Yer Bakımından Uygulama ve İşletme Kriteri
Genel Veri Koruma Tüzüğü; bir veri sorumlusunun veya veri işleyenin Avrupa Birliği dahilindeki işletmesinin faaliyetleri çerçevesinde kişisel veri işlenmesi halinde, işlemenin Birlik sınırları dahilinde gerçekleşip gerçekleşmediğine bakılmaksızın uygulanır.
Birlik Dışındaki Faaliyetlerde Hedefleme Kriteri ve Temsilci Atama
Avrupa Birliği dahilinde bir işletmesi bulunmayan veri sorumlusu veya veri işleyenler de belirli koşullarda Tüzüğün kapsamına girer. Birlik sınırları içinde bulunan ilgili kişilere ait verilerin işlenmesi; bu kişilere yönelik mal veya hizmet sunulmasına yahut bu kişilerin Birlik içerisindeki davranışlarının izlenmesine ilişkin olduğu takdirde Tüzük hükümleri tatbik edilir. Sunulan mal veya hizmetin bir bedel karşılığında sağlanması ile ücretsiz olması arasında Tüzüğün uygulanması bakımından bir fark bulunmamaktadır.
Tüzüğün 3(2) maddesi kapsamına giren ve Birlik sınırları içinde yerleşik olmayan veri sorumlusu veya veri işleyenlerin Avrupa Birliği'nde bir temsilci tayin etmesi zorunludur. Atanacak temsilcinin işletmesinin, kişisel verileri işlenen ilgili kişilerin bulunduğu Üye Devletlerden birinde yer alması gerekir.
Tüzüğün Uygulama Alanı Dışında Bırakılan Haller
Tüzüğün 2. maddesi gereğince belirli işleme faaliyetleri açıkça kapsam haricinde tutulmuştur. Avrupa Birliği hukukunun kapsamı dışında kalan faaliyetler ile Üye Devletlerin AB Anlaşması'nın V. Başlığı'nın 2. Bölümü kapsamına giren işleri bu istisnalar arasındadır. Bunun yanı sıra gerçek kişilerin salt kişisel veya ailevi nitelikteki faaliyetleri esnasında gerçekleştirdiği veri işlemeleri de Tüzüğe tabi değildir. Kamu güvenliğine dair tehditlerin önlenmesi de dahil olmak üzere, yetkili makamlarca cezai suçların önlenmesi, soruşturulması, tespiti, kovuşturulması veya cezaların infazı amacıyla yürütülen işlemler halinde de Tüzük uygulama alanı bulmaz.
Temel Veri İşleme İlkeleri ve Veri Sorumlusunun Yükümlülüğü
Kişisel verilerin işlenmesinde hukuka ve hakkaniyete uygunluk ile şeffaflık ilkeleri esastır. Tüzüğün 5. maddesi doğrultusunda verilerin belirli, açık ve meşru amaçlarla toplanması, bu amaçlarla bağdaşmayan biçimde işlenmemesi, işleme amacıyla bağlantılı ve gerekli olduğu ölçüde sınırlı tutulması, doğru olması ve gerektiğinde güncel tutulması emredilmektedir. Hatalı olan kişisel verilerin, işlenecekleri amaçlar dikkate alınarak gecikmeksizin silinmesini veya düzeltilmesini sağlamak için her türlü makul adımın atılması gerekir. Tüzüğün 89(1). maddesi uyarınca kamu yararı amacıyla arşivleme yapılması, bilimsel ya da tarihsel araştırmalar yürütülmesi veya istatistiksel gayelerle veri işlenmesi, verinin elde edildiği ilk amaçlarla uyumsuz bir işleme faaliyeti olarak değerlendirilmez. Veri sorumlusu, bu ilkelere uymakla yükümlüdür.
Veri İşleyenin Yükümlülükleri ve Sınır Ötesi Aktarım Şartları
Kişisel verilerin işlenmesi sürecinde veri işleyenler, sadece veri sorumlusunun talimatları doğrultusunda hareket edebilir. Veri sorumlusunun önceden verilmiş yazılı izni bulunmaksızın başka bir veri işleyenin sürece dahil edilmesi mümkün değildir. Gerçekleştirilecek işlemlerin Birlik yahut Üye Devlet mevzuatı kapsamında bir sözleşmeye veya hukuki işleme dayandırılması zorunludur. Bunun yanında veri işleyen; risk derecesiyle orantılı teknik ve organizasyonel güvenlik tedbirlerini veri sorumlusu ile beraber almak ve tespit edilen herhangi bir veri güvenliği ihlalini vakit kaybetmeksizin veri sorumlusuna bildirmekle yükümlüdür.
Kişisel verilerin üçüncü bir ülkeye veya uluslararası bir kuruluşa aktarılmasında Tüzüğün 45(3). maddesi uyarınca verilmiş bir yeterlilik kararı bulunmuyorsa aktarım özel koşullara bağlanmıştır. Yeterlilik kararının bulunmaması halinde aktarımın gerçekleştirilebilmesi; veri sorumlusu ya da veri işleyenin uygun önlemleri almış olması, ilgili kişilerin haklarının icra edilebilir kılınması ve bu kişiler için etkin yasal çarelerin bulunması şartlarına bağlıdır.
AB'de işletmesi olmayan veri sorumlularına Tüzük hangi hallerde uygulanır?
Avrupa Birliği'nde işletmesi bulunmayan veri sorumluları veya işleyenler, Birlik içindeki kişilere ücretli veya ücretsiz mal yahut hizmet sunduklarında veya bu kişilerin Birlik içerisindeki davranışlarını izlediklerinde Tüzük kapsamına girer.
Temsilci atama yükümlülüğü hangi şartlarda doğar?
Birlik dahilinde işletmesi bulunmayıp Birlik içindeki kişilere mal veya hizmet sunan ya da davranışlarını izleyen veri sorumlusu ve işleyenler, kişisel verileri işlenen kişilerin bulunduğu Üye Devletlerin birinde işletmesi olan bir temsilci atamak zorundadır.
Bireysel veya ailevi veri işlemeleri Tüzüğe tabi midir?
Hayır, gerçek kişilerin salt kişisel veya ailevi faaliyetleri sırasında yürüttükleri kişisel veri işleme süreçlerinde Tüzük hükümleri uygulanmaz.
Hatalı tutulan kişisel veriler karşısında veri sorumlusunun görevi nedir?
Veri sorumlusu, hatalı kişisel verilerin işlenme amaçlarını dikkate alarak gecikmeksizin silinmesini veya düzeltilmesini temin etmek için her türlü makul adımı atmakla yükümlüdür.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy