Veri paylaşımı, modern ticaretin can damarıdır. Yeni bir bulut sağlayıcısını sisteme dahil ediyor olun, bir pazarlama ajansıyla iş birliği yapıyor olun veya üçüncü taraf bir İK sistemini entegre ediyor olun, kişisel veriler kuruluşlar arasında sürekli olarak akar. Ancak işte rahatsız edici gerçek: çoğu işletme, Genel Veri Koruma Yönetmeliği (GDPR) kapsamında veri paylaşımının oluşturduğu yasal mayın tarlasını hafife alıyor.
Riskler gerçek. Para cezaları 20 milyon Euro'ya veya küresel yıllık cironun %4'üne kadar çıkabilir; hangisi daha yüksekse o geçerlidir. Mali cezaların ötesinde, itibar kaybı, düzenleyici inceleme ve etkilenen bireylerden gelebilecek hukuki tazminat talepleri riskiyle karşı karşıyasınız. Hollanda Veri Koruma Kurumu (Autoriteit Persoonsgegevens, veya AP) şunu açıkça belirtmiştir: Bilgisizlik bir mazeret değildir.
Bu makale, kişisel verilerin paylaşılması sırasında ortaya çıkan yedi kritik GDPR riskini ele almaktadır. Her risk, belirli GDPR hükümlerine dayanmaktadır, gerçek dünyadaki sonuçlarıyla örneklendirilmiştir ve uyumlu kalmanıza yardımcı olacak pratik rehberlikle birlikte sunulmuştur. İster Hollanda'da faaliyet gösteren bir işletme sahibi, uyumluluk görevlisi veya hukuk profesyoneli olun, bu tuzakları anlamak çok önemlidir.
1. Geçerli Bir Yasal Dayanak Olmadan Veri Paylaşımı (GDPR Madde 6)
Risk: Kişisel verileri sadece uygun veya faydalı olduğu için paylaşamazsınız. Veri paylaşımının her örneği, GDPR'nin 6. maddesi uyarınca geçerli bir yasal dayanağa ihtiyaç duyar.
Şirketlerin Neden Yanlış Yaptığı: Birçok kuruluş, verileri paylaşmak için ticari bir nedenin yeterli olduğunu varsayar. Bu yeterli değildir. GDPR, veri işleme için altı yasal dayanak sunar: rıza, sözleşme gerekliliği, yasal yükümlülük, hayati çıkarlar, kamu görevi ve meşru çıkarlar. Her birinin kendine özgü gereksinimleri ve sınırlamaları vardır.
Örneğin, ortaklarla veya hizmet sağlayıcılarla veri paylaşımını haklı çıkarmak için sıklıkla "meşru menfaatler" öne sürülür. Ancak bu gerekçe dikkatli bir denge testi gerektirir: Sizin menfaatleriniz, verilerini işlediğiniz bireylerin hak ve özgürlüklerinin önüne geçmemelidir. Ve bu değerlendirmeyi belgelemelisiniz.
Yasal Dayanak: GDPR Madde 6, yasal dayanakların kapsamlı listesini ortaya koymaktadır. GDPR Madde 5(1)(a), tüm işlemenin yasal, adil ve şeffaf olmasını zorunlu kılmaktadır.
Gerçek Dünyadaki Sonuç: AP (Association of Public Information), yasal dayanağı olmaksızın müşteri verilerini pazarlama amacıyla üçüncü taraflarla paylaşan kuruluşlara para cezası verdi. Veriler anonimleştirilmiş veya toplu hale getirilmiş olsa bile, yeniden tanımlama mümkünse, kişisel veri olarak kalır ve yasal bir dayanağa ihtiyaç duyar.
Pratik Öneri: Herhangi bir kişisel veriyi paylaşmadan önce, hangi yasal dayanağın geçerli olduğunu belirleyin ve belgeleyin. Meşru menfaatlere dayanılıyorsa, meşru menfaat değerlendirmesi (LIA) yapın ve kaydedin. Onay kullanılıyorsa, bunun özgürce verilmiş, belirli, bilgilendirilmiş ve açık olduğundan emin olun.
