AB GDPR İşletmeniz İçin Geçerli mi? Uluslararası Şirketlerin Bilmesi Gerekenler

AB Genel Veri Koruma Yönetmeliği (GDPR) dünyadaki en kapsamlı veri gizliliği yasalarından biridir.

Avrupa Birliği (AB) ve Avrupa Ekonomik Alanı’ndaki (AEA) kişilerin kişisel verilerini korumak için tasarlanan GDPR, Mayıs 2018’de yürürlüğe girdiğinden bu yana şirketlerin kişisel verileri ele alma şeklini değiştirdi - katı kurallar belirledi ve bunlara uymayanlar için ağır para cezaları getirdi. GDPR’yi göz ardı etmek ciddi sonuçlara yol açabilir. İşletmeler 20 milyon Avro’ya veya küresel yıllık gelirlerinin %4’üne kadar (hangisi daha yüksekse) para cezasına çarptırılabilir.

Mali cezaların ötesinde, şirketler düzenleyici soruşturmalar, itibarlarının zedelenmesi ve hatta AB’de faaliyet göstermelerinin kısıtlanması riskiyle karşı karşıyadır. Bunlardan herhangi biri felakete yol açabilir ve bu nedenle AB GDPR ile uyumluluk ihtiyacı, geçerli olduğu tüm işletmeler için yüksek bir öncelik olmalıdır.

Ancak, AB GDPR’nin karmaşıklığı ve kapsamı göz önüne alındığında, yasanın işletmeniz için geçerli olup olmadığını anlamak mantıklı bir ilk adımdır. Bu makale, AB GDPR’nin işletmeniz için geçerli olup olmadığını anlamanıza yardımcı olur ve geçerliyse uyumluluğu sağlamak için atabileceğiniz adımları sunar.

AB GDPR’ye Kimlerin Uyması Gerekiyor?

AB GDPR’nin temel bir karmaşıklığı, AB dışındaki işletmeler için de geçerli olmasıdır. Evet, doğru okudunuz.

Bunun nedeni “ekstra bölgesel” kapsam veya erişim olarak bilinen bir şeydir. Bu, Avrupa dışından birçok işletmenin, AB sakinlerinin verileriyle nasıl etkileşimde bulunduklarına bağlı olarak yasaya uymaları gerekebileceği anlamına gelir. Bu küresel erişim, GDPR uyumluluğunu her yerdeki şirketler için önemli bir endişe haline getirmiştir.

AB GDPR, iki temel durumdaki kuruluşlar için geçerlidir:

1. AB’de yerleşik işletmeler: Şirketiniz bir AB/AEA ülkesinde kuruluysa, muhatap olduğunuz kişiler nerede olursa olsun, işlediğiniz tüm kişisel veriler için AB GDPR’ye uymanız gerekir.
2. AB kişisel verilerini işleyen AB dışındaki işletmeler: Şirketiniz AB dışında kuruluysa ancak yine de AB sakinlerinin verileriyle etkileşime giriyorsa, AB GDPR sizin için geçerli olabilir. AB GDPR’nin 3(2) Maddesi uyarınca bu, aşağıdakileri yapan işletmeleri içerir: a. AB’deki kişilere mal veya hizmet sunmak (ücretsiz veya ücretli) b. AB’deki kişilerin davranışlarını takip etmek veya izlemek (örneğin çevrimiçi izleme yoluyla)

Bu nedenle, işletmenizin Avrupa’da fiziksel varlığı olmasa bile, yine de GDPR yükümlülükleriniz olabilir.

AB GDPR’nin Bölge Dışı Erişimi Nedir?

Şirketinizin merkezi AB’de olmasa bile, AB merkezli müşterilere ürün veya hizmet satıyorsanız veya web sitesi analizleri aracılığıyla çevrimiçi davranışlarını analiz etmek gibi faaliyetler yoluyla AB’deki kişileri izliyor veya takip ediyorsanız, yine de AB GDPR’ye uymanız gerekebilir.

İşletmenizin GDPR kapsamına girmesi için tüm AB’yi hedeflemesi bile gerekmez - herhangi bir AB Üye Devletindeki müşterilerle etkileşim kurmak veya onları izlemek işletmenizi kapsam altına alabilir.

İşletmeniz AB GDPR’nin bölge dışı kapsamına giriyorsa, yönetmeliğin 27. Maddesi uyarınca bir AB Temsilcisi atamanız gerekebilir.

Bir AB Temsilcisine İhtiyacınız Var mı?

Şirketinizin AB’de fiziksel bir varlığı yoksa ancak AB’de iş yapıyorsa ve bu nedenle GDPR kapsamındaysa, Madde 27 uyarınca bir AB temsilcisi atamanız gerekebilir. Temsilci, AB düzenleyicileri ve verilerini işlediğiniz bireyler için yerel irtibatınız olarak hareket etmek üzere AB üyesi olmayan bir işletme tarafından atanan bir kişi veya şirkettir.

Aşağıdaki kriterlerin tamamı karşılanmadığı sürece bir AB temsilcisi gereklidir:

• AB verilerinizin işlenmesi yalnızca zaman zaman gerçekleşir ve sistematik değildir; ve
• işlediğiniz veriler önemli miktarda özel kategori verisi (örn. sağlık, biyometri) veya cezai hüküm ve suçlar içermiyorsa; ve
• işlem bireyler için düşük risk teşkil etmektedir.

Bu kriterlerin tamamını karşılamak zordur, özellikle de verilerin yalnızca ara sıra işlenmesi kriteri çoğu işletme için büyük bir engel teşkil etmektedir.

İşletmenizin bir temsilciye ihtiyacı olduğu sonucuna vardığınızda şunları yapmanız gerekir:

• AB’de yerleşik bir temsilci atamanız ve
• gizlilik politikalarınıza temsilcinin iletişim bilgilerini ekleyin.

Düzenleyiciler, yaptırım eylemleri için onlara ulaşabilir, bu da bunu AB GDPR’ye tabi işletmeler için önemli bir adım haline getirir.

AB GDPR’nin İşletmeniz İçin Geçerli Olup Olmadığını Nasıl Anlarsınız?

AB GDPR’nin sizin için geçerli olup olmadığını anlamak için göz önünde bulundurmanız gereken iki ana soru vardır:

1. AB’deki Kişilere Mal veya Hizmet Sunuyor musunuz?

Madde 3(2)(a) uyarınca, AB dışındaki işletmelerin AB müşterilerini aktif olarak hedeflemeleri halinde GDPR’ye uymaları gerekmektedir. Sadece AB’de ikamet edenlerin erişebileceği bir web sitesine sahip olmak yeterli değildir.

Şirketinizin AB pazarı ile etkileşim içinde olduğunu gösteren işaretler şunları içerir:

• Bir AB dilinde web sitesi sunmak (AB dışındaysanız İngilizce dışında).
• Fiyatları Euro (EUR) veya diğer AB para birimlerinde göstermek.
• AB bölgelerine ürün göndermek veya hizmet sunmak.
• AB kullanıcılarına yönelik reklamlar veya pazarlama kampanyaları yayınlamak.
• AB ülkeleriyle ilişkili alan adlarını kullanmak (ör. .de, .fr, .eu).

İşletmeniz bu koşullardan herhangi birini karşılıyorsa, AB GDPR büyük olasılıkla geçerlidir.

2. AB Sakinlerini Takip Ediyor veya İzliyor musunuz?

AB GDPR, Madde 3(2)(b)‘de belirtildiği gibi AB bireylerini izliyor veya profillerini çıkarıyorsa şirketiniz için geçerli olabilir. Bu, kişisel verileri davranışsal analiz, hedefli reklamcılık veya benzer amaçlar için kullanan işletmeler için geçerlidir.

İzleme kapsamına giren faaliyetlere örnekler şunlardır:

• Çerezler, cihaz parmak izi veya benzer araçlar yoluyla kullanıcı davranışının izlenmesi.
• Kişiselleştirilmiş reklamlar veya öneriler için bireylerin profilini çıkarmak.
• Analitik araçları kullanarak AB web sitesi ziyaretçilerinin etkileşimlerini analiz etme.
• Mobil uygulamalar aracılığıyla konum verilerinin izlenmesi.
• Risk değerlendirmesi, dolandırıcılık tespiti veya benzer amaçlar için tarama alışkanlıklarını kaydetmek.

AB merkezli bireylerle bu faaliyetlerden herhangi birini gerçekleştiriyorsanız, AB dışında faaliyet gösteriyor olsanız bile AB GDPR’ye uymanız gerekir.

AB GDPR Uyumluluğunu Sağlamak için Pratik Adımlar

AB GDPR’si işletmeniz için geçerliyse, cezalardan ve aksaklıklardan kaçınmanın en iyi yolu proaktif adımlar atmaktır. Temel eylemler şunları içerir:

• Madde 27 kapsamında gerekliyse, düzenleyiciler ve AB bireyleri için bir irtibat noktası olarak hizmet vermek üzere bir AB temsilcisi atayın.
• Hangi verileri, neden topladığınızı ve bireylerin haklarını nasıl kullanabileceklerini net bir şekilde açıklamak için gizlilik politikalarını güncelleyin.
• Şifreleme, erişim kontrolleri ve diğer koruyucu önlemleri uygulayarak veri güvenliğini güçlendirin.
• AB verilerini nasıl işlediğinize dair uygun kayıtlar tutun ve sorulması halinde uyumluluğu gösterebildiğinizden emin olun.
• Net iç süreçlere sahip olarak erişim, düzeltme ve silme talepleri gibi veri sahibi taleplerine hazırlıklı olun.

Bu adımları atmak, işletmelerin riskleri azaltmasına yardımcı olur ve gereksiz engeller olmadan AB müşterileriyle etkileşime devam edebilmelerini sağlar.

AB GDPR Uyumluluğuna Yönelik Proaktif Adımları Bugün Atın

AB GDPR uyumluluğunda gezinmek, özellikle uyum sağlamaları gerektiğinin farkında olmayan AB dışındaki işletmeler için zor olabilir. Yönetmeliğin geniş kapsamı, katı gereklilikleri ve ağır cezaları, uluslararası şirketlerin yükümlülüklerini değerlendirmelerini ve harekete geçmelerini çok önemli hale getirmektedir.

AB üyesi olmayan işletmeler için, Madde 27 kapsamında bir AB temsilcisi atamak genellikle ilk uyum adımlarından biridir. Prighter bu noktada yardımcı olabilir. Yüzlerce küresel kuruluş için AB GDPR Temsilciliği hizmetleri sağlıyoruz ve işletmenizin yükümlülüklerini anlamasına ve yerine getirmesine yardımcı olabilir, yol boyunca karmaşıklığı ortadan kaldırabiliriz.

Uyumluluğu şansa bırakmayın - bugün bir demo planlayın ve Prighter’ın AB GDPR uyumluluğunu nasıl sorunsuz ve stressiz hale getirebileceğini öğrenin.