Academy Europe, Avrupa Birliği yasaları kapsamında GDPR uyumluluğunu uygulamayı onaylar:
https://eur-lex.europa.eu/legal-content/EN/TXT/PDF/?uri=CELEX:32016R0679
Genel Veri Koruma Yönetmeliği (GDPR), dünyadaki en katı gizlilik ve güvenlik yasasıdır. Avrupa Birliği (AB) tarafından hazırlanmış ve kabul edilmiş olmasına rağmen, AB'deki kişileri hedefledikleri veya bunlarla ilgili verileri topladıkları sürece her yerde kuruluşlara yükümlülükler getirir. Yönetmelik 25 Mayıs 2018'de yürürlüğe girdi. GDPR, gizlilik ve güvenlik standartlarını ihlal edenlere on milyonlarca avroya varan ağır para cezaları uygulayacak.
GDPR.eu, Yönetmeliğin 99 Maddesini ve 173 Açıklamasını ve ayrıca Yönetmeliğin size nasıl uygulanabileceği konusunda size yol gösteren yardımcı kılavuzlar ve kontrol listelerini hızlı bir şekilde bulmanız için size yardımcı bir kaynak olarak sunulmaktadır.
https://gdpr.eu/tag/gdpr/
Şeffaflık ve verilerinin nasıl kullanıldığı konusunda halkı bilgilendirmek GDPR'nin iki temel amacıdır. Bu makale, gizlilik bildiriminin ne olduğunu açıklar ve yasalara uymanıza yardımcı olacak bir gizlilik bildirimi şablonu sunar.
AB Genel Veri Koruma Yönetmeliği (GDPR), AB vatandaşlarına ve sakinlerine, verilerinin kuruluşlar tarafından nasıl kullanıldığı konusunda daha fazla kontrol sağlama yolunda ilk adımdır. Şirketiniz AB'deki kişilerin kişisel bilgilerini ele alıyorsa, dünyanın neresinde olursanız olun GDPR'ye uymalısınız. İnsanların yeni gizlilik haklarını ihlal etmenin cezası, küresel gelirinizin yüzde 4'üne veya 20 milyon Euro'ya kadar (hangisi daha yüksekse) olabilir.
GDPR gizlilik bildirimi, müşterilerinizin topladığınız ve kullandığınız veriler hakkında bilinçli kararlar vermesine yardımcı olmanın önemli bir yoludur. İyi bir gizlilik bildiriminin bileşenlerini anlamanıza yardımcı olmak için yasanın kendisinden ve AB'nin kılavuz belgelerinden bazı bilgileri bir araya getirdik. Ve en altta, kendi kuruluşunuza uyarlayabileceğiniz bir gizlilik bildirimi şablonu ekledik.
Gizlilik bildirimi nedir?
Gizlilik bildirimi, bir kuruluşun kişisel verileri nasıl işlediğini ve veri koruma ilkelerini nasıl uyguladığını açıklayan kamuya açık bir belgedir. Makaleler 12, 13, ve 14 GDPR, gizlilik bildiriminin nasıl oluşturulacağına ilişkin ayrıntılı talimatlar sağlayarak, bunları kolay anlaşılır ve erişilebilir hale getirmeye vurgu yapar. Doğrudan birinden veri topluyorsanız, bunu yaptığınız anda onlara gizlilik bildiriminizi sağlamanız gerekir.
"Gizlilik bildirimi" ve "gizlilik politikası" terimlerinin gerçekte GDPR metninde yer almadığını ve esasen birbirinin yerine kullanılabileceğini unutmayın. Bu makalede açıklanan yönergeler, kuruluşunuzun veri işleme faaliyetlerini müşterilere ve halka açıkladığı tüm kamuya açık belgeler için geçerlidir.
GDPR'ye göre kuruluşlar, kişilere aşağıdakileri içeren bir gizlilik bildirimi sağlamalıdır:
- Özlü, şeffaf, anlaşılır ve kolay erişilebilir bir biçimde
- Özellikle bir çocuğa yönelik herhangi bir bilgi için açık ve sade bir dille yazılmıştır.
- Zamanında teslim edildi
- Ücretsiz olarak sağlanır
GDPR ayrıca bir kuruluşun bir gizlilik bildiriminde hangi bilgileri paylaşması gerektiğini de belirtir. Bir kuruluşun verilerini doğrudan bir kişiden mi yoksa üçüncü bir taraf olarak mı aldığına bağlı olarak gereksinimlerde küçük bir farklılık vardır.
Bir kuruluş, bir kişiden doğrudan bilgi topluyorsa, gizlilik bildiriminde aşağıdaki bilgileri içermelidir:
- Kuruluşun, temsilcisinin ve Veri Koruma Görevlisinin kimliği ve iletişim bilgileri
- Kuruluşun bir bireyin kişisel verilerini işleme amacı ve yasal dayanağı
- Kuruluşun (veya uygun olduğunda üçüncü tarafın) meşru çıkarları
- Bir bireyin verilerinin herhangi bir alıcısı veya alıcı kategorisi
- Kişisel verilerin üçüncü bir ülkeye aktarılmasına ilişkin ayrıntılar ve alınan önlemler
- Verilerin saklanma süresini belirlemek için kullanılan saklama süresi veya kriterleri
- Her bir veri sahibinin haklarının varlığı
- Herhangi bir zamanda onayı geri çekme hakkı (ilgili olduğunda)
- Bir denetim makamına şikayette bulunma hakkı
- Kişisel verilerin sağlanmasının yasal veya sözleşmeye dayalı bir gereklilik veya yükümlülüğün parçası olup olmadığı ve kişisel verilerin sağlanmamasının olası sonuçları
- Profil çıkarma dahil olmak üzere otomatik bir karar verme sisteminin varlığı ve bu sistemin nasıl kurulduğu, önemi ve sonuçları hakkında bilgi
Bir kuruluş verilerinizi dolaylı olarak (başka bir kuruluş aracılığıyla) alırsa, gizlilik bildiriminin aynı bilgileri sağlaması gerekir, hariç:
- Kişisel verilerin sağlanmasının yasal veya sözleşmeye dayalı bir gereklilik veya yükümlülüğün parçası olup olmadığı ve kişisel verilerin sağlanmamasının olası sonuçları
Ve bunun yerine gerekir eklemek:
- Elde edilen kişisel veri kategorileri
Madde 14(3) uyarınca, üçüncü bir taraftan kişisel veriler elde ederseniz, yukarıdaki bilgileri veri sahibine iletmeniz gerekir: verileri elde ettikten sonra en geç bir ay içinde, verilerle ilk iletişim kurduğunuz anda veya verileri başka bir kuruluşla paylaşmadan önce.
Genel olarak, bir gizlilik bildirimi yazılı olarak sağlanacak ve uygun olduğunda elektronik olarak sağlanacaktır. Bir web sitesine sahip olan her kuruluş, gizlilik bildirimini burada “Gizlilik Politikası” başlığı altında yayınlamalı ve her web sayfasından doğrudan bağlantı yoluyla erişilebilir olmalıdır. Bir web sitesi çevrimiçi olarak herhangi bir kişisel veri toplarsa, gizlilik bildirimi veya buna bir bağlantı, veri toplamanın gerçekleştiği sayfada sağlanmalıdır. GDPR ayrıca, gizlilik bildirimlerinin, anlaşılmasını sağlamak ve görme engellilere yardımcı olmak için istek üzerine sözlü olarak sunulması gerektiğini belirtir.
GDPR gizlilik bildirimi en iyi uygulamaları
Gizlilik bildirimleri, kasıtlı olarak belirsiz oldukları için "may", "might", "some", "genellikle" vb. niteleyicileri kullanmaktan kaçınmalıdır. Yazı aktif zamanda olmalı ve cümleler ve paragraflar, belirli not noktalarını vurgulamak için madde işaretleri kullanılarak iyi yapılandırılmalıdır. Gereksiz yere yasal ve teