Veri paylaşımı, modern ticaretin can damarıdır. Yeni bir bulut sağlayıcısını sisteme dahil ediyor olun, bir pazarlama ajansıyla iş birliği yapıyor olun veya üçüncü taraf bir İK sistemini entegre ediyor olun, kişisel veriler kuruluşlar arasında sürekli olarak akar. Ancak işte rahatsız edici gerçek: çoğu işletme, Genel Veri Koruma Yönetmeliği (GDPR) kapsamında veri paylaşımının oluşturduğu yasal mayın tarlasını hafife alıyor.

Riskler gerçek. Para cezaları 20 milyon Euro'ya veya küresel yıllık cironun %4'üne kadar çıkabilir; hangisi daha yüksekse o geçerlidir. Mali cezaların ötesinde, itibar kaybı, düzenleyici inceleme ve etkilenen bireylerden gelebilecek hukuki tazminat talepleri riskiyle karşı karşıyasınız. Hollanda Veri Koruma Kurumu (Autoriteit Persoonsgegevens, veya AP) şunu açıkça belirtmiştir: Bilgisizlik bir mazeret değildir.

Bu makale, kişisel verilerin paylaşılması sırasında ortaya çıkan yedi kritik GDPR riskini ele almaktadır. Her risk, belirli GDPR hükümlerine dayanmaktadır, gerçek dünyadaki sonuçlarıyla örneklendirilmiştir ve uyumlu kalmanıza yardımcı olacak pratik rehberlikle birlikte sunulmuştur. İster Hollanda'da faaliyet gösteren bir işletme sahibi, uyumluluk görevlisi veya hukuk profesyoneli olun, bu tuzakları anlamak çok önemlidir.

1. Geçerli Bir Yasal Dayanak Olmadan Veri Paylaşımı (GDPR Madde 6)

Risk: Kişisel verileri yalnızca uygun veya faydalı olduğu için paylaşamazsınız. Veri paylaşımının her örneği, GDPR'nin 6. maddesi uyarınca geçerli bir yasal dayanağa sahip olmalıdır.

Şirketler Neden Yanlış Yapıyor: Birçok kuruluş, verileri paylaşmak için ticari bir nedenin yeterli olduğunu varsayar. Bu yeterli değildir. GDPR, veri işleme için altı yasal dayanak sunar: rıza, sözleşme gerekliliği, yasal yükümlülük, hayati çıkarlar, kamu görevi ve meşru çıkarlar. Her birinin kendine özgü gereksinimleri ve sınırlamaları vardır.

Örneğin, ortaklarla veya hizmet sağlayıcılarla veri paylaşımını haklı çıkarmak için sıklıkla "meşru menfaatler" öne sürülür. Ancak bu gerekçe dikkatli bir denge testi gerektirir: Sizin menfaatleriniz, verilerini işlediğiniz bireylerin hak ve özgürlüklerinin önüne geçmemelidir. Ve bu değerlendirmeyi belgelemelisiniz.

Hukuki Dayanak: GDPR Madde 6, yasal dayanakların kapsamlı listesini ortaya koymaktadır. GDPR Madde 5(1)(a), tüm işlemenin yasal, adil ve şeffaf olmasını zorunlu kılmaktadır.

Gerçek Dünya Sonuçları: AP, yasal dayanağı olmaksızın müşteri verilerini pazarlama amacıyla üçüncü taraflarla paylaşan kuruluşlara para cezası verdi. Veriler anonimleştirilmiş veya toplu hale getirilmiş olsa bile, yeniden tanımlama mümkünse, kişisel veri olarak kalır ve yasal bir dayanağa ihtiyaç duyar.

Pratik Çıkarım: Kişisel verileri paylaşmadan önce, hangi yasal dayanağın geçerli olduğunu belirleyin ve belgeleyin. Meşru menfaatlere dayanılıyorsa, meşru menfaat değerlendirmesi (LIA) yapın ve kaydedin. Onay kullanılıyorsa, onayın özgürce verilmiş, belirli, bilgilendirilmiş ve açık olduğundan emin olun.

2. Roller Üzerindeki Karışıklık: Denetleyiciye Karşı İşlemci (GDPR Madde 4(7)–(8))

Risk: GDPR, veri sorumluları (işlemenin amaçlarını ve yöntemlerini belirleyenler) ve veri işleyicileri (veri sorumlusu adına veri işleyenler) arasında ayrım yapar. Rolünüzü veya ortağınızın rolünü yanlış tanımlamak, ciddi uyumluluk açıkları yaratır.

Şirketler Neden Yanlış Yapıyor: Pratikte roller belirsiz olabilir. Bir SaaS sağlayıcısıyla veri paylaşıyorsanız, onlar veri denetleyicisi mi yoksa veri işleyicisi mi? Ya verilerinizi algoritmalarını geliştirmek için kullanıyorlarsa? Birçok işletme, ilişkiyi doğru şekilde analiz etmeden her satıcıyı varsayılan olarak "veri işleyicisi" olarak adlandırır.

Yanlış sınıflandırma önemlidir çünkü veri sorumluları ve veri işleyicilerinin farklı yükümlülükleri vardır. Veri sorumluları, veri işleyicilerinin yeterli uyumluluk güvencesi sağlamasını sağlamalıdır (GDPR Madde 28). Ortak veri sorumluları, kendi sorumlulukları konusunda anlaşmalıdır (GDPR Madde 26). Yanlış yaparsanız, farkında bile olmadığınız ihlallerden sorumlu tutulabilirsiniz.

Hukuki Dayanak: GDPR Madde 4(7) ve (8), “veri sorumlusu” ve “veri işleyici”yi tanımlar. GDPR Madde 24, veri sorumlusunun hesap verebilirlik yükümlülüklerini özetler.

Gerçek Dünya Sonuçları: Avrupa Adalet Divanı şu kararı verdi: Moda kimliği (C-40/17) sayılı Kanun, amaçların kısmen belirlenmesinin bile sizi ortak veri sorumlusu yapabileceğini belirtmektedir. Bu, GDPR ihlallerinden başka bir taraf sorumlu olsa bile, ortaklaşa sorumlu tutulabileceğiniz anlamına gelir.

Pratik Çıkarım: Veri akışlarını haritalandırın ve kimin karar vereceğini belirleyin. neden hem de Nasıl Veriler işlenir. Bunu yazılı olarak belgeleyin ve her tarafın kendi rolünü ve yükümlülüklerini anlamasını sağlayın.

3. Eksik veya Yetersiz Veri İşleme Sözleşmesi (GDPR Madde 28)

Risk: Kişisel verilerinizi sizin adınıza işlemek üzere bir veri işleme firmasıyla anlaşırsanız, yasal olarak yazılı bir veri işleme sözleşmesi (ÇYS) imzalamanız zorunludur. Hiçbir istisna yoktur.

Şirketler Neden Yanlış Yapıyor: Özellikle güvenilir veya uzun süredir birlikte çalıştığınız ortaklarla evrak işlerini atlamak cazip gelebilir. Ancak uyumlu bir Veri Koruma Anlaşması (DPA) olmadan, gerçek bir zarar meydana gelmese bile, ilk günden itibaren GDPR'nin 28. Maddesini ihlal etmiş olursunuz.

Uygun bir veri koruma sözleşmesi, aşağıdaki zorunlu maddeleri içermelidir: işleme konusu ve süresi, işlemenin niteliği ve amacı, kişisel veri türü, veri sahiplerinin kategorileri ve veri sorumlusunun yükümlülükleri ve hakları. Ayrıca alt işlemeyi, veri güvenliğini ve ihlal bildirimini de ele almalıdır.

Hukuki Dayanak: GDPR Madde 28(3), bir Veri Koruma Anlaşmasının zorunlu içeriğini listeler. GDPR Madde 28(4), alt işlemciler için açık yetkilendirme gerektirir.

Gerçek Dünya Sonuçları: AP, yeterli veri işleme anlaşmaları (DPA) olmadan veri işleyen kuruluşlara yaptırım uygulamıştır. Veri işleyen kuruluşun kendisi uyumlu olsa bile, veri sorumlusu uygun bir anlaşma yapmadığı için yine de para cezasına çarptırılabilir.

Pratik Çıkarım: Madde 28(3) gerekliliklerinin tamamını kapsayan standartlaştırılmış bir DPA şablonu kullanın. Mevcut anlaşmaları gözden geçirerek GDPR uyumlu olduklarından emin olun. İmzalı bir DPA olmadan yeni bir veri işleyicisini sisteme dahil etmeyin.

4. AEA Dışındaki Üçüncü Ülkelere Yasadışı Aktarım (Madde 44-49 GDPR ve Schrems II)

Risk: Kişisel verilerin Avrupa Ekonomik Alanı (AEA) dışına aktarılması büyük ölçüde kısıtlanmıştır. Bunu ancak hedef ülke yeterli düzeyde koruma sağlıyorsa veya uygun güvenlik önlemleri uyguluyorsanız yapabilirsiniz.

Şirketler Neden Yanlış Yapıyor: Birçok işletme, uluslararası veri transferi kurallarını tetiklediğinin farkında olmadan ABD veya Asya'da barındırılan bulut hizmetlerini, ödeme işlemcilerini veya analiz araçlarını kullanmaktadır. Sözleşmeniz bir AB kuruluşuyla olsa bile, veriler Avrupa Ekonomik Alanı (AEA) dışında depolanıyorsa veya erişiliyorsa, veri transferi kuralları geçerlidir.

MKS şemalar II (C-311/18 sayılı dava) kararı, AB-ABD Gizlilik Kalkanı'nı geçersiz kılmış ve standart sözleşme maddelerinin (SCC'ler) tek başına yeterli olmadığını teyit etmiştir. Hedef ülkenin yasalarının SCC'ler tarafından garanti edilen korumayı zayıflatıp zayıflatmadığını değerlendirmek için bir transfer etki değerlendirmesi (TIA) de yapmanız gerekmektedir.

Hukuki Dayanak: GDPR'nin 44-49. maddeleri uluslararası veri transferlerini düzenler. GDPR'nin V. Bölümü, yeterlilik kararları (Madde 45) veya uygun güvenceler (Madde 46), örneğin Standart Sözleşme Maddeleri (SCC'ler) gerektirir.

Gerçek Dünya Sonuçları: Yeterli güvenlik önlemleri alınmadığı takdirde, AP (ABD İdari Ofisi) üçüncü ülkelere veri aktarımını askıya almanızı veya yasaklamanızı emredebilir. Şirketler, TIA (Veri Aktarımı Etki Değerlendirmesi) yapmadan ABD'ye veri aktardıkları için yaptırımlarla ve itibar kaybıyla karşı karşıya kalmıştır.şemalar II.

Pratik Çıkarım: Veri akışlarınızdaki tüm üçüncü ülke transferlerini belirleyin. Yeterlilik kararının olup olmadığını kontrol edin. Yoksa, Standart Sözleşme Maddelerini (SCC) uygulayın ve bir Veri Etki Değerlendirmesi (TIA) gerçekleştirin. Gerekirse ek önlemleri belgeleyin (örneğin, şifreleme, takma adlandırma).

5. Veri Koruma Etki Değerlendirmesi Yapılmaması (GDPR Madde 35)

Risk: Veri paylaşımının bireylerin hak ve özgürlükleri için yüksek risk oluşturması muhtemel olduğunda Veri Koruma Etki Değerlendirmesi (DPIA) zorunludur. Bu, özel veri kategorilerinin büyük ölçekli işlenmesini, sistematik izlemeyi veya yeni teknolojilerin kullanımını içerir.

Şirketler Neden Yanlış Yapıyor: Birçok kuruluş, veri gizliliği etki değerlendirmelerini (DPIA) isteğe bağlı veya yalnızca "büyük" projeler için geçerli olarak görür. Gerçekte, sağlık verilerinin üçüncü taraf bir analiz platformuyla paylaşılması, yapay zeka destekli profil oluşturma araçlarının kullanılması veya birden fazla kaynaktan gelen veri kümelerinin birleştirilmesi, DPIA gerekliliğini tetikleyebilir.

Veri Koruma Etki Değerlendirmesi (DPIA) sadece formaliteleri yerine getirmekten ibaret değildir. Riskleri belirlemek, ciddiyetlerini değerlendirmek ve bunları azaltmak için önlemler belirlemek üzere yapılandırılmış bir süreçtir. Kalan riskler yüksekse, devam etmeden önce ilgili yetkili merciye danışmalısınız.

Hukuki Dayanak: GDPR'nin 35. maddesi, yüksek riskli veri işleme için veri gizliliği etki değerlendirmesini (DPIA) zorunlu kılmaktadır. AP, DPIA'nın ne zaman gerekli olduğuna dair kılavuzlar yayınlamıştır.

Gerçek Dünya Sonuçları: Gerekli olduğu halde Veri Koruma Etki Değerlendirmesi (DPIA) yapılmaması, başlı başına bir GDPR ihlalidir. AP, veri ihlali gerçekleşmemiş olsa bile, DPIA tamamlanmadan yüksek riskli veri paylaşımına devam eden kuruluşlara para cezası vermiştir.

Pratik Çıkarım: Veri paylaşım faaliyetlerinin tümünü DPIA tetikleyicileri açısından inceleyin. Şüphe duyduğunuzda, bir DPIA gerçekleştirin. Veri Koruma Sorumlunuzu (DPO) sürece dahil edin ve değerlendirme sürecini ayrıntılı olarak belgeleyin.

6. Veri Sahiplerine Yetersiz Bilgi Verilmesi (GDPR Madde 13 ve 14)

Risk: Şeffaflık, GDPR'ın temel taşlarından biridir. Kişisel verileri toplarken veya paylaşırken, veri sahiplerini verilerinin kimlere, hangi amaçla ve hangi yasal dayanakla iletileceği konusunda bilgilendirmeniz gerekir.

Şirketler Neden Yanlış Yapıyor: Gizlilik bildirimleri genellikle belirsiz veya güncelliğini yitirmiş oluyor. "Verilerinizi güvenilir ortaklarla paylaşabiliriz" gibi ifadeler yeterli değil. Alıcı kategorilerini (örneğin, "bulut barındırma sağlayıcıları", "pazarlama ajansları") belirtmeli ve ilgili durumlarda isimlerini de vermelisiniz.

Veriler dolaylı yoldan elde edildiğinde (örneğin, bir veri aracısından veya başka bir veri sorumlusundan), GDPR'nin 14. maddesi, verinin kaynağı da dahil olmak üzere ek bilgi yükümlülükleri getirir.

Hukuki Dayanak: GDPR'nin 13 ve 14. maddeleri, veri sahiplerine sağlanması gereken bilgileri listeler. GDPR'nin 5(1)(a) maddesi, tüm işleme faaliyetlerinde şeffaflık gerektirir.

Gerçek Dünya Sonuçları: AP, bireylerin verilerinin üçüncü taraflarla paylaşıldığı konusunda bilgilendirme yapmayan şirketlere yaptırım uyguladı. Paylaşımın kendisi yasal olsa bile, yetersiz şeffaflık başlı başına bir ihlaldir.

Pratik Çıkarım: Veri paylaşım uygulamalarını net bir şekilde açıklamak için gizlilik bildirimlerinizi gözden geçirin ve güncelleyin. Bildirimlerin kolayca erişilebilir ve sade bir dille yazılmış olduğundan emin olun. Yeni ortaklarla veri paylaşırken, paylaşım başlamadan önce bildirimlerinizi güncelleyin.

7. Takma Ad Kullanımı Yanlış Bir Güvenlik Hissi Yaratıyor

Risk: Doğrudan tanımlayıcıların kodlar veya belirteçlerle değiştirilmesi anlamına gelen takma adlandırma, GDPR kapsamında bir güvenlik önlemi olarak teşvik edilmektedir. Ancak bu, verileri anonim hale getirmez. Veriler hala bir bireye bağlanabiliyorsa, kişisel veri olarak kalır ve GDPR'nin tüm kapsamına tabidir.

