Madde 35

Planlanan bir işleme türünün gerçek kişilerin hak ve özgürlükleri bakımından yüksek risk doğurması muhtemelse veri sorumlusu, işlemeye başlamadan önce veri koruma etki değerlendirmesi yapmalıdır.1 Riskin belirlenmesinde işlemenin niteliği, kapsamı, bağlamı ve amaçları birlikte ele alınır. Yeni teknolojinin kullanılması bu değerlendirmede önem taşıyabilir, ancak tek başına değerlendirme yükümlülüğü doğurmaz.2

Etki değerlendirmesi, planlanan işlemenin hukuka uygunluğunu ve kişiler üzerindeki etkilerini işlemeye başlanmadan önce sınamaya yarar. Amaç, yüksek riskin kaynağını ve ağırlığını ortaya koymak, riski azaltacak tedbirleri belirlemek ve alınan kararların hesap verebilirlik çerçevesinde gösterilebilmesini sağlamaktır.3 Bu nedenle değerlendirme, karar verildikten sonra hazırlanacak biçimsel bir rapora indirgenemez.4

GDPR m.35/3, değerlendirme yapılması gereken üç işleme grubunu özellikle gösterir. Bunlar, kişiler hakkında hukuki veya benzer ölçüde önemli sonuç doğuran kararlara temel oluşturan sistematik ve kapsamlı kişisel yön değerlendirmeleri, özel nitelikli veriler veya mahkumiyet ve suç verilerinin geniş ölçekte işlenmesi ile kamuya açık alanların geniş ölçekte sistematik olarak izlenmesidir.1

Bu sayım sınırlı değildir. Başka bir işleme de m.35/1'deki yüksek risk eşiğini karşılıyorsa değerlendirmeye tabi olacaktır.2 Denetim makamının m.35/4 uyarınca yayımladığı liste, değerlendirme yapılacak işleme türlerini somutlaştırır. Maddenin beşinci fıkrası ise denetim makamına değerlendirme gerektirmeyen işleme türlerini gösteren bir liste yayımlama imkanı verir.3

Bir işleme listelerde açıkça yer almıyorsa yalnız bu nedenle yüksek risk incelemesi sona ermez. Veri sorumlusu, planlanan işlemenin özelliklerini m.35/1'deki ölçütlere göre değerlendirmeli ve vardığı sonucu gösterebilmelidir.4

Etki değerlendirmesi, planlanan işleme faaliyetlerini ve amaçlarını sistematik biçimde açıklamalıdır. Veri sorumlusu meşru menfaate dayanıyorsa izlenen menfaat de gösterilmelidir.1 Ardından işleme faaliyetinin amaç bakımından gerekli ve orantılı olup olmadığı incelenmelidir.2

İncelenecek riskler, yalnızca güvenlik açığı ihtimaliyle sınırlı değildir. Kişilerin hak ve özgürlükleri üzerindeki muhtemel sonuçların niteliği, gerçekleşme ihtimali ve ağırlığı değerlendirilmelidir.3 Belirlenen riskleri karşılayacak güvenceler, güvenlik tedbirleri ve hukuka uygunluğu gösterecek mekanizmalar da açıklanmalıdır.4

Bu unsurlar birbiriyle bağlantılıdır. İşleme faaliyeti ve amacı yeterince açıklanmadan gereklilik ile orantılılık denetlenemez. Riskler belirlenmeden de hangi tedbirin yeterli olduğu ve işlemden sonra hangi riskin kaldığı gösterilemez.5

Etki değerlendirmesini yapma sorumluluğu veri sorumlusuna aittir. Veri sorumlusu çalışmayı uzmanlara veya başka kişilere yaptırabilir, ancak değerlendirme yükümlülüğünü ve sonuçlarına ilişkin sorumluluğu devredemez.1

Veri koruma görevlisi belirlenmişse değerlendirme sırasında görüşü alınmalıdır.2 Veri işleyen de gerekli olduğu ölçüde ve veri sorumlusunun talebi üzerine değerlendirme yükümlülüğünün yerine getirilmesine yardımcı olmalıdır.3 Bu aktörlerin katkısı, işleme amaçları ve araçları hakkında karar veren veri sorumlusunun sorumluluğunu değiştirmez.

Uygun olduğu hallerde ilgili kişilerin veya temsilcilerinin planlanan işlemeye ilişkin görüşleri de alınmalıdır. Ancak görüş alma süreci ticari veya kamusal menfaatleri ya da işleme güvenliğini zedelememelidir.4 Görüş alınması, ilgili kişinin işlemenin hukuka uygunluğu hakkında karar vermesi veya veri sorumlusunun risk değerlendirmesini devralması anlamına gelmez.5

Etki değerlendirmesi işlemeye başlanmadan önce tamamlanmalıdır. Değerlendirme, işleme faaliyetinin tasarımını ve uygulanacak tedbirleri etkileyebilecek kadar erken bir aşamada yapılmalıdır.1 Birbiriyle benzer ve aynı nitelikte yüksek risk doğuran işleme faaliyetleri tek bir değerlendirme içinde ele alınabilir.2

Değerlendirme bir kez hazırlanıp değişmeden saklanan bir belge değildir. İşleme faaliyetinin doğurduğu risk değiştiğinde veri sorumlusu, işlemenin etki değerlendirmesine uygun biçimde yürütülüp yürütülmediğini yeniden incelemelidir.3 Yeni bir teknolojiye geçilmesi, veri kapsamının genişlemesi, işleme amacının değişmesi veya güvenlik tedbirlerinin etkisini değiştiren gelişmeler bu incelemeyi gerekli kılabilir.4

Yenileme yükümlülüğü, her küçük değişiklikte bütün değerlendirmenin baştan yapılmasını gerektirmez. Değişikliğin riskin niteliği, ihtimali veya ağırlığı üzerindeki etkisi belirlenmeli ve değerlendirme bu etkiye göre güncellenmelidir.5

Belirli bir işleme faaliyeti Birlik veya üye devlet hukukuna dayanabilir. Bu hukuki dayanak hazırlanırken genel bir etki değerlendirmesi yapılmışsa GDPR m.35/10'daki koşullar altında maddenin birinci ila yedinci fıkraları ayrıca uygulanmayabilir.1 Bu sonuç, kanuni dayanağa bağlı her işleme faaliyetinin etki değerlendirmesinden muaf olduğu anlamına gelmez. Hukuki düzenlemenin belirli işlemeyi kapsaması ve değerlendirme şartlarının somut olayda karşılanması gerekir.2

Etki değerlendirmesi sonucunda yüksek riskin alınacak tedbirlerle giderilemediği anlaşılırsa işlemeye başlanmadan önce GDPR m.36 uyarınca denetim makamına danışılmalıdır.3 Böylece etki değerlendirmesi ile ön danışma birbirini izleyen iki aşama oluşturur. Yüksek riskin uygun tedbirlerle kabul edilebilir düzeye indirilmesi halinde sırf başlangıçta yüksek risk görülmüş olması ön danışmayı zorunlu kılmaz.4

KVKK m.12, veri sorumlusuna uygun güvenlik düzeyini sağlamak için gerekli teknik ve idari tedbirleri alma ve Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapma veya yaptırma yükümlülüğü getirir.1 Bu hükümler risklerin önceden değerlendirilmesini gerektirebilir. Ancak KVKK, GDPR m.35'te olduğu gibi adı, uygulanma eşiği, asgari içeriği ve katılım usulü belirlenmiş genel bir veri koruma etki değerlendirmesi öngörmez.2

KVKK m.16'daki Sicile kayıt ve bildirim yükümlülüğü de etki değerlendirmesiyle aynı işlevi görmez. Sicil bildirimi işleme amaçları, veri kategorileri, alıcı grupları, yurt dışı aktarım ve güvenlik tedbirleri gibi bilgileri içerir. GDPR m.35 ise planlanan belirli bir işlemenin gerekliliğini, orantılılığını ve kişiler üzerindeki yüksek riskini değerlendirmeyi amaçlar.3

Bu nedenle GDPR m.35'teki yöntem, Türk hukukunda veri güvenliği ve hesap verebilirlik çalışmalarına karşılaştırmalı bir çerçeve sunabilir. Bununla birlikte GDPR'deki eşik, liste ve ön danışma sonuçları KVKK'ye doğrudan taşınamaz.4