Genel Veri Koruma Tüzüğünün Uygulanmaya Başlanması
Avrupa Birliği Parlamentosu tarafından 2016 yılında kabul edilerek yürürlüğe giren Genel Veri Koruma Tüzüğü, 25 Mayıs 2018 tarihinden itibaren fiilen uygulamaya girmiştir. Düzenleme, kişisel verilerin korunması ve işlenmesi süreçlerine ilişkin temel kuralları belirler.
Tüzüğün Coğrafi ve Maddi Uygulama Alanı
Genel Veri Koruma Tüzüğü m. 3 uyarınca, veri işleme faaliyetinin Avrupa Birliği sınırları içinde gerçekleşip gerçekleşmediğine bakılmaksızın, veri sorumlusu veya veri işleyenin Avrupa Birliği içindeki bir işletmesinin faaliyetleri çerçevesinde yürütülen veri işlemelerine uygulanır. Bunun yanı sıra, Avrupa Birliği dahilinde bir işletmesi bulunmayan veri sorumlusu veya veri işleyenler de belirli koşullarda kapsama girer. Bu durum, Avrupa Birliği'nde bulunan ilgili kişilere bedelli ya da bedelsiz mal veya hizmet sunulması yahut bu kişilerin Avrupa Birliği sınırları içindeki davranışlarının izlenmesi hallerinde geçerlilik kazanır.
Tüzük m. 2 kapsamında belirli işleme faaliyetleri tüzüğün uygulama alanı dışında bırakılmıştır. Avrupa Birliği hukukunun kapsamı dışında kalan faaliyetler, Üye Devletlerin Avrupa Birliği Anlaşması'nın V. Başlığının 2. Bölümü kapsamına giren faaliyetleri ile gerçek kişilerin salt kişisel veya ailevi mahiyetteki veri işlemeleri düzenlemeye tabi değildir. Ayrıca kamu güvenliğine yönelik tehditlerin önlenmesi dahil olmak üzere suçların önlenmesi, soruşturulması, tespiti veya kovuşturulması ya da cezaların infazı amacıyla yetkili makamlarca yürütülen faaliyetler de istisna tutulmuştur.
Kişisel Veri İşleme İlkeleri ve Veri Güvenliği
Tüzük m. 5 uyarınca kişisel veriler hukuka ve hakkaniyete uygun, şeffaf bir şekilde işlenmelidir. Verilerin belirli, açık ve meşru amaçlarla toplanması ve bu amaçlarla bağdaşmayan biçimde işlenmemesi esastır. Bununla birlikte Tüzük m. 89(1) uyarınca kamu yararı amacıyla arşivleme, bilimsel veya tarihsel araştırma ya da istatistiksel amaçlarla işleme, ilk amaçla uyumsuz sayılmaz. Kişisel veriler işlendikleri amaçla bağlantılı, yeterli ve gerekli olanla sınırlı tutulmalı; doğru ve gerektiğinde güncel bulundurulmalıdır. Hatalı olan kişisel verilerin, işlenme amaçları dikkate alınarak gecikmeksizin silinmesini veya düzeltilmesini temin etmek üzere her türlü makul adımın atılması gerekir.
Veri Sorumlusu ve Veri İşleyenin Yükümlülükleri
Kişisel verilerin işlenme amaçlarını ve araçlarını tek başına ya da başkalarıyla birlikte belirleyen gerçek veya tüzel kişiler, kamu otoriteleri veya diğer kamu kuruluşları veri sorumlusu niteliğindedir. Veri sorumlusu, işlemenin Tüzük'e uygun şekilde gerçekleştirilmesini sağlamak ve bunu ortaya koyabilmek amacıyla uygun teknik ve organizasyonel önlemleri almakla yükümlüdür.
Veri işleyenler kişisel verileri yalnızca veri sorumlusunun talimatı doğrultusunda işleyebilir. Veri sorumlusunun önceden yazılı izni olmadan başka bir veri işleyen kullanılamaz. Veri işleyenin gerçekleştireceği işlemeler, Avrupa Birliği veya Üye Devlet kanunları kapsamında bir sözleşmeye ya da başkaca bir hukuki işleme tabi olmalıdır. Ayrıca veri işleyen, veri sorumlusu ile birlikte riskle orantılı bir güvenlik düzeyi sağlamak için uygun teknik ve organizasyonel önlemleri uygulamakla yükümlüdür. Kişisel veri güvenliği ihlali halinde veri işleyen, ihlalden haberdar olur olmaz gecikmeksizin gerçekleşen ihlali veri sorumlusuna bildirmek zorundadır.
Tüzük m. 3(2) kapsamına giren ve Avrupa Birliği içinde yerleşik bir işletmesi bulunmayan veri sorumlusu veya veri işleyenler, bir temsilci atamakla yükümlüdür. Atanan temsilcinin işletmesi, kişisel verileri işlenen ilgili kişilerin bulunduğu Üye Devletlerden birinde yer almalıdır.
Kişisel Verilerin Üçüncü Ülkelere Aktarılması
Tüzük m. 45(3) çerçevesinde Avrupa Komisyonu tarafından verilmiş bir yeterlilik kararının bulunmadığı hallerde sınır ötesi veri aktarımı belirli şartlara bağlanmıştır. Bu durumlarda aktarım, ancak veri sorumlusu veya veri işleyen tarafından uygun önlemlerin alınmış olması, ilgili kişilerin haklarının icra edilebilirliği ve hak arayabilecekleri etkin yasal yolların bulunması şartıyla gerçekleştirilebilir.
İdari Para Cezaları ve Yaptırım Seviyeleri
Genel Veri Koruma Tüzüğü'nde ihlalin niteliğine göre kademeli idari para cezaları öngörülmüştür. Tüzük m. 83(4) kapsamındaki ihlallerde 10 milyon Euro'ya kadar veya teşebbüsler bakımından bir önceki mali yıla ait dünya çapındaki toplam yıllık cironun %2'sine kadar idari para cezası tayin edilebilir.
Tüzük m. 83(5) uyarınca daha ağır yaptırımlar içeren ihlal grubu için 20 milyon Euro'ya kadar veya teşebbüsün bir önceki mali yıl dünya çapındaki toplam yıllık cirosunun %4'üne kadar idari para cezası verilebilir. Bu en yüksek yaptırım grubu; temel işleme ilkeleri, işlemenin hukuka uygunluğu, rıza şartları, özel nitelikli kişisel verilerin işlenmesi, m. 12-22 kapsamındaki ilgili kişi hakları, m. 44-49 uyarınca sınır ötesi veri aktarımları, Tüzüğün IX. Bölümü uyarınca Üye Devlet hukukunda düzenlenen yükümlülükler ile denetim makamının veri işlemeyi sınırlandırma, veri akışını askıya alma veya erişim sağlama kararlarına aykırılık hallerini kapsar.
Genel Veri Koruma Tüzüğü ne zaman uygulanmaya başlandı?
Genel Veri Koruma Tüzüğü, Avrupa Birliği Parlamentosu tarafından 2016 yılında kabul edildikten sonra 25 Mayıs 2018 tarihinden itibaren fiilen uygulanmaya başlanmıştır.
AB'de işletmesi olmayan kuruluşlar için temsilci atama kuralı nedir?
Avrupa Birliği'nde işletmesi bulunmayıp AB'deki kişilere mal veya hizmet sunan ya da bu kişilerin davranışlarını izleyen veri sorumlusu veya veri işleyenler, kişisel verileri işlenen ilgili kişilerin bulunduğu Üye Devletlerden birinde temsilci atamakla yükümlüdür.
Yeterlilik kararı bulunmayan üçüncü ülkelere veri aktarımı nasıl yapılır?
Yeterlilik kararı bulunmadığında veri aktarımı, veri sorumlusu veya işleyen tarafından uygun önlemlerin alınması, ilgili kişi haklarının icra edilebilir olması ve etkin yasal yolların bulunması şartıyla gerçekleştirilebilir.
Genel Veri Koruma Tüzüğü ihlallerinde öngörülen idari para cezaları ne kadardır?
İhlalin türüne göre Tüzük m. 83(4) kapsamındaki ihlaller için 10 milyon Euro veya yıllık cironun %2'sine kadar; işleme ilkeleri, ilgili kişi hakları, veri aktarımı ve denetim makamı kararlarına aykırılık gibi m. 83(5) kapsamındaki ihlaller için ise 20 milyon Euro veya yıllık cironun %4'üne kadar idari para cezası uygulanabilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy