GDPR İlgili Dibaceler 4 dibace
Recital 84
In order to enhance compliance with this Regulation where processing operations are likely to result in a high risk to the rights and freedoms of natural persons, the controller should be responsible for the carrying-out of a data protection impact assessment to evaluate, in particular, the origin, nature, particularity and severity of that risk. The outcome of the assessment should be taken into account when determining the appropriate measures to be taken in order to demonstrate that the processing of personal data complies with this Regulation. Where a data-protection impact assessment indicates that processing operations involve a high risk which the controller cannot mitigate by appropriate measures in terms of available technology and costs of implementation, a consultation of the supervisory authority should take place prior to the processing.
Recital 94
Where a data protection impact assessment indicates that the processing would, in the absence of safeguards, security measures and mechanisms to mitigate the risk, result in a high risk to the rights and freedoms of natural persons and the controller is of the opinion that the risk cannot be mitigated by reasonable means in terms of available technologies and costs of implementation, the supervisory authority should be consulted prior to the start of processing activities. Such high risk is likely to result from certain types of processing and the extent and frequency of processing, which may result also in a realisation of damage or interference with the rights and freedoms of the natural person. The supervisory authority should respond to the request for consultation within a specified period. However, the absence of a reaction of the supervisory authority within that period should be without prejudice to any intervention of the supervisory authority in accordance with its tasks and powers laid down in this Regulation, including the power to prohibit processing operations. As part of that consultation process, the outcome of a data protection impact assessment carried out with regard to the processing at issue may be submitted to the supervisory authority, in particular the measures envisaged to mitigate the risk to the rights and freedoms of natural persons.
Recital 95
The processor should assist the controller, where necessary and upon request, in ensuring compliance with the obligations deriving from the carrying out of data protection impact assessments and from prior consultation of the supervisory authority.
Recital 96
A consultation of the supervisory authority should also take place in the course of the preparation of a legislative or regulatory measure which provides for the processing of personal data, in order to ensure compliance of the intended processing with this Regulation and in particular to mitigate the risk involved for the data subject.
Dibace 84
İşleme faaliyetlerinin gerçek kişilerin hak ve özgürlüklerine yönelik yüksek risk oluşturmasının muhtemel olduğu durumlarda bu Tüzük'e uyumun artırılması amacıyla, veri sorumlusu, özellikle riskin kaynağını, niteliğini, mahiyetini ve ağırlığını ele almak üzere bir veri koruma etki değerlendirmesinin yürütülmesinden sorumlu olmalıdır. Kişisel verilerin işlenmesi faaliyetinin bu Tüzük'e uyumlu olduğunu göstermeye yönelik olarak alınacak uygun tedbirlerin belirlenmesinde, söz konusu değerlendirmenin sonucu dikkate alınmalıdır. Bir veri koruma etki değerlendirmesi, işleme faaliyetlerinin, veri sorumlusunun mevcut teknolojisi ve uygulama maliyetleri açısından uygun tedbirlerle azaltamayacağı ölçüde yüksek bir risk içerdiğini gösterdiği takdirde, işleme faaliyeti öncesinde denetim makamı ile istişarede bulunulmalıdır.
Dibace 94
Bir veri koruma etki değerlendirmesinin; riski azaltmaya yönelik güvencelerin, güvenlik tedbirlerinin ve mekanizmalarının bulunmadığı hallerde işleme faaliyetinin gerçek kişilerin hak ve özgürlükleri açısından yüksek risk oluşturacağını göstermesi ve veri sorumlusunun, riskin mevcut teknolojiler ve uygulama maliyetleri açısından makul yollarla azaltılamayacağı kanaatinde olması durumunda, işleme faaliyetlerine başlamadan önce denetim makamı ile istişarede bulunulması gerekir. Bu tür yüksek risk, işleme faaliyetinin bazı türlerinden, kapsamından ve sıklığından kaynaklanabilir ve aynı zamanda gerçek kişinin hak ve özgürlüklerine zarar verilmesine veya müdahaleye yol açabilir. Denetim makamı, belirli bir süre içinde istişare talebine yanıt vermelidir. Ancak, denetim makamının söz konusu sürede herhangi bir yanıt vermemesi, işleme faaliyetlerini yasaklama yetkisi de dâhil olmak üzere, denetim makamının bu Tüzük'te belirtilen görev ve yetkileri uyarınca gerçekleştireceği hiçbir müdahaleye halel getirmez. Bu istişare sürecinin bir parçası olarak, gerçek kişilerin hak ve özgürlüklerine yönelik riskin azaltılması için öngörülen tedbirler başta olmak üzere, söz konusu işleme faaliyetine ilişkin yürütülen veri koruma etki değerlendirmesinin sonucu denetim makamına sunulabilir.
Dibace 95
Veri işleyen, gerekli hallerde ve talep üzerine, veri koruma etki değerlendirmelerinin gerçekleştirilmesinden ve denetim makamı ile ön istişare yapılmasından kaynaklanan yükümlülüklere uyumun sağlanmasında veri sorumlusuna yardımcı olmalıdır.
Dibace 96
Planlanan işleme faaliyetinin bu Tüzük’e uyumunun sağlanması ve özellikle veri öznesi açısından riskin azaltılması amacıyla, kişisel verilerin işlenmesini öngören yasal veya düzenleyici tedbirin hazırlanması aşamasında denetim makamı ile de istişarede bulunulmalıdır.
