Veri Koruma Görevlisi (DPO)

Veri koruma görevlisi (DPO, data protection officer), GDPR‘ın 37 ilâ 39. maddelerinde düzenlenen ve bir şirketin veri koruma mevzuatına uyumunu bağımsız olarak izleyen görevlidir.

GDPR’a Göre Kimler Atamak Zorunda?

GDPR’a göre şu durumlarda veri koruma görevlisi atanması zorunludur:

• İşleme bir kamu kurumu tarafından yapılıyorsa,
• Şirketin ana faaliyeti, kişilerin büyük ölçekte düzenli ve sistematik olarak izlenmesini gerektiriyorsa; örneğin davranışsal reklam veya konum takibi,
• Şirketin ana faaliyeti, özel nitelikli verilerin veya ceza mahkûmiyetlerine ilişkin verilerin büyük ölçekte işlenmesinden oluşuyorsa.

Bu durumların dışında atama zorunlu değildir; ancak uyumun takibi için bir sorumlu belirlenmesi önerilir.

Görevleri ve Bağımsızlığı

Veri koruma görevlisi; şirketi ve çalışanları yükümlülükler konusunda bilgilendirir, uyumu izler, veri koruma etki değerlendirmelerine görüş verir, denetim otoritesiyle iş birliği yapar ve ilgili kişilerin başvuru noktası olur. GDPR, görevlinin görevlerini bağımsız olarak yürütmesini, bu görevleri nedeniyle görevden alınamamasını veya cezalandırılamamasını ve doğrudan en üst yönetime raporlamasını güvence altına alır. Görevli bir çalışan olabileceği gibi dışarıdan da görevlendirilebilir.

KVKK’da Durum

KVKK’da veri koruma görevlisi atanması zorunluluğu yoktur. VERBİS‘e kayıtlı şirketlerin bildirdiği veri sorumlusu irtibat kişisi ise farklı bir kavramdır: yalnızca bir iletişim noktasıdır ve veri koruma görevlisinin bağımsızlık güvencelerine ve izleme görevine sahip değildir.

Buna rağmen, KVKK uyumunu düzenli olarak takip edecek, ilgili kişi başvurularını ve veri ihlallerini koordine edecek ve yönetime raporlayacak bir sorumlu belirlenmesi, özellikle orta ve büyük ölçekli şirketler için iyi bir uygulamadır. GDPR’a da tabi olan şirketlerde bu görev, gerekiyorsa GDPR’daki veri koruma görevlisiyle birleştirilebilir.