DPO
(DATA PROTECTION OFFICER / VERİ KORUMA GÖREVLİSİ)
Veri koruma görevlisi (DPO), yasalar yardımıyla bireylerin kişisel verilerinin korumasını sağlar. Bir kuruluş içindeki DPO’nın atanması, konumu ve görevleri Avrupa Birliği (AB) Genel Veri Koruma Yönetmeliği’nin (GDPR) 37., 38. ve 39. maddelerinde açıklanmaktadır. Bu yönetmelik gereğince birçok ülkede DPO’nun atanması gerekmektedir.
GDPR’ye göre DPO, doğrudan en yüksek yönetim seviyesinde rapor vermektedir. Bu durum DPO’nun doğrudan bu düzey yöneticiler tarafından yönetilmesi gerektiği anlamına gelmemektedir. Fakat, kişisel veri işleme hakkında kararlar alan üst düzey yöneticilere tavsiyelerde bulunmak için onlara doğrudan erişime sahip olması gerekmektedir.
DPO’nun temel sorumlulukları arasında, kuruluşunun ilgili tüm GDPR yükümlülüklerinden haberdar olmasını sağlamak vardır. Buna ek olarak, gereklilikler için eğitim almak, uyumluluğu sağlamak için denetimler yapmak, olası sorunları proaktif olarak ele almak ve tüm veri gizliliği konularında kendi kuruluşu ile kişi arasında irtibat kurmak diğer görevleri arasındadır.
Veri koruma görevlisi, kuruluşun ayrılmaz bir parçasıdır. Görevlerini bağımsız olarak yerine getirebilmelidir. AB kurumları ve organlarında, bu bağımsızlığı garanti eden bir dizi güvence vardır:,
-
AB kurumları ve organları için geçerli kurallarında, verilerin koruyan görevlinin görevlerinin yerine getirilmesi ile ilgili herhangi bir talimat almayacağını açıkça belirtmektedir;
-
Bireyin DPO olarak görevleri ile varsa diğer görevleri arasında bir çıkar çatışması olmamalıdır. Çatışmayı önlemek için aşağıdakilerin yapılması önerilir:
-
Aynı zamanda işleme faaliyetlerinin de bir denetleyicisi olmamalıdır. (örneğin, İnsan kaynakları müdürü)
-
Kısa veya sabit vadeli bir sözleşmeye sahip bir çalışan olmamalıdır.
-
Doğrudan bir üst yöneticiye rapor vermemelidir. (üst yönetim yerine)
-
Kendi bütçesini yönetme sorumluluğu olmalıdır.
-
Kuruluş, bu kişilerin görevlerini yerine getirmesini desteklemek için personel ve kaynaklar sunmalıdır. Bu bağlamda, AB kurum ve kuruluşlarındaki veri koruma görevlileri, bir DPO asistanı veya yardımcısı tarafından görevlendirilebilir ve organizasyonun her bölümündeki veri koruma koordinatörlerine (DPC'ler) güvenebilir. Kaynaklara erişim aynı zamanda eğitim olanaklarını da içerir.
-
Veri koruma görevlisi soruşturma yetkisine sahip olmalıdır. Örneğin AB kurumlarında ve organlarında, bu görevliler tüm kişisel verilere ve veri işleme işlemlerine anında erişebilir; Sorumluların da sorularına cevap olarak bilgi vermeleri gerekmektedir.
-
Görevleri için kuruluşu tarafından asgari bir atama süresi ve işten çıkarılma için katı koşullar belirlenmelidir. AB kurum ve organlarında veri korumada görevli olanlar, üç ila beş yıllık süre için atanır ve yeniden atanabilir.