Ön danışmayı gerektiren yüksek risk
Veri koruma etki değerlendirmesi, planlanan işlemenin yüksek risk doğuracağını ve veri sorumlusunun bu riski alacağı tedbirlerle yeterince azaltamayacağını gösteriyorsa GDPR m.36/1 uyarınca ön danışma gerekir.1 Başlangıçta yüksek risk ihtimalinin görülmesi tek başına yeterli değildir. Önce GDPR m.35 uyarınca etki değerlendirmesi yapılmalı, risk azaltma tedbirleri belirlenmeli ve bunlara rağmen kalan risk incelenmelidir.2
Danışma işlemeye başlanmadan önce yapılmalıdır. Sürecin amacı, yüksek risk taşıyan bir işlemenin denetim makamının görüşü alınmadan uygulanmasını önlemektir.3 Veri sorumlusu yüksek riski uygun tedbirlerle kabul edilebilir düzeye indirebiliyorsa GDPR m.36/1 uyarınca ön danışma yükümlülüğü doğmaz.4
Başvurunun içeriği
Veri sorumlusu, danışma başvurusunda işleme faaliyetindeki veri sorumluları, ortak veri sorumluları ve veri işleyenler arasındaki sorumluluk dağılımını açıklamalıdır. Planlanan işlemenin amaçları ve araçları ile ilgili kişilerin hak ve özgürlüklerini koruyacak tedbir ve güvenceler de gösterilmelidir.1
Başvuruya veri koruma etki değerlendirmesi eklenir. Veri koruma görevlisi belirlenmişse iletişim bilgileri de sunulur.2 Denetim makamı bunların dışında gerekli gördüğü başka bilgileri isteyebilir. Sunulan bilgiler, denetim makamının yüksek riskin doğru belirlenip belirlenmediğini ve önerilen tedbirlerin yeterliliğini incelemesine elverişli açıklıkta olmalıdır.3
Veri işleyen, etki değerlendirmesi ve ön danışma yükümlülüklerinin yerine getirilmesinde veri sorumlusuna yardım etmelidir.4 Bununla birlikte denetim makamına danışma yükümlülüğünün muhatabı veri sorumlusudur.
Denetim makamının incelemesi ve süre
Denetim makamı planlanan işlemenin GDPR'yi ihlal edeceği görüşündeyse, özellikle riskin yeterince belirlenmediği veya azaltılmadığı hallerde veri sorumlusuna ve gerektiğinde veri işleyene yazılı görüş verir.1 Denetim makamı aynı süreçte GDPR m.58'deki yetkilerini de kullanabilir.
Yazılı görüş kural olarak danışma talebinin alınmasından itibaren sekiz hafta içinde verilmelidir. İşlemenin karmaşıklığı gerektiriyorsa süre altı hafta uzatılabilir. Uzatma kararı ve gerekçesi talebin alınmasından itibaren bir ay içinde bildirilmelidir.2 Denetim makamının istediği bilgileri beklediği süre boyunca bu süreler durabilir.3
Süre içinde cevap verilmemesi, işlemenin uygun bulunduğu veya veri sorumlusuna izin verildiği anlamına gelmez. Denetim makamı daha sonra GDPR m.58'deki yetkilerini kullanabilir.4
Danışma ve izin ayrımı
GDPR m.36/1, planlanan her işleme için genel bir ön izin sistemi değil, ön danışma usulü öngörür.1 Denetim makamının yazılı görüş vermesi de veri sorumlusunun hukuka uygunluk sorumluluğunu üstlenmesi anlamına gelmez.
Buna karşılık üye devlet hukuku, kamu yararına yürütülen bir göreve ilişkin işlemelerde veri sorumlusunun denetim makamına danışmasını ve ön izin almasını şart koşabilir.2 Beşinci fıkradaki bu özel düzenleme imkanı, birinci fıkradaki danışmanın kendiliğinden izin usulü sayılmadığını da gösterir.3
Maddenin dördüncü fıkrası ise ulusal parlamento tarafından kabul edilecek kanun teklifleri ile bunlara dayanan düzenleyici işlemlerin hazırlanması sırasında denetim makamına danışılmasını öngörür.4 Bu yükümlülük, belirli bir veri sorumlusunun etki değerlendirmesine dayanan danışma sürecinden farklıdır.
KVKK ile karşılaştırma
KVKK m.12, veri sorumlusuna güvenlik tedbirlerini alma ve Kanun hükümlerinin uygulanmasına ilişkin gerekli denetimleri yapma veya yaptırma yükümlülüğü getirir.1 Kanun metninde, veri koruma etki değerlendirmesinden sonra kalan yüksek riske bağlı ve GDPR m.36/1-3'teki usule karşılık gelen genel bir ön danışma yükümlülüğü düzenlenmemiştir.2
KVKK m.22/1-h uyarınca Kurul, diğer kurum ve kuruluşların hazırladığı ve kişisel verilere ilişkin hüküm içeren mevzuat taslakları hakkında görüş bildirir.3 Her iki hüküm de kişisel veri işlenmesini düzenleyen mevzuat hazırlanırken denetim makamının görüşünün alınmasını konu edinir. Bununla birlikte iki hükmün kapsamı, muhatabı ve usulü kendi hukuk düzenleri içinde belirlenmelidir.4