eBSI Uzman Danışmanı Paul Lambert, web sitemizin veri koruma politikasının mevzuata uygunluğunu sağlamak için bazı temel noktaları ele alıyor.
Dünya çapındaki ihracatçılar, hükümetlerin internet kullanıcılarının kişisel verilerinin usulsüz kullanımına karşı daha sert önlemler aldıkça, ülkelerinde gelecekteki veri koruma mevzuatlarına hazırlıklı olmalıdır.
Bu makalede İrlanda perspektifine ve mevzuatına odaklanacağım, ancak İrlanda mevzuatı alanda en iyi uygulama olarak kabul edilenleri yansıttığı için bu ilkelerin çoğu diğer ülkeler için de geçerli olacaktır.
Öncelikle, Veri Koruma Nedir?
Veri Koruma rejimi, kuruluşlar tarafından kişisel bilgileriniz toplandığında ve işlendiğinde bireylerin haklarını korumak amacıyla uygulanır. Kişisel verileri bizzat kontrol eden veya üçüncü taraflar adına veri işleyen tüm kuruluşlar, son olarak Data Protection (Amendment) Act 2003 ile değiştirilen ve genişletilen Data Protection Act 1988 (topluca “DPA”) tarafından getirilen yükümlülüklere uymalıdır.
Tüm kuruluşlar, yeni Veri Koruma rejimi kapsamındaki yükümlülük ve sorumluluklarının farkında olmalı ve bunlara uymalıdır. Bu noktayı vurgulayan Veri Koruma Komiseri, çeşitli ticari sektörlerde uyum denetimleri gerçekleştirmeyi planlamaktadır. Ayrıca yakın zamanda uyum sağlamayan kuruluşlara karşı yasal işlem başlatmaya başlamış olup buna devam edecektir.
Kılavuzlar
Kılavuzlar, web sitesi Gizlilik Beyanları ile Gizlilik Politikaları arasında ayrım yapar ve bir Gizlilik Beyanının Gizlilik Politikası olmadığını açıkça belirtir. Bir Gizlilik Politikası, kuruluşun Data Protection İlkelerine kuruluş genelinde uyumunu belgeler. Müşteri verileri, üçüncü taraf verileri ve çalışan verileri de dahil olmak üzere kuruluş tarafından işlenen tüm kişisel veriler için geçerlidir. Bir Gizlilik Politikası, genellikle uzman hukuki danışma gerektiren çok karmaşık bir belge olabilir.
Kuruluşlar ayrıca 8 Veri Koruma İlkesine de uymalıdır, bunlar şunlardır:-
* Verileri adil bir şekilde elde etmek ve işlemek;
* Verileri yalnızca bir veya daha fazla belirlenmiş, açık ve hukuki amaç için saklamak;
* Verileri yalnızca bu amaçlarla uyumlu yollarla kullanmak ve ifşa etmek;
* Verileri güvenli ve emniyetli bir şekilde saklamak;
* Verileri doğru, eksiksiz ve güncel tutmak;
* Verilerin yeterli, ilgili ve aşırı olmamasını sağlamak;
* Verileri amaçlar için gerekli olan süreden daha uzun süre saklamamak;
* Bireylerin erişim taleplerine uymak.
Gizlilik Politikası, kurum içi bir belgedir. Bu nedenle kurum içi prosedürleri detaylandırabilir, bireysel/bölümsel sorumlulukları atayabilir vb.
Öte yandan Gizlilik Beyanları, web sitesinde işlenen veriler açısından kuruluşun Veri Koruma rejimine nasıl uyduğunu bildiren, kamuya açık belgelerdir. Bu nedenle çok daha dar kapsamlı bir belge niteliğindedir.
Web Siteleri Gizlilik Beyanı Gerektirir
Bu, hem DPA hem de 2003 Avrupa Toplulukları (Elektronik Haberleşme Ağları ve Hizmetleri) (Veri Koruma ve Gizlilik) Yönetmeliği (SI No. 535) 2003 ( “Yönetmelik”) uyarınca yasal bir gerekliliktir. DPA'nın 2. (l)(a) maddesi, “verilerin veya duruma göre verileri oluşturan bilgilerin elde edilmiş olmasını ve verilerin adil bir şekilde işlenmesini” gerektirir. Verileri işlenen kişinin en az aşağıdakilerden haberdar olmasını genel olarak gerektiren bu adil elde etme ilkesi şunları içerir:-
* Verileri işleyen kişinin kimliği;
* Verilerin işlendiği amaç veya amaçlar;
* Verilerin ifşa edilebileceği herhangi bir üçüncü taraf;
* Erişim ve düzeltme hakkının varlığı.
