GDPR DPO Uygulama Kılavuzu: Veri Koruma Görevlinizin Atanması ve Faaliyete Geçirilmesi

Veri Koruma Görevlisi ataması gereken kuruluşların yalnızca %37'si bunu doğru bir şekilde yaptı. Geriye kalan %63'ü ya bir atama yapmadı, gerekli bağımsızlığa sahip olmayan birini atadı ya da yeterli kaynak sağlamadı. Yalnızca kağıt üzerinde var olan bir DPO ataması, denetleyici makam kapıyı çaldığında hiçbir koruma sağlamaz.

Bu kılavuz, DPO uygulama yaşam döngüsünün tamamını kapsar: ihtiyacınızın olup olmadığının belirlenmesi, doğru kişinin seçilmesi, rolün tanımlanması ve işlevin gerçekten çalışacak şekilde operasyonel hale getirilmesi.

Önemli Çıkarımlar

• Kişisel verileri geniş ölçekte işleyen veya özel kategorilerdeki verileri işleyen kuruluşlar için DPO ataması zorunludur
• DPO bağımsız olmalıdır: görevlerini nasıl yerine getirecekleri konusunda talimat verilemez ve işlerini yaptıkları için cezalandırılamazlar
• Harici (dış kaynaklı) DPO'lar GDPR kapsamında geçerlidir ve genellikle KOBİ'ler için daha pratiktir
• DPO rolünün operasyonel hale getirilmesi, DPIA'lar, veri sahibi talepleri ve ihlal bildirimi için belgelenmiş iş akışları gerektirir

---

Bir DPO'ya İhtiyacınız Var mı?

Zorunlu Randevu Kriterleri (Madde 37)

Aşağıdaki durumlarda DPO gereklidir:

1. Bir kamu makamı veya organısınız (yargı sıfatıyla hareket eden mahkemeler hariç)
2. Temel faaliyetleriniz, veri sahiplerinin geniş ölçekte düzenli ve sistematik olarak izlenmesini gerektirir (ör. davranış takibi, profil oluşturma, konum takibi)
3. Temel faaliyetleriniz, özel kategorilerdeki verilerin (sağlık, biyometri, sabıka kayıtları, siyasi görüşler, dini inançlar) büyük ölçekli işlenmesini içerir

Karar Matrisi

Zorunlu olmasa bile, veri koruma taahhüdünü gösterdiği için bir Veri Koruma Görevlisi atanması şiddetle tavsiye edilir.

---

Doğru DPO'yu Seçmek

Gerekli Nitelikler (Madde 37(5))

DPO'nun aşağıdaki özelliklere sahip olması gerekir:

• Veri koruma kanunu ve uygulamaları konusunda uzman bilgisi --- mutlaka bir avukat olması gerekmez, ancak GDPR ve ilgili yerel kanunlar hakkında derinlemesine bilgi sahibi olmak
• Madde 39'da belirtilen görevleri yerine getirme yeteneği (aşağıya bakınız)
• Veri sahipleri ve denetleyici makamlar tarafından iletişime geçilecek Uygunluk

Dahili ve Harici DPO

Çoğu KOBİ için: Harici bir DPO hizmeti daha uygun maliyetlidir ve gerçek anlamda bağımsızlık sağlar. Sözleşmenin ihlal müdahalesi ve denetleyici makam sorguları için kullanılabilirliği garanti ettiğinden emin olun.

---

DPO Sorumlulukları (Madde 39)

Temel Görevler

1. Kuruluşu ve çalışanlarını GDPR yükümlülükleri hakkında bilgilendirin ve tavsiyelerde bulunun
2. **GDPR ve dahili veri koruma politikalarıyla uyumluluğu izleyin
3. DPIA'lar (Veri Koruma Etki Değerlendirmeleri) hakkında tavsiyede bulunun ve bunların uygulanmasını izleyin
4. Denetleyici makamlarla işbirliği yapın ve irtibat noktası olarak hareket edin
5. Veri sahibinin taleplerini ele alın veya süreci denetleyin

Operasyonel İş Akışı

Veri Koruma Etki Değerlendirmesi (DPIA) Süreci:

Veri Sahibi Talebi İş Akışı:

Request received (email, form, phone)
    |
    v
Identity verification (within 3 days)
    |
    v
Request classification:
  - Access (Art. 15): Provide copy of all personal data
  - Rectification (Art. 16): Correct inaccurate data
  - Erasure (Art. 17): Delete data (if no legal basis to retain)
  - Restriction (Art. 18): Limit processing
  - Portability (Art. 20): Export data in machine-readable format
  - Objection (Art. 21): Stop processing based on legitimate interest
    |
    v
Fulfillment (within 30 days, extendable to 90 for complex requests)
    |
    v
Documentation and closure

---

Raporlama Yapısı

Bağımsızlık Gereksinimleri

GDPR, DPO'nun şunları yapmasını zorunlu kılar:

• En üst yönetim seviyesine rapor verir (CEO, yönetim kurulu)
• Görevlerini nasıl yerine getirecekleri konusunda talimat verilemez
• DPO görevlerini yerine getirdiği için görevden alınamaz veya cezalandırılamaz
• Yeterli kaynaklar sağlanmalıdır (bütçe, personel, eğitim, araçlar)

Organizasyon Şeması

Board of Directors / CEO
        |
        +--- DPO (direct reporting line)
        |      |
        |      +--- Data Protection Team (if applicable)
        |
        +--- CTO / CIO
        |      |
        |      +--- IT Security (implements controls recommended by DPO)
        |
        +--- COO
        |      |
        |      +--- Business Units (comply with DPO guidance)
        |
        +--- Legal
               |
               +--- Contracts (DPAs reviewed with DPO input)

Çıkar Çatışması

DPO aynı anda veri işlemenin amaçlarını ve araçlarını belirleyen bir konuma sahip olamaz. Çatışan roller şunları içerir:

• CEO, COO, CFO
• BT Başkanı
• İK Başkanı
• Pazarlama Müdürü
• Baş Hukuk Müşaviri (tartışıldı ama sorunlu)

---

DPO Araç Seti

Gerekli Belgeler

Teknoloji Yığını

---

DPO Etkinliğini Ölçme

---

Sıkça Sorulan Sorular

DPO kişisel olarak sorumlu tutulabilir mi?

Hayır. DPO'nun rolü tavsiye niteliğindedir. Uyum konusunda sorumluluk kuruluşa (veri sorumlusuna) aittir. Ancak DPO ihmalkar tavsiyelerde bulunursa mesleki sonuçlarla karşı karşıya kalabilir. Dahili DPO'lar için sigorta (mesleki tazminat) önerilir.

Bir DPO birden fazla kuruluşa hizmet verebilir mi?

Evet. Madde 37(2), DPO'ya "her kuruluştan kolayca erişilebilmesi" koşuluyla, bir grup teşebbüsün tek bir DPO atamasına izin vermektedir. Bu, harici DPO hizmetleri ve kurumsal gruplar için yaygındır. DPO'nun her kuruluş için yeterli zamana ve kaynağa sahip olması gerekir.

Gerektiğinde DPO atamazsak ne olur?

Gerektiğinde bir DPO atanmaması, 10 milyon Euro'ya veya küresel yıllık cironun %2'sine kadar para cezalarına tabi olan doğrudan bir GDPR ihlalidir. Daha pratik olarak, bir DPO'nun bulunmaması herhangi bir veri ihlali soruşturmasında savunmanızı zayıflatır; denetleyici otoriteler bunu yetersiz yönetişimin kanıtı olarak görür.

Odoo ERP uygulamaları için DPO randevusu nasıl çalışır?

Odoo örneğiniz kişisel verileri geniş ölçekte işliyorsa (yüzlerce çalışan, AB çapında binlerce müşteri), muhtemelen bir DPO'ya ihtiyacınız vardır. DPO, Odoo yapılandırma kararlarına dahil olmalıdır: modül başına erişim kontrolleri, veri saklama otomasyonu, denetim günlüğü kurulumu ve özel kategorileri (İK, işe alım) işleyen modüller için DPIA. ECOSIRE, Odoo uygulama hizmetlerimize yönetim danışmanlığını içerir.

---

Sırada Ne Var?

DPO ataması ilk adımdır. Tasarım gereği gizlilik, veri saklama politikaları ve çalışan veri gizliliği yönetimi ile yönetişim programını bunun etrafında oluşturun. Yönetişim çerçevesinin tamamı için veri yönetimi kılavuzumuza bakın.

Contact ECOSIRE for GDPR compliance consulting and DPO advisory services.

---

ECOSIRE tarafından yayınlandı - işletmelerin işe yarayan veri koruma uygulamalarına yardımcı oluyor.