2. Roller Üzerindeki Karışıklık: Denetleyiciye Karşı İşlemci (GDPR Madde 4(7)–(8))
Risk: GDPR, veri sorumluları (işlemenin amaçlarını ve yöntemlerini belirleyenler) ve veri işleyicileri (veri sorumlusu adına veri işleyenler) arasında ayrım yapar. Rolünüzü veya ortağınızın rolünü yanlış tanımlamak, ciddi uyumluluk açıkları yaratır.
Şirketler Neden Yanlış Anlıyor: Uygulamada roller belirsiz olabilir. Bir SaaS sağlayıcısıyla veri paylaşıyorsanız, onlar veri denetleyicisi mi yoksa veri işleyicisi mi? Ya verilerinizi algoritmalarını geliştirmek için kullanıyorlarsa? Birçok işletme, ilişkiyi doğru şekilde analiz etmeden her satıcıyı varsayılan olarak "veri işleyicisi" olarak adlandırır.
Yanlış sınıflandırma önemlidir çünkü veri sorumluları ve veri işleyicilerinin farklı yükümlülükleri vardır. Veri sorumluları, veri işleyicilerinin yeterli uyumluluk güvencesi sağlamasını sağlamalıdır (GDPR Madde 28). Ortak veri sorumluları, kendi sorumlulukları konusunda anlaşmalıdır (GDPR Madde 26). Yanlış yaparsanız, farkında bile olmadığınız ihlallerden sorumlu tutulabilirsiniz.
Hukuki Dayanak: GDPR Madde 4(7) ve (8) “veri sorumlusu” ve “veri işleyici”yi tanımlar. GDPR Madde 24, veri sorumlusunun hesap verebilirlik yükümlülüklerini özetler.
Gerçek Dünyadaki Sonuç: Avrupa Adalet Divanı, Fashion ID (C-40/17) davasında, amaçların kısmen belirlenmesinin bile sizi ortak veri sorumlusu yapabileceğine hükmetmiştir. Bu, GDPR ihlallerinden, ihlale başka bir taraf neden olmuş olsa bile, ortaklaşa sorumlu tutulabileceğiniz anlamına gelir.
Pratik Öneri: Veri akışlarını haritalandırın ve verilerin neden ve nasıl işleneceğine kimin karar verdiğini belirleyin. Bunu yazılı olarak belgeleyin ve her tarafın rolünü ve yükümlülüklerini anladığından emin olun.
3. Eksik veya Yetersiz Veri İşleme Sözleşmesi (GDPR Madde 28)
Risk: Kişisel verilerinizi sizin adınıza işlemek üzere bir veri işleyiciyle anlaşırsanız, yasal olarak yazılı bir veri işleme sözleşmesi (VPA) imzalamanız gerekmektedir. İstisna yoktur.
Şirketler Neden Yanlış Yapıyor: Özellikle güvenilir veya uzun süredir birlikte çalıştığınız ortaklarla evrak işlerini atlamak cazip gelebilir. Ancak uyumlu bir Veri Koruma Anlaşması (DPA) olmadan, gerçek bir zarar olmasa bile, ilk günden itibaren GDPR'nin 28. Maddesini ihlal etmiş olursunuz.
Uygun bir veri koruma sözleşmesi, aşağıdaki zorunlu maddeleri içermelidir: işleme konusu ve süresi, işlemenin niteliği ve amacı, kişisel veri türü, veri sahiplerinin kategorileri ve veri sorumlusunun yükümlülükleri ve hakları. Ayrıca alt işlemeyi, veri güvenliğini ve ihlal bildirimini de ele almalıdır.
Yasal Dayanak: GDPR Madde 28(3), bir Veri Koruma Anlaşmasının zorunlu içeriğini listeler. GDPR Madde 28(4), alt işlemciler için açık yetkilendirme gerektirir.
Gerçek Dünyadaki Sonuç: AP, yeterli Veri Koruma Anlaşması (DPA) olmadan veri işleyicilerle çalışan kuruluşlara yaptırım uygulamıştır. Veri işleyicinin kendisi uyumlu olsa bile, veri sorumlusu uygun bir anlaşma yapmadığı için yine de para cezasına çarptırılabilir.
Pratik Öneri: Tüm Madde 28(3) gerekliliklerini kapsayan standartlaştırılmış bir Veri Koruma Anlaşması şablonu kullanın. Mevcut anlaşmaları GDPR uyumlu olduklarından emin olmak için gözden geçirin. İmzalı bir Veri Koruma Anlaşması olmadan yeni bir veri işleyicisini sisteme dahil etmeyin.
4. AEA Dışındaki Üçüncü Ülkelere Yasadışı Aktarım (Madde 44-49 GDPR ve Schrems II)
Risk: Kişisel verilerin Avrupa Ekonomik Alanı (AEA) dışına aktarılması büyük ölçüde kısıtlanmıştır. Bunu ancak hedef ülke yeterli düzeyde koruma sağlıyorsa veya uygun güvenlik önlemleri uyguluyorsanız yapabilirsiniz.
Şirketlerin Neden Yanlış Yaptığı: Birçok işletme, uluslararası veri transferi kurallarını tetiklediğinin farkında olmadan ABD veya Asya'da barındırılan bulut hizmetlerini, ödeme işlemcilerini veya analiz araçlarını kullanıyor. Sözleşmeniz bir AB kuruluşuyla olsa bile, veriler AEA dışında depolanıyorsa veya erişiliyorsa, veri transferi kuralları geçerlidir.
Schrems II kararı (Dava C-311/18), AB-ABD Gizlilik Kalkanı'nı geçersiz kılmış ve standart sözleşme maddelerinin (SCC'ler) tek başına yeterli olmadığını teyit etmiştir. Hedef ülkenin yasalarının SCC'ler tarafından garanti edilen korumayı zayıflatıp zayıflatmadığını değerlendirmek için bir transfer etki değerlendirmesi (TIA) de yapmanız gerekmektedir.
Hukuki Dayanak: GDPR'nin 44-49. maddeleri uluslararası veri transferlerini düzenler. GDPR'nin V. Bölümü, yeterlilik kararları (Madde 45) veya uygun güvenceler (Madde 46), örneğin Standart Sözleşme Maddeleri (SCC'ler) gerektirir.
Gerçek Dünyadaki Sonuç: Yeterli güvenlik önlemleri alınmadığı takdirde, AP (ABD İdari Ofisi) üçüncü ülkelere veri aktarımını askıya almanızı veya yasaklamanızı emredebilir. Şirketler, Schrems II sonrası TIA (Veri Aktarımı Etki Değerlendirmesi) yapmadan ABD'ye veri aktardıkları için yaptırımlarla ve itibar kaybıyla karşı karşıya kaldılar.
Pratik Öneri: Veri akışlarınızdaki tüm üçüncü ülke transferlerini belirleyin. Yeterlilik kararı olup olmadığını kontrol edin. Yoksa, Standart Sözleşme Maddelerini (SCC) uygulayın ve bir Veri Etki Değerlendirmesi (TIA) gerçekleştirin. Gerekirse ek önlemleri belgeleyin (örneğin, şifreleme, takma adlandırma).
5. Veri Koruma Etki Değerlendirmesi Yapılmaması (GDPR Madde 35)
Risk: Veri paylaşımının bireylerin hak ve özgürlükleri için yüksek risk oluşturması muhtemel olduğunda Veri Koruma Etki Değerlendirmesi (DPIA) zorunludur. Bu, özel veri kategorilerinin büyük ölçekli işlenmesini, sistematik izlemeyi veya yeni teknolojilerin kullanımını içerir.
Şirketlerin Neden Yanlış Yaptığı: Birçok kuruluş, Veri Gizliliği Etki Değerlendirmesini (DPIA) isteğe bağlı veya yalnızca "büyük" projeler için geçerli olarak görüyor. Gerçekte, sağlık verilerini üçüncü taraf bir analiz platformuyla paylaşmak, yapay zeka destekli profil oluşturma araçları kullanmak veya birden fazla kaynaktan gelen veri kümelerini birleştirmek, DPIA gerekliliğini tetikleyebilir.
Veri Koruma Etki Değerlendirmesi (DPIA) sadece formaliteleri yerine getirmekten ibaret değildir. Riskleri belirlemek, ciddiyetlerini değerlendirmek ve bunları azaltmak için önlemler belirlemek üzere yapılandırılmış bir süreçtir. Kalan riskler yüksekse, devam etmeden önce ilgili yetkili merciye danışmalısınız.
Yasal Dayanak: GDPR'nin 35. maddesi, yüksek riskli veri işleme için veri gizliliği etki değerlendirmesini (DPIA) zorunlu kılmaktadır. AP, DPIA'nın ne zaman gerekli olduğuna dair kılavuzlar yayınlamıştır.
Gerçek Dünyadaki Sonuç: Gerekli olduğu halde Veri Koruma Etki Değerlendirmesi (DPIA) yapılmaması, başlı başına bir GDPR ihlalidir. AP, veri ihlali gerçekleşmemiş olsa bile, DPIA tamamlanmadan yüksek riskli veri paylaşımına devam eden kuruluşlara para cezası vermiştir.
Pratik Öneri: Tüm veri paylaşım faaliyetlerini Veri Koruma Etki Değerlendirmesi (DPIA) tetikleyicileri açısından inceleyin. Şüphe duyduğunuzda, bir DPIA gerçekleştirin. Veri Koruma Sorumlunuzu (DPO) sürece dahil edin ve değerlendirme sürecini ayrıntılı olarak belgeleyin.
6. Veri Sahiplerine Yetersiz Bilgi Verilmesi (GDPR Madde 13 ve 14)
Risk: Şeffaflık, GDPR'nin temel taşlarından biridir. Kişisel verileri topladığınız veya paylaştığınız her durumda, veri sahiplerini verilerinin kimlere, hangi amaçla ve hangi yasal dayanakla iletileceği konusunda bilgilendirmeniz gerekir.
Şirketlerin Neden Yanlış Yaptığı: Gizlilik bildirimleri genellikle belirsiz veya güncelliğini yitirmiş oluyor. "Verilerinizi güvenilir ortaklarla paylaşabiliriz" gibi ifadeler yeterli değil. Alıcı kategorilerini (örneğin, "bulut barındırma sağlayıcıları", "pazarlama ajansları") belirtmeli ve ilgili durumlarda isimlerini de vermelisiniz.
Veriler dolaylı yoldan elde edildiğinde (örneğin, bir veri aracısından veya başka bir veri sorumlusundan), GDPR'nin 14. maddesi, verinin kaynağı da dahil olmak üzere ek bilgi yükümlülükleri getirir.
Yasal Dayanak: GDPR'nin 13 ve 14. maddeleri, veri sahiplerine sağlanması gereken bilgileri listeler. GDPR'nin 5(1)(a) maddesi, tüm işleme faaliyetlerinde şeffaflık gerektirir.
Gerçek Dünyadaki Sonuç: AP, bireylerin verilerinin üçüncü taraflarla paylaşıldığı konusunda bilgilendirme yapmayan şirketlere yaptırım uyguladı. Paylaşımın kendisi yasal olsa bile, yetersiz şeffaflık başlı başına bir ihlaldir.
Pratik Öneri: Veri paylaşım uygulamalarını açıkça tanımlayacak şekilde gizlilik bildirimlerinizi gözden geçirin ve güncelleyin. Bildirimlerin kolayca erişilebilir ve sade bir dille yazılmış olduğundan emin olun. Yeni ortaklarla veri paylaşırken, paylaşım başlamadan önce bildirimlerinizi güncelleyin.
7. Takma Ad Kullanımı Yanlış Bir Güvenlik Hissi Yaratıyor
Risk: Doğrudan tanımlayıcıların kodlar veya belirteçlerle değiştirilmesi anlamına gelen takma adlandırma, GDPR kapsamında bir güvenlik önlemi olarak teşvik edilmektedir. Ancak bu, verileri anonim hale getirmez. Veriler hala bir bireye geri bağlanabiliyorsa, kişisel veri olarak kalır ve GDPR'nin tüm kapsamına tabidir.
Şirketler Neden Yanlış Anlıyor: İşletmeler genellikle takma adla gizlenmiş verilerin kısıtlama olmaksızın paylaşılmasının "güvenli" olduğunu varsayarlar. Uygulamada, takma adla gizleme yalnızca riski azaltır; ortadan kaldırmaz. Anahtara veya yeniden tanımlamayı sağlayan diğer veri kümelerine erişimi olan bir ortakla takma adla gizlenmiş verileri paylaşırsanız, yine de kişisel verileri işliyorsunuz demektir.
Yasal Dayanak: GDPR Madde 4(5) takma adlandırmayı tanımlar. GDPR'nin 26. maddesi, takma adlandırılmış verilerin, gerçekten anonimleştirilmediği sürece (yani, herhangi bir makul yolla yeniden tanımlama artık mümkün olmadığı sürece) kişisel veri olarak kaldığını açıklığa kavuşturur.
Gerçek Dünya Sonucu: AP, kılavuzunda takma isim kullanmanın "cezadan kurtulma" kartı olmadığını açıklığa kavuşturmuştur. Yeniden kimlik tespiti mümkünse, yasal dayanağa sahip olmak, veri gizliliği etki değerlendirmeleri yapmak ve yeterli güvenliği sağlamak da dahil olmak üzere tüm GDPR yükümlülükleri geçerlidir.
Pratik Öneri: Uzmanlar tarafından onaylanmış titiz bir anonimleştirme sürecinden geçmediğiniz sürece, takma adla gizlenmiş verileri kişisel veri olarak değerlendirin. Yeniden tanımlamayı önlemek için uygulanan teknik ve organizasyonel önlemleri belgeleyin.
Sıkça Sorulan Sorular
GDPR kapsamında veri paylaşımına ne zaman izin verilir?
Veri paylaşımı, GDPR Madde 6 uyarınca geçerli bir yasal dayanağa sahip olmanız durumunda yasaldır. Altı yasal dayanak şunlardır: rıza, sözleşme gerekliliği, yasal yükümlülük, hayati çıkarlar, kamu görevi ve meşru çıkarlar. Ayrıca, yasallık, adalet, şeffaflık, amaç sınırlaması, veri minimizasyonu, doğruluk, depolama sınırlaması, bütünlük ve gizlilik ilkelerine de uymanız gerekir (GDPR Madde 5). Uygulamada bu, verileri neden paylaştığınızı açıkça belgelemek, amacın verileri ilk toplama amacınızla uyumlu olmasını sağlamak ve veri sahiplerini paylaşım hakkında bilgilendirmek anlamına gelir.
Kontrolcü ile işlemci arasındaki fark nedir?
Veri sorumlusu, kişisel verilerin işlenmesinin amaçlarını ve yöntemlerini belirler. Veri işleyicisi ise veri sorumlusunun belirli talimatları doğrultusunda verileri işler. Bu ayrım önemlidir çünkü veri sorumluları öncelikle GDPR uyumluluğundan sorumluyken, veri işleyicilerinin yükümlülükleri daha sınırlıdır (esas olarak güvenlik ve gizliliğin sağlanması). Örneğin, bir maaş bordrosu sağlayıcısı veya bulut depolama hizmeti gibi, talimatlarınız doğrultusunda verileri işleyen bir tedarikçiyle veri paylaşıyorsanız, bunlar genellikle bir veri işleyicisidir. Verileri kendi amaçları için nasıl kullanacaklarına da karar veriyorlarsa, (ortak) veri sorumlusu olabilirler. Rollerin yanlış tanımlanması, hesap verebilirlik ve ihlallerden kaynaklanan ortak sorumlulukta boşluklara yol açabilir.
Veri işleme sözleşmesi (ÇYS) ne zaman zorunludur?
Kişisel verilerinizi sizin adınıza işlemek üzere bir veri işleyicisiyle anlaştığınızda, Veri İşleme Sözleşmesi (DPA) zorunludur (GDPR Madde 28). Bu, kuruluşunuzun büyüklüğünden veya ilgili veri hacminden bağımsız olarak geçerlidir. DPA yazılı olmalı ve işleme konusu ve süresi, niteliği ve amacı, veri türleri ve veri sahibi kategorileri ile güvenlik, ihlal bildirimi ve alt işlemeye ilişkin her iki tarafın yükümlülükleri gibi belirli zorunlu maddeleri içermelidir. Uygun bir DPA olmadan, veri işleyicisi işlemeye başladığı andan itibaren, herhangi bir zarar meydana gelmese bile, ihlalde bulunmuş olursunuz.
Müşteri verilerini AB dışındaki bir tarafla paylaşabilir miyim?
Evet, ancak yalnızca katı koşullar karşılandığında. GDPR'nin 44-49. maddeleri uyarınca, verileri üçüncü bir ülkeye şu durumlarda aktarabilirsiniz: (a) Avrupa Komisyonu o ülke için yeterlilik kararı vermişse veya (b) standart sözleşme maddeleri (SCC'ler) gibi uygun güvenceler sağlamışsanız. Schrems II kararının ardından, hedef ülkenin yasalarının (örneğin, hükümet gözetimi) SCC'ler tarafından garanti edilen korumayı zayıflatıp zayıflatmadığını değerlendirmek için bir aktarım etki değerlendirmesi (TIA) de yapmalısınız. Riskler devam ederse, şifreleme veya veri minimizasyonu gibi ek önlemler uygulamalısınız. Yeterli güvenceler olmadan yapılan aktarımlar, aktarımın askıya alınması da dahil olmak üzere, AP tarafından yaptırım uygulanmasına yol açabilir.
Veri paylaşımı için ne zaman Veri Koruma Etki Değerlendirmesi (DPIA) gereklidir?
Veri işleme, bireylerin hak ve özgürlükleri için yüksek risk oluşturma olasılığı olduğunda, GDPR Madde 35 uyarınca Veri Koruma Etki Değerlendirmesi (DPIA) zorunludur. Bu durumlar şunları içerir: özel veri kategorilerinin (örneğin, sağlık, biyometrik, genetik veriler) büyük ölçekli işlenmesi, kamuya açık alanların sistematik olarak izlenmesi, yasal veya benzeri önemli etkileri olan otomatik karar verme ve yeni teknolojilerin kullanımı. Veri paylaşımında, veri kümelerini birleştiriyorsanız, hassas bilgileri paylaşıyorsanız veya verileri profil oluşturma veya yapay zeka destekli analizler için kullanıyorsanız, genellikle bir DPIA gereklidir. AP, DPIA gerektiren işleme operasyonlarının bir listesini yayınlamıştır. Şüpheniz varsa, bir DPIA yaptırın; tedbirli olmak her zaman daha iyidir.
Şirketler GDPR'ı ihlal etmeleri durumunda ne gibi para cezalarıyla karşı karşıya kalabilirler?
GDPR, iki kademeli para cezası öngörüyor. Daha düşük kademe (10 milyon Euro'ya veya küresel yıllık cironun %2'sine kadar), uygun güvenlik önlemlerinin alınmaması veya gerektiğinde Veri Koruma Etki Değerlendirmesi (DPIA) yapılmaması gibi ihlaller için geçerlidir. Daha yüksek kademe (20 milyon Euro'ya veya küresel yıllık cironun %4'üne kadar), işleme için yasal bir dayanağın olmaması, yasa dışı uluslararası transferler veya veri sahiplerinin haklarının ihlali gibi daha ciddi ihlaller için geçerlidir. AP, para cezasının miktarını, ihlalin niteliği ve ciddiyeti, kasıtlı mı yoksa ihmalkar mı olduğu, etkilenen kişi sayısı ve alınan hafifletici önlemler gibi faktörlere dayanarak belirler. Son dönemdeki uygulamalar, AP'nin özellikle sistemik veya kasıtlı ihlaller için önemli miktarda para cezası uygulamaya istekli olduğunu göstermektedir.
Takma adla gizlenmiş verileri paylaşmak her zaman güvenli midir?
Hayır. Takma adlandırma riski azaltır ancak ortadan kaldırmaz. GDPR Madde 4(5) uyarınca, takma adlandırma, doğrudan tanımlayıcıların (isimler gibi) kodlar veya takma adlarla değiştirilmesi anlamına gelir. Bununla birlikte, veriler hala bir bireye geri bağlanabiliyorsa—örneğin, sizin veya alıcının elinde bulunan ek bilgiler kullanılarak—bu veriler kişisel veri olarak kalır ve GDPR'ye tamamen tabidir. Bu, hala yasal bir dayanağa ihtiyacınız olduğu, veri sahiplerini bilgilendirmeniz ve yeterli güvenliği sağlamanız gerektiği anlamına gelir. Yalnızca gerçek anonimleştirme—yeniden tanımlamanın artık herhangi bir makul yolla mümkün olmadığı durum—verileri GDPR kapsamından çıkarır. Uygulamada, gerçek anonimleştirmeyi sağlamak zordur ve uzman onayı gerektirir.
Yasa dışı veri paylaşımı nedeniyle işletmemde veri ihlali meydana gelirse ne yapmalıyım?
Kişisel verilerinizin ihlal edildiğini (yasa dışı veri paylaşımından kaynaklananlar da dahil olmak üzere) tespit ederseniz, GDPR Madde 33 uyarınca 72 saat içinde AP'ye bildirimde bulunmanız gerekir (ihlal, bireylerin hak ve özgürlükleri için risk oluşturma olasılığı düşük değilse bu süre geçerli değildir). İhlalin etkilenen bireyler için yüksek risk oluşturma olasılığı varsa, etkilenen bireyleri de gecikmeksizin bilgilendirmeniz gerekir (GDPR Madde 34). Acil adımlar şunlardır: ihlali kontrol altına almak, kapsamını ve etkisini değerlendirmek, olanları ve bununla ilgili neler yaptığınızı belgelemek ve AP'ye çevrimiçi portalı aracılığıyla bildirimde bulunmak. Bildirimde bulunmama durumunda ayrı bir para cezası uygulanabilir. AP, ihlalin ciddiyetine ve sizin yanıtınıza bağlı olarak yaptırım uygulanmasının gerekip gerekmediğini değerlendirecektir.
İşletmenizi Koruyun—Uzman Hukuk Danışmanlığı Alın
Veri paylaşımı kaçınılmazdır, ancak GDPR ihlalleri olmak zorunda değildir. Yukarıda özetlenen yedi risk teorik değildir; gerçek uygulama davalarından, mahkeme kararlarından ve düzenleyici kılavuzlardan alınmıştır. Bunların her biri para cezalarına, tazminat taleplerine ve itibar kaybına yol açabilir.
İyi haber şu ki, doğru yasal çerçeve, net dokümantasyon ve proaktif uyumluluk önlemleriyle verilerinizi güvenle ve yasal olarak paylaşabilirsiniz. Ancak bunu doğru yapmak, genel tavsiyelerden daha fazlasını gerektirir; işletmenizi, veri akışlarınızı ve karşı karşıya olduğunuz özel riskleri anlayan, size özel hazırlanmış hukuki desteğe ihtiyaç duyar.
AP'nin kapınızı çalmasını beklemeyin. Veri paylaşım uygulamalarınızın GDPR uyumlu olup olmadığından emin değilseniz veya Veri Koruma Anlaşmaları (DPA) taslağı hazırlama, Veri Koruma Etki Değerlendirmeleri (DPIA) yapma veya uluslararası veri transferlerini yönetme konusunda yardıma ihtiyacınız varsa, uzman bir gizlilik avukatıyla iletişime geçin. İşletmeniz ve müşterileriniz bundan daha azını hak etmiyor.