5. Madde, internet faaliyetiyle ilgili belirli yükümlülükler getirir:-
“(1) Hiçbir kişi, aşağıdaki durumlar hariç olmak üzere, bir elektronik haberleşme ağını bilgi depolamak veya bir abone veya kullanıcının terminal cihazında depolanan bilgilere erişmek için kullanamaz:
(a) ilgili abone veya kullanıcıya DPA uyarınca açık ve kapsamlı bilgi sağlanmış, bu bilgi belirgin bir şekilde görüntülenmiş ve kolayca erişilebilir durumda olup, sınırlamalarla birlikte işleme amacını içeriyorsa
(b) abone veya kullanıcıya veri sorumlusu tarafından bu tür bir işleme reddetme hakkı sunulmuşsa.
(2) 1. Paragraf, bir elektronik haberleşme ağı üzerinden bir iletişimin iletimini gerçekleştirmek veya kolaylaştırmak ya da abone veya kullanıcı tarafından açıkça talep edilen bir bilgi toplumu hizmetini sağlamak için kesinlikle gerekli olan durumlar için bilgilerin teknik olarak depolanmasını veya bunlara erişilmesini engellemez.”
Bu Madde, çerezlerin, web işaretçilerinin, IP adreslerinin toplanmasını ve diğer teknik konuların kullanımına atıfta bulunur.
Gizlilik Beyanının Bulunmaması
İrlanda'da, bir web sitesi Gizlilik Beyanının bulunmaması gibi DPA'ya aykırı durumlar, Veri Koruma Komiseri tarafından soruşturma ve yaptırım işlemine yol açabilir. Komiser, bir Gizlilik Beyanı veya veri işlemenin durdurulmasını gerektiren bir yaptırım bildirisi yayınlayabilir. Yasal işlem, ayrıca 100.000 €'ya kadar bir para cezası ve/veya veri silme emriyle sonuçlanabilir. DPA'nın 7. Maddesi ayrıca, verilerinin işlenme biçiminden dolayı zarar gören bireylere tazminat davası açma hakkı verir.
Gizlilik Beyanı Ne Zaman Gereklidir
Bir web sitesi aşağıdaki durumlardan herhangi birini gerçekleştirdiğinde Gizlilik Beyanı gereklidir, bunlar şunlardır:-
* Kişisel verileri topladığında (web formlarını, geri bildirim formlarını vb. dolduran ziyaretçiler);
* Çerezler veya web işaretçileri kullandığında;
* Kişisel verileri gizlice topladığında (IP adresleri, e-posta adresleri).
Gizlilik Beyanlarının İçermesi Gereken Bilgiler
Bilgiler, web sitesindeki kişisel verilerin işlenmesine özgü olmalıdır. Bu bilgiler, web sitesi ziyaretçisinin devam edip etmeyeceğine karar vermesi açısından yeterince ayrıntılı olmalıdır. Veri Koruma Komiserine göre, “bu sitede toplanan tüm veriler DPA'ya uygun olarak işlenecektir” gibi beyanlar artık (tek başına) yeterli değildir. Bu beyanlar, web sitesinin yükümlülüklerine uygulamada nasıl uyduğunu açıklayan bir ifadeyle değiştirilmeli/güncellenmelidir.
Bilgiler şunları içermelidir:-p>
* Kimlik
Kuruluşun ayrıntıları açıkça tanımlanabilir olmalıdır. Kuruluşun adını tek başına belirtmek yeterli değildir. Kimlik bilgileri, eksiksiz ve kullanışlı iletişim ayrıntılarını içermelidir. Kullanışlı ayrıntılar arasında, web sitesindeki kişisel verilerin işlenmesiyle ilgili herhangi bir konuyu görüşmek isteyen bir ziyaretçinin kullanabileceği bir e-posta adresi ve posta adresi yer almalıdır.
* Amaç
Ziyaretçilerin verilerinin kullanılmasını makul olarak bekleyebileceği birçok açık amaç olabilir. Bunlar arasında bir işlemin bağlamında gerekli olan veriler yer alabilir. Ancak, verilerin profilleme veya gelecekteki pazarlama gibi bariz olmayan amaçlar için işlenmesi de mümkündür. Tüm bu amaçlar Gizlilik Beyanında açıkça belirtilmelidir. Bu anlayışla gönüllü olarak verilen veriler adil bir şekilde elde edilmiş sayılır. Bir amaç bariz değilse ve belirtilmemişse, kuruluşun verileri bu amaçla hukuka uygun olarak işlemesi zor olacaktır.
Bir kuruluş, kişisel verileri (kuruluşun temsilcisi olarak hareket eden bir kişi hariç) bir üçüncü tarafa açarsa, bu bir ifşadır ve Gizlilik Beyanında belirtilmelidir. Bu kuralın genel istisnası, ifşanın Kanun tarafından zorunlu olmasıdır.