Şirketler Neden Yanlış Yapıyor: İşletmeler genellikle takma adla gizlenmiş verilerin kısıtlama olmaksızın paylaşılmasının "güvenli" olduğunu varsayarlar. Uygulamada, takma adla gizleme yalnızca riski azaltır; ortadan kaldırmaz. Anahtara veya yeniden tanımlamayı sağlayan diğer veri kümelerine erişimi olan bir ortakla takma adla gizlenmiş verileri paylaşırsanız, yine de kişisel verileri işliyorsunuz demektir.

Hukuki Dayanak: GDPR Madde 4(5) takma adlandırmayı tanımlar. GDPR'nin 26. maddesi, takma adlandırılmış verilerin, gerçekten anonimleştirilmediği sürece (yani, herhangi bir makul yolla yeniden tanımlama artık mümkün olmadığı sürece) kişisel veri olarak kaldığını açıklığa kavuşturur.

Gerçek Dünya Sonuçları: AP, kılavuzunda takma isim kullanmanın "cezadan kurtulma" kartı olmadığını açıklığa kavuşturmuştur. Yeniden kimlik tespiti mümkünse, yasal dayanağa sahip olmak, veri gizliliği etki değerlendirmeleri yapmak ve yeterli güvenliği sağlamak da dahil olmak üzere tüm GDPR yükümlülükleri geçerlidir.

Pratik Çıkarım: Uzmanlar tarafından onaylanmış titiz bir anonimleştirme sürecinden geçmediğiniz sürece, takma adla gizlenmiş verileri kişisel veri olarak değerlendirin. Yeniden tanımlamayı önlemek için uygulanan teknik ve organizasyonel önlemleri belgeleyin.

Sıkça Sorulan Sorular

GDPR kapsamında veri paylaşımına ne zaman izin verilir?

Veri paylaşımı, GDPR Madde 6 uyarınca geçerli bir yasal dayanağa sahip olmanız durumunda yasaldır. Altı yasal dayanak şunlardır: rıza, sözleşme gerekliliği, yasal yükümlülük, hayati çıkarlar, kamu görevi ve meşru çıkarlar. Ayrıca, yasallık, adalet, şeffaflık, amaç sınırlaması, veri minimizasyonu, doğruluk, depolama sınırlaması, bütünlük ve gizlilik ilkelerine de uymanız gerekir (GDPR Madde 5). Uygulamada bu, verileri neden paylaştığınızı açıkça belgelemek, amacın verileri ilk toplama amacınızla uyumlu olmasını sağlamak ve veri sahiplerini paylaşım hakkında bilgilendirmek anlamına gelir.

Kontrolcü ile işlemci arasındaki fark nedir?

A kontrolör Kişisel verilerin işlenmesinin amaçlarını ve yöntemlerini belirler. A işlemci Veri işleyici, veri sorumlusunun belirli talimatları doğrultusunda verileri işler. Bu ayrım önemlidir çünkü veri sorumluları öncelikle GDPR uyumluluğundan sorumluyken, veri işleyicilerin yükümlülükleri daha sınırlıdır (esas olarak güvenlik ve gizliliğin sağlanması). Örneğin, bir bordro sağlayıcısı veya bulut depolama hizmeti gibi, talimatlarınız doğrultusunda verileri işleyen bir tedarikçiyle veri paylaşıyorsanız, bunlar genellikle bir veri işleyicidir. Verileri kendi amaçları için nasıl kullanacaklarına da karar veriyorlarsa, (ortak) bir veri sorumlusu olabilirler. Rollerin yanlış tanımlanması, hesap verebilirlik ve ihlallerden kaynaklanan ortak sorumlulukta boşluklara yol açabilir.

Veri işleme sözleşmesi (ÇYS) ne zaman zorunludur?

