İşletmeniz yaklaşan GDPR'ye hazır mı?
Aşağıda kuruluşların GDPR'ye hazırlanırken dikkate alması gereken önemli noktalardan bazıları yer almaktadır:
Hassas verileri koruduğunuzu kanıtlayın
Kuruluşların hassas verileri koruduklarını kanıtlamak için ilgili belgeleri saklamaları ve raporlar oluşturmaları gerekecek. Ayrıca Gizlilik Etki Değerlendirmeleri (PIA'lar) gerçekleştirmeleri ve varsayılan olarak "Tasarımdan Doğan Gizlilik" metodolojisini benimsemeleri gerekecektir.
Bir Veri Koruma Görevlisine (DPO) ihtiyacınız olup olmadığını belirleyin
Büyük kuruluşların muhtemelen bir DPO kullanması gerekecektir. Bir DPO sözleşmeye dayalı olarak kiralanabilir veya şirket içi bir DPO atanabilir. Veri koruma politikalarının uygulanması, personel eğitimi, önemli sistem değişikliklerinin izlenmesi ve uyumluluk için gerekli rapor ve belgelerin sağlanması da dahil olmak üzere veri korumanın tüm alanlarını denetlemeleri istenecek.
Kabul edilmesi gerekecek
Kuruluşların mevcut DPA izinlerinin şartlarını değiştirmesi gerekmese de, GDPR yürürlüğe girdikten sonra elde edilen tüm kişisel veriler yeni kurallara tabi olacaktır. Bu kurallar, kişisel verilerin özgürce verilmesini, açık ve öz olmasını gerektirmektedir. Ek olarak, bir tür olumlu ayrımcılık (opt-in) gerekli olacaktır. Sessizlik veya önceden işaretlenmiş kutular, kabul edilebilir bir onay onayı olarak değerlendirilmez. Ayrıca veri sahiplerinin rızalarını geri çekmelerinin kolay bir yolunun bulunması gerekecektir.
Bireyler için yeni veri sahibi hakları
Kuruluşların uyması gereken bir dizi yeni veri sahibi hakkı vardır. Temel haklar şunları içerir:
- Unutulma hakkı
- Konu erişim hakkı
- Bilgi edinme hakkı
- Düzeltme hakkı
- Veri taşınabilirliği hakkı
- İtiraz hakkı
Veri sahipleri, kişisel bilgilerinin otomatik olarak işlenmesine karşı korunacaktır. Ayrıca kuruluşların konu erişim taleplerine zamanında yanıt vermesi gerekmektedir.
Güncellenmiş gizlilik politikaları
Kuruluşların, toplanan verilerin nasıl işleneceğine ilişkin açık ve ayrıntılı bildirimler sağlaması gerekecek. Veri sahiplerinin yeni geliştirilmiş haklar (yukarıda belirtildiği gibi) hakkında bilgilendirilmesi gerekecektir. Mevcut gizlilik politikalarının buna göre güncellenmesi gerekecektir.
Kişisel verilerin uluslararası aktarımı
Kişisel verilerin dünyanın farklı yerlerine aktarılması veri korumasını zayıflatabilir. Bu nedenle GDPR, kişisel verilerin AB dışındaki ülkelere/kuruluşlara aktarılmasına kısıtlamalar getirmiştir.
İhlalleri bildirme
GDPR uyarınca kuruluşlar, AB vatandaşlarının hak ve özgürlüklerini tehlikeye atabilecek her türlü ihlali bildirmek zorundadır. Bu, kişisel verilerin kaybolmasını, değiştirilmesini veya yetkisiz erişimini/ifşa edilmesini içerebilir. Böyle bir ihlalin meydana gelmesi halinde 72 saat içerisinde ilgili makamlara bildirilmesi gerekmektedir.
Henüz yapmadıysanız, şimdi GDPR'ye ayak uydurmanın tam zamanı. Aşağıda, uyumluluğa yönelik ilk adımları atmanıza yardımcı olabilecek temel bir kontrol listesi bulunmaktadır.
- Gizlilik bildirimlerinizi ve politikalarınızı inceleyin
- Bir ihlal planınızın olduğundan emin olun
- Kişisel verileri yasal olarak işlediğinizden emin olun
- Personeliniz için kapsamlı bir eğitim planı hazırlayın
- Süreçlerinizi ve prosedürlerinizi yakından izleyin
- Gerektiğinde bir DPO atayın
- İşleyici iseniz mevcut sözleşmelerinizi gözden geçirin ve hangi değişikliklerin yapılması gerektiğini değerlendirin
- Verileri AB dışına aktarıyorsanız, bunu yapmak için meşru bir temele sahip olduğunuzdan emin olun.
- Önemli dosyalar, klasörler ve kullanıcı hesaplarındaki değişiklikler hakkında raporlar ve gerçek zamanlı uyarılar sağlayabilen bazı ticari denetim yazılımlarına yatırım yapın