Veri Koruma Etki Değerlendirmesi (VKED / DPIA) Nedir, Ne Zaman Gerekir?

1. VKED Nedir? Veri Koruma Etki Değerlendirmesi

Kişisel verilerin işlenmesi; özellikle çalışan, müşteri, hasta, kullanıcı ve benzeri ilgili kişiler bakımından büyük riskler barındırabilir. Bu riskler; verinin kaybolması, yetkisiz kişilere verilmesi, kopyalanması, iyi niyetli olmayan amaçlarla kullanılması veya veri sorumlusunun, veriyi ilgili kişiye hiç bildirilmemiş amaçlar için kullanması şeklinde ortaya çıkabilir.

Veri Koruma Etki Değerlendirmesi (VKED), tam da bu riskleri öngörmek ve yönetmek için tasarlanmış bir süreçtir. Basitçe VKED:

• Kişisel veri işleme faaliyetlerinden doğabilecek öngörülebilir riskleri tespit etmeyi,
• Bu risklerin olasılık ve etkisini değerlendirmeyi,
• Uygulanacak teknik ve idari tedbirlerle riski kabul edilebilir seviyeye düşürmeyi,
• Ve tüm süreci yazılı olarak dokümante etmeyi

amaçlayan sistematik bir analiz metodolojisidir. VKED; hem risk yönetimi hem de uyumun ispatı bakımından önemli bir kanıt seti olarak değerlendirilir.

GDPR kapsamında VKED, özellikle yüksek riskli veri işleme faaliyetleri için zorunlu bir yükümlülüktür. VKED yapmamak, eksik yapmak veya gerekli hâlde denetim otoritesine danışmamak ciddi idari para cezalarıyla sonuçlanabilir.

2. GDPR, VKED ve İdari Para Cezaları

Genel Veri Koruma Tüzüğü (GDPR) kapsamında, VKED şartlarına uyulmaması durumunda yetkili denetim otoriteleri tarafından önemli tutarlarda idari para cezaları uygulanabilir.

Özellikle:

• Veri işlemenin VKED’ye tabi olduğu hâlde hiç VKED yapılmaması,
• VKED’nin yüzeysel, eksik veya gerçeği yansıtmayan şekilde uygulanması,
• VKED sonucunda yüksek riskin devam ettiği durumlarda yetkili kuruma danışılmaması

gibi durumlarda, 10 milyon Euro’dan başlayan veya bir işletme ise bir önceki mali yıldaki dünya çapı cirosunun %2’sine kadar – hangisi yüksekse – idari para cezası söz konusu olabilir. (Metninde yer verdiğiniz “10 bin dolar” ifadesi, pratikte GDPR çerçevesinde çok daha yüksek tutarlarla karşılık bulmaktadır.)

Bu nedenle VKED; sadece “yapılması gereken bir uyum adımı” değil, aynı zamanda yüksek mali riskleri kontrol altına almak için zorunlu bir yatırım olarak görülmelidir.

3. VKED Ne Zaman Gereklidir? GDPR 35. Madde

GDPR’ın 35. maddesi, belirli veri işleme faaliyetleri için VKED’yi açıkça şart koşar. Temel kriter, veri işlemenin “gerçek kişilerin hak ve özgürlükleri için yüksek risk doğurma ihtimali”dir. Bu tür durumlarda, veri sorumlusu veri işleme faaliyetine başlamadan önce VKED tatbik etmek zorundadır.

VKED gerekliliğini değerlendirirken şu unsurlar dikkate alınmalıdır:

• Veri işlemenin türü, kapsamı ve bağlamı,
• İşlemenin amacı,
• Yeni veya karmaşık teknolojilerin kullanılıp kullanılmadığı,
• İşlemenin sonuçları ve bu sonuçların anlaşılabilirliği.

Özellikle yeni teknolojilerin devreye sokulduğu projelerde (ör. yapay zekâ, yüz tanıma, davranışsal profilleme gibi) ortaya çıkacak riskler çoğu zaman baştan öngörülememekte ve bu nedenle VKED gerekliliği daha da kritik hâle gelmektedir.

3.1. GDPR 35. Maddede Örneklenen Yüksek Risk Durumları

35. maddede, “yüksek risklerin muhtemel olduğu” durumlara örnek olarak şunlar verilir:

• Profilleme dâhil olmak üzere, gerçek kişilere ilişkin kişisel yönlerin sistematik ve kapsamlı bir şekilde otomatik işlenmesi; bu işlemenin kişiler hakkında hukuki sonuçlar doğurması veya benzeri ölçüde önemli etkiler yaratması.
• Özel nitelikli kişisel verilerin veya mahkûmiyet ve suçlara ilişkin verilerin geniş kapsamlı işlenmesi.
• Kamuya açık alanlarda geniş ölçekli ve sistematik izleme.

Bu liste sınırlı değildir. Dolayısıyla, her veri işleme projesi kendi bağlamında risk perspektifinden ayrıca değerlendirilmelidir.

4. Madde 29 Çalışma Grubu (ÇG29) Kriterleri ve VKED Gerektiren İşlemler

Eski Madde 29 Çalışma Grubu (Article 29 Working Party – ÇG29), VKED gerektiren veri işleme faaliyetlerini daha somut biçimde sınıflandırmak için bir kritikler listesi yayınlamıştır. Bu listede yer alan kriterlerden birden fazlasını sağlayan işlemler için VKED yapılması tavsiye edilmektedir.

4.1. ÇG29’un Öne Çıkan Kriterleri

• Değerlendirme veya puanlama: Çalışan performansı, kredi skoru, ekonomik durum, sağlık, kişisel tercihler, davranışlar, güvenilirlik veya risk profili gibi unsurların profilleme ve tahmin yoluyla sistematik olarak değerlendirilmesi.
• Sistematik izleme: Ağlar üzerinden toplanan veriler veya kamuya açık alanların sistematik olarak izlenmesi; kişilerin gözetim veya kontrol amacıyla takip edilmesi.
• Hassas veri ve yüksek derecede kişisel veri: Özel nitelikli kişisel veriler ile mahkûmiyet ve suçlara ilişkin verilerin işlenmesi.
• Geniş kapsamlı veri işleme: Belirli veya büyük bir nüfus grubuna ait verilerin; yüksek hacimde, çok çeşitli veri kategorileri içeren, uzun süreli veya geniş coğrafi alanı kapsayan şekilde işlenmesi.
• Veri kümelerinin birleştirilmesi: Farklı amaçlar veya farklı veri sorumluları tarafından toplanmış veri setlerinin, ilgili kişinin makul beklentilerini aşacak şekilde birleştirilmesi.
• Korunmaya muhtaç kişilerin verileri: Veri sorumlusu ile ilgili kişi arasında ciddi güç dengesizliği bulunan durumlar (işveren–çalışan ilişkisi, çocuklar, akıl hastalığı olan kişiler, mülteciler, yaşlılar vb.). Bu kişiler, verilerinin işlenmesi veya haklarını kullanmaları bakımından daha kırılgan gruplardır.
• Yeni teknolojiler veya inovatif çözümler: Örneğin gelişmiş fiziksel erişim kontrolleri için PDKS sistemlerinin parmak izi ve yüz tanıma ile birlikte kullanılması.
• Hakların kullanımını engelleme riski: Veri işlemenin, ilgili kişilerin yasal haklarını kullanmasını veya bir sözleşmeden/hizmetten yararlanmasını fiilen engelleyebilecek nitelikte olması.

Genel yaklaşım şudur: Bir veri işleme faaliyeti ne kadar çok kriteri sağlıyorsa, ilgili kişilerin hak ve özgürlüklerine yönelik risk o kadar yüksektir ve VKED yapma zorunluluğu da o kadar güçlenir.