Kişisel verilerinizi sizin adınıza işlemek üzere bir veri işleyicisiyle anlaştığınızda, Veri İşleme Sözleşmesi (DPA) zorunludur (GDPR Madde 28). Bu, kuruluşunuzun büyüklüğünden veya ilgili veri hacminden bağımsız olarak geçerlidir. DPA yazılı olmalı ve işleme konusu ve süresi, niteliği ve amacı, veri türleri ve veri sahibi kategorileri ile güvenlik, ihlal bildirimi ve alt işlemeye ilişkin her iki tarafın yükümlülükleri gibi belirli zorunlu maddeleri içermelidir. Uygun bir DPA olmadan, veri işleyicisi işlemeye başladığı andan itibaren, herhangi bir zarar meydana gelmese bile, ihlalde bulunmuş olursunuz.

Müşteri verilerini AB dışındaki bir tarafla paylaşabilir miyim?

Evet, ancak yalnızca katı koşullar karşılanırsa. GDPR'nin 44-49. maddeleri uyarınca, verileri üçüncü bir ülkeye şu durumlarda aktarabilirsiniz: (a) Avrupa Komisyonu o ülke için yeterlilik kararı vermişse veya (b) standart sözleşme maddeleri (SCC'ler) gibi uygun güvenceler sağlamışsanız. şemalar II Kararınızın ardından, hedef ülkenin yasalarının (örneğin, hükümet gözetimi) Standart Sözleşme Maddeleri (SCC'ler) tarafından garanti edilen korumayı zayıflatıp zayıflatmadığını değerlendirmek için bir transfer etki değerlendirmesi (TIA) de yapmalısınız. Riskler devam ederse, şifreleme veya veri minimizasyonu gibi ek önlemler uygulamalısınız. Yeterli güvenceler olmadan yapılan transferler, transferin askıya alınması da dahil olmak üzere, yetkili merci tarafından yaptırım uygulanmasına yol açabilir.

Veri paylaşımı için ne zaman Veri Koruma Etki Değerlendirmesi (DPIA) gereklidir?

Veri işleme, bireylerin hak ve özgürlükleri için yüksek risk oluşturma olasılığı olduğunda, GDPR Madde 35 uyarınca Veri Koruma Etki Değerlendirmesi (DPIA) zorunludur. Bu durumlar şunları içerir: özel veri kategorilerinin (örneğin, sağlık, biyometrik, genetik veriler) büyük ölçekli işlenmesi, kamuya açık alanların sistematik olarak izlenmesi, yasal veya benzeri önemli etkileri olan otomatik karar verme ve yeni teknolojilerin kullanımı. Veri paylaşımında, veri kümelerini birleştiriyorsanız, hassas bilgileri paylaşıyorsanız veya verileri profil oluşturma veya yapay zeka destekli analizler için kullanıyorsanız, genellikle bir DPIA gereklidir. AP, DPIA gerektiren işleme operasyonlarının bir listesini yayınlamıştır. Şüpheniz varsa, bir DPIA yaptırın; tedbirli olmak her zaman daha iyidir.

Şirketler GDPR'ı ihlal etmeleri durumunda ne gibi para cezalarıyla karşı karşıya kalabilirler?

GDPR, iki kademeli para cezası öngörüyor. Daha düşük kademe (10 milyon Euro'ya veya küresel yıllık cironun %2'sine kadar), uygun güvenlik önlemlerinin alınmaması veya gerektiğinde Veri Koruma Etki Değerlendirmesi (DPIA) yapılmaması gibi ihlaller için geçerlidir. Daha yüksek kademe (20 milyon Euro'ya veya küresel yıllık cironun %4'üne kadar), işleme için yasal bir dayanağın olmaması, yasa dışı uluslararası transferler veya veri sahiplerinin haklarının ihlali gibi daha ciddi ihlaller için geçerlidir. AP, para cezasının miktarını, ihlalin niteliği ve ciddiyeti, kasıtlı mı yoksa ihmalkar mı olduğu, etkilenen kişi sayısı ve alınan hafifletici önlemler gibi faktörlere dayanarak belirler. Son dönemdeki uygulamalar, AP'nin özellikle sistemik veya kasıtlı ihlaller için önemli miktarda para cezası uygulamaya istekli olduğunu göstermektedir.

