizlilik ve Veri Koruma uzmanlığımızın bir parçasıdır