Genel Veri Koruma Tüzüğü (GDPR)
Genel Veri Koruma Tüzüğü (General Data Protection Regulation, GDPR), dünyanın en sert gizlilik ve güvenlik yasasıdır. Avrupa Birliği (AB) tarafından hazırlanıp kabul edilmiş olsa da, AB’deki kişilerle ilgili veri toplayan ya da bu kişileri hedefleyen her kuruluşa, nerede olursa olsun yükümlülükler getirir. Tüzük 25 Mayıs 2018’de yürürlüğe girdi. GDPR, gizlilik ve güvenlik standartlarını ihlal edenlere ağır para cezaları öngörür; cezalar on milyonlarca euroya ulaşabilir (GDPR.eu). GDPR’dan söz ederken aslında veri gizliliğinden söz ediyoruz. Veri gizliliği; kişisel verilerin toplanması, işlenmesi ve açıklanmasıyla ilgilidir. Veri gizliliği ile bilgi güvenliği farklı kavramlardır. Veri gizliliği bireylerin hak ve özgürlüklerini korur; bilgi güvenliği ise bir kuruluşun varlıklarını ve çıkarlarını korumayı amaçlar. Veri gizliliğinde kişisel veri önemlidir; bilgi güvenliğinin kapsamına ise kuruluş için değerli olan her bilgi varlığı girer. Veri gizliliğinin anahtar kavramı kişisel veridir ve bu noktada kişisel veri teriminin tanımlanması çok önemlidir. Kişisel veri, kimliği belirlenmiş bir kişiyle ilgili veridir. Ad, kimlik numarası, kişisel e-posta adresi, konum, IP, fotoğraf, güvenlik kamerası (CCTV) kaydı vb. olabilir. Kişisel veriler; ırk ya da etnik köken, siyasi görüş, dinî ve felsefi inanç, sendika üyeliği, tıbbi kayıtlar, sağlık verileri ve cinsel yönelim gibi özel kategorilere ayrılabilir. Kişisel veriler işlenir ve bu süreçte kullanılan bazı terimler vardır. Veri sahibi (data subject), doğrudan ya da dolaylı olarak kimliği belirlenebilen kişidir. Veri sorumlusu (data controller), veri işlemenin amaçlarını ve yöntemlerini belirleyen kuruluştur. Veri işleyen (data processor), kişisel verileri işleyen kuruluştur. Kişisel verilerin işlenmesi, kişisel veriler üzerinde saklama, silme, görüntüleme gibi bir eylemde bulunmaktır. GDPR’ın temel ilkeleri GDPR, veri gizliliğine ilişkin, 2016’da yürürlüğe giren bir Avrupa gizlilik yasasıdır. Veri sahibinin kendi verileri üzerindeki denetimini güçlendirir, veri sorumlularına katı yükümlülükler getirir ve üye ülkeler için bir dizi kural ve düzenleme sağlar. GDPR’ın temel unsurları Verinin işlenmesi için yasal bir dayanak bulunmalı ve veri işleyen, veri işleme sürecinde veri sahibine karşı açık olmalıdır (Hukuka uygunluk, dürüstlük ve şeffaflık). Kişisel verilerin işlenme amacı belirlenmeli, belgelenmeli ve veri sahiplerine açıkça bildirilmelidir (Amaçla sınırlılık). Belirtilen amaçları yerine getirmek için en az miktarda veri toplanmalıdır (Veri minimizasyonu). İşlenen kişisel veriler doğru ve güncel olmalıdır (Doğruluk). Artık gerekli olmayan kişisel veriler anonimleştirilmeli ya da silinmelidir (Saklama süresiyle sınırlılık). Kişisel veriler gizli tutulmalı, iç ve dış tehditlere karşı güvende olmalıdır (Bütünlük ve gizlilik – güvenlik). Veri sorumlusu, veri koruma düzenlemelerine ve ilkelerine uyduğunu kanıtlayabilmelidir (Hesap verebilirlik).