5. Yüksek Risk Yaklaşımı ve VKED Süreci

Bazı durumlarda veri sorumlusu, planlanan işlemin yüksek risk doğurmadığını düşünebilir. Böyle durumlarda bile, bu değerlendirmeyi gerekçelendirmek ve belgelendirmek kritik öneme sahiptir; zira denetim sırasında “neden VKED yapılmadı?” sorusuna verilen cevaplar bu dokümanlarla desteklenmelidir.

5.1. VKED Zorunlu mu, Şüphe Varsa Ne Yapmalı?

• Eğer işleme faaliyeti, ÇG29 kriterlerinden en az ikisini karşılıyorsa, VKED yüksek ihtimalle zorunludur.
• Sadece tek kriterin sağlandığı fakat etkisinin çok güçlü olduğu durumlarda (örneğin hassas verilerin geniş kapsamlı işlenmesi), veri sorumlusunun VKED yapmaya yönelmesi tavsiye edilir.
• ÇG29, VKED gerekip gerekmediğinin muğlak olduğu gri alanlarda dahi VKED yapılmasını önermektedir. Bu, hem risk yönetimi hem de denetimlerde iyi niyet göstergesi olarak değerlendirilir.

5.2. Yüksek Riskin Yokluğu Nasıl Gerekçelendirilir?

Veri sorumlusu, bazı durumlarda veri işlemenin yüksek risk yaratmadığı sonucuna varabilir. Böyle bir karar alınacaksa:

• Bu değerlendirme yazılı olarak gerekçelendirilmelidir.
• Veri koruma görevlisinin (DPO) görüşü alınmalı ve bu görüş de kayıt altına geçirilmelidir.
• Kullanılan risk metodolojisi, kriterler ve sonuca nasıl ulaşıldığı açıkça dokümante edilmelidir.

Bu yaklaşım, ileride bir denetim veya veri ihlali söz konusu olduğunda, veri sorumlusunun özen yükümlülüğünü yerine getirdiğini ve bilinçli bir değerlendirme yaptığını ortaya koyar.

6. VKED Uygulama İpuçları ve Dokümantasyon

VKED, yalnızca bir form doldurmak değil; uçtan uca bir süreç tasarımı anlamına gelir. Etkili bir VKED sürecinde aşağıdaki başlıklar yer almalıdır:

• İşleme tanımı: Hangi veriler, kimler hakkında, hangi sistemlerde, hangi amaçlarla işleniyor? Veri akışı haritaları ve iş süreçleri netleştirilmelidir.
• Hukuki dayanaklar: İlgili işleme için hangi meşru zemin kullanılıyor (açık rıza, sözleşme, hukuki yükümlülük, meşru menfaat vb.)?
• Risk analizi: Veri sızıntısı, yetkisiz erişim, amaç dışı kullanım, profil hataları gibi riskler; olasılık ve etki düzeyi ile birlikte değerlendirilmelidir.
• Teknik ve idari tedbirler: Şifreleme, erişim kontrolü, loglama, DLP, pseudonimleştirme, eğitimler, politikalar ve sözleşmesel hükümler gibi önlemler VKED’de açıkça ortaya konmalıdır.
• Artık risk ve karar: Alınan tedbirler sonrasında hâlâ kabul edilemeyecek düzeyde risk varsa, işleme faaliyetinin yeniden tasarlanması veya denetim otoritesine ön danışma yapılması gerekebilir.

Unutulmamalıdır ki VKED, veri sorumlularının GDPR’a uyum sağlaması ve bu uyumu ispat edebilmesi için en önemli araçlardan biridir. Bu nedenle sürecin çıktıları, düzenli olarak gözden geçirilmeli, güncellenmeli ve denetimlere hazır şekilde saklanmalıdır.

7. Sık Sorulan Sorular – VKED / DPIA