Takma adla gizlenmiş verileri paylaşmak her zaman güvenli midir?

Hayır. Takma adlandırma riski azaltır ancak ortadan kaldırmaz. GDPR Madde 4(5) uyarınca, takma adlandırma, doğrudan tanımlayıcıların (isimler gibi) kodlar veya takma adlarla değiştirilmesi anlamına gelir. Bununla birlikte, veriler hala bir bireye geri bağlanabiliyorsa—örneğin, sizin veya alıcının elinde bulunan ek bilgiler kullanılarak—bu veriler kişisel veri olarak kalır ve GDPR'ye tamamen tabidir. Bu, hala yasal bir dayanağa ihtiyacınız olduğu, veri sahiplerini bilgilendirmeniz ve yeterli güvenliği sağlamanız gerektiği anlamına gelir. Yalnızca gerçek anonimleştirme—yeniden tanımlamanın artık herhangi bir makul yolla mümkün olmadığı durum—verileri GDPR kapsamından çıkarır. Uygulamada, gerçek anonimleştirmeyi sağlamak zordur ve uzman onayı gerektirir.

Yasa dışı veri paylaşımı nedeniyle işletmemde veri ihlali meydana gelirse ne yapmalıyım?

Yasa dışı veri paylaşımından kaynaklananlar da dahil olmak üzere, kişisel verilerinizin ihlal edildiğini keşfederseniz, yapmanız gerekenler şunlardır: En fazla 72 saat içerisinde size döneceğiz. GDPR Madde 33 uyarınca yetkili mercilere bildirimde bulunmanız gerekmektedir (ihlal, bireylerin hak ve özgürlükleri için risk oluşturma olasılığı düşük olmadığı sürece). İhlalin bireyler için yüksek risk oluşturma olasılığı varsa, etkilenen bireyleri de gecikmeksizin bilgilendirmeniz gerekmektedir (GDPR Madde 34). Acil adımlar şunlardır: ihlali kontrol altına almak, kapsamını ve etkisini değerlendirmek, olanları ve bununla ilgili neler yaptığınızı belgelemek ve yetkili mercilere çevrimiçi portalları aracılığıyla bildirimde bulunmak. Bildirimde bulunmama ayrı bir para cezasına neden olabilir. Yetkili merciler, ihlalin ciddiyetine ve sizin yanıtınıza bağlı olarak yaptırım uygulanmasının gerekip gerekmediğini değerlendirecektir.

İşletmenizi Koruyun—Uzman Hukuk Danışmanlığı Alın

Veri paylaşımı kaçınılmazdır, ancak GDPR ihlalleri olmak zorunda değildir. Yukarıda özetlenen yedi risk teorik değildir; gerçek uygulama davalarından, mahkeme kararlarından ve düzenleyici kılavuzlardan alınmıştır. Bunların her biri para cezalarına, tazminat taleplerine ve itibar kaybına yol açabilir.

İyi haber şu ki, doğru yasal çerçeve, net dokümantasyon ve proaktif uyumluluk önlemleriyle verilerinizi güvenle ve yasal olarak paylaşabilirsiniz. Ancak bunu doğru yapmak, genel tavsiyelerden daha fazlasını gerektirir; işletmenizi, veri akışlarınızı ve karşı karşıya olduğunuz özel riskleri anlayan, size özel hazırlanmış hukuki desteğe ihtiyaç duyar.

AP'nin kapınızı çalmasını beklemeyin. Veri paylaşım uygulamalarınızın GDPR uyumlu olup olmadığından emin değilseniz veya Veri Koruma Anlaşmaları (DPA) taslağı hazırlama, Veri Koruma Etki Değerlendirmeleri (DPIA) yapma veya uluslararası veri transferlerini yönetme konusunda yardıma ihtiyacınız varsa, uzman bir gizlilik avukatıyla iletişime geçin. İşletmeniz ve müşterileriniz bundan daha azını hak etmiyor.