* Erişim Hakkı
DPA'nın 4. Maddesi uyarınca, bir kişi kişisel verilerinin bir kopyasını alma hakkına sahiptir. Bir kuruluş kişisel verileri saklıyorsa, Gizlilik Beyanında bu Erişim Hakkına atıfta bulunmalıdır. Kuruluş, izlenmesi gereken prosedürlere ilişkin ayrıntıları da içermelidir. DPA uyarınca, bir veri sahibi erişim talebi yazılı olmalıdır; kuruluşlar 6,35 €'yu aşmayan bir ücret talep edebilir ve 40 takvim günü içinde yanıt vermelidir. Kuruluşlar, böyle bir talebin kime yöneltilmesi gerektiğini belirtmelidir.
* Düzeltme veya Silme Hakkı
DPA'nın 6. Maddesi uyarınca, bir kişi kişisel verilerinin hatalı olması durumunda düzeltilmesini veya verileri saklamak için meşru bir nedene sahip değilse silinmesini talep etme hakkına sahiptir. Kuruluşlar böyle bir talebe uymak için ücret talep edemez ve talebin alınmasından itibaren 40 takvim günü içinde talebe uymalıdır. Bir kuruluş kişisel verileri saklıyorsa, Gizlilik Beyanı bu hakka atıfta bulunmalı ve ayrıca bir kişinin böyle bir talepte bulunurken izlemesi gereken prosedürleri ayrıntılı olarak belirtmelidir.
* İşlenen Verilerin Kapsamı
Farklı veriler farklı amaçlar için kullanılıyorsa, bu durum Gizlilik Beyanında açıkça belirtilmelidir; aksi takdirde bir kişi tüm verilerin tüm amaçlar için kullanılacağını varsayabilir. Bu durum, IP adreslerinin toplanması, çerezlerin veya web işaretçilerinin kullanımı gibi verilerin gizlice işlenmesiyle ilgili olarak daha da önemlidir.
* Çerezleri Reddetme Hakkı
Bir işlemin bağlamında çerez kullanmak gerekmiyorsa, kullanıcı bu konuda bilgilendirilmeli ve çerezlerin bilgisayarına yerleştirilmesini reddetme fırsatı sunulmalıdır. Çerezlerin kullanımı da kullanıcıya açıklanabilir.
Diğer Önerilen Bilgiler
Yukarıda, bir Gizlilik Beyanında yer alması gereken bilgiler ayrıntılı olarak açıklanmıştır. Ancak, bir kuruluş Gizlilik Beyanını çevrimiçi veri işlemesinin kapsamlı bir açıklaması olarak planlıyorsa, aşağıdaki bilgileri de içerebilir:-p>
* Güvenlik
Bir kuruluş, elindeki kişisel verilere yetkisiz erişimi veya bunların değiştirilmesini ya da yok edilmesini önlemek için yeterli güvenlik önlemlerine sahip olmakla yükümlü olsa da, kamuya açık bir Gizlilik Beyanında bu önlemlere dair ayrıntılı bir atıfta bulunmak akıllıca olmayacaktır. Bunun yerine, güvenlik sorumluluklarını ciddiye aldığını, personel eğitimi ve farkındalık dahil olmak üzere en uygun fiziksel ve teknik önlemleri uyguladığını ve bu önlemleri düzenli olarak gözden geçirdiğini belirtmekle yetinmelidir.
* Doğru, Eksiksiz ve Güncel
Bu büyük ölçüde reaktif bir politikadır, çünkü sorunlar genellikle ancak veri sahibiyle ilgilenilirken fark edilir. Ancak, bir kuruluş yalnızca doğru, eksiksiz ve güncel verileri tutma gerekliliğine atıfta bulunabilir ve veri sahiplerinin ayrıntılarını güncelleyebilecekleri yöntemleri veya kuruluşun doğruluğu sağlamak için, örneğin müşterilerle e-posta yoluyla iletişime geçmek gibi alabileceği önlemleri önerebilir.
* Yeterli, İlgili, Aşırı Olmayan
Kuruluşlar, topladıkları verileri toplama amaçları için gerekli olandan fazlasını tutmamakla yükümlüdür. Bu gereklilikten fazla olan herhangi bir veri ya talep edilmemeli ya da gönüllü olarak verilmişse silinmelidir. Kuruluşlar Gizlilik Beyanında, sağlanan/elde edilen tüm verileri gözden geçiren ve gerekli olmayan ya da artık gerekli olmayan verileri silen bir politikaya atıfta bulunabilir.
* Saklama
Veriler, elde edildikleri amaçlar için gerekli olandan daha uzun süre tutulmamalıdır. Gizlilik Beyanı, bir işlem tamamlandıktan sonra kredi kartı ayrıntılarının silinmesine ilişkin bir politikaya atıfta bulunabilir; ancak kuruluş, sonraki işlemleri kolaylaştırmak için ayrıntıları saklamak üzere müşterilerin onayını alabilir. Bir kuruluş farklı veri türlerini farklı süreler için saklıyorsa, buna da Gizlilik Beyanında atıfta bulunulabilir.
* Şikayet Çözüm Mekanizması
Veri Koruma Komiseri, web sitesi kullanıcılarından veri işleme hakkında alınan şikayetlerle ilgilenmenin bazı yollarını önermektedir.
Gizlilik Beyanının Konumu
Gizlilik Beyanı, belirgin bir konumda yer almalı ve başka bir belgenin içinde bulunmamalıdır. En azından, bir web sitesinin giriş sayfasının üst yarısında yer almalıdır. Bazı web tarayıcıları sayfanın yalnızca bir kısmını görüntüleyeceği için, sayfanın üst kısmında bulunma gerekliliği, bir ziyaretçinin Gizlilik Beyanını bulmak için aşağı kaydırmasına gerek kalmayacağı anlamına gelir.
Bir beyanı yalnızca Ana Sayfaya yerleştirmek yeterli olmayabilir, çünkü diğer web sitelerinden veya arama motorları aracılığıyla gelen bağlantılar bir ziyaretçiyi Ana Sayfa dışındaki bir sayfadan siteye getirebilir. Bir çözüm, Gizlilik Beyanına her sayfada bir bağlantı vermektir. Alternatif olarak, verilerin toplandığı herhangi bir sayfaya bağlantı verilebilir, ancak web sitesi çerezler kullanıyorsa bu, aslında tüm sayfalar anlamına gelebilir.
Gizlilik Beyanı ve “Şartlar ve Koşullar”
Gizlilik Beyanı yasal bir gerekliliktir ve şartlar ve koşullardan, telif hakkı bildirimlerinden veya sorumluluk reddi bildirimlerinden farklıdır. Bağımsız olmalı ve açıkça tanımlanabilir olmalıdır. Bir Gizlilik Beyanının değerli olabilmesi için kullanıcı tarafından kolayca erişilebilir, hızlıca okunabilir ve kolayca anlaşılabilir olması gerekir. Çeşitli yasal konuları kapsayan uzun bir belgenin içinde gömülü olursa, kuruluşun DPA ve Yönetmelik kapsamındaki yükümlülüklerini yerine getirdiğini göstermesi zor olacaktır.
Gizlilik Beyanını Gözden Geçirme
Yalnızca çevrimiçi süreçlerde bir değişiklik olduğunda gözden geçirme yapılması gerekir. Ancak, aşağıdaki durumlarda ilgili personeli bilgilendirerek bir gözden geçirme başlatmak için bir mekanizma bulunmalıdır:-
* Web sitesindeki veri işlemede bir değişiklik olduğunda;
* Web sitesinin planlanan/gerçekleşen bir yeniden geliştirme süreci olduğunda;
* Yeni bir web barındırma düzenlemesi olduğunda;
* Site kullanıcılarından öneriler alındığında.
Her halükarda, Gizlilik Beyanı, kuruluşun Gizlilik Politikasıyla birlikte en az yıllık olarak gözden geçirilecek bir kurum içi denetim prosedürü kapsamında gözden geçirilmelidir.
Diğer Konular
Web sitesi barındırmak için üçüncü taraf bir Veri İşleyicisi kullanan herkes, bir dizi konunun farkında olmalıdır. Kişisel verileri işleyen tüm Veri İşleyicileri, Veri Koruma Komiseri tarafından tutulan sicilde güncel bir kayda sahip olmakla yükümlüdür. Böyle bir kayda sahip olmadan veri işlemek suçtur.
Web barındırma hizmeti sitenizi EEA dışındaki bir sunucuda barındırıyorsa, DPA'nın 11. Maddesinde belirtilen koşullardan en az birini yerine getirmekle yükümlüdür. Web barındırma şirketi verileri hukuka aykırı olarak işlerse, kuruluş nihai olarak sorumludur. DPA'nın 2C Maddesi, kuruluşların Veri İşleyicisiyle, aşağıdakileri belirten yazılı (veya eşdeğer) bir sözleşme yapmasını zorunlu kılar:-p>
* Veri İşleyicisinin sizin adınıza verilerle ne yapabileceği;
* Veri İşleyicisinin hangi güvenlik önlemlerine sahip olması gerektiği.
Kuruluşlar ayrıca Veri İşleyicisinin bu talimatlara uyduğunu sağlamak için makul adımlar atmalıdır.
Paul Lambert
paul.lambert@merrionlegal.com
MERRION LEGAL
Avukatlar ve Topluluk Ticaret Markası Vekilleri
Clifton House
Lower Fitzwilliam Street
Dublin 2
İrlanda
T: + 353-1-6690523
E: info@merrionlegal.com
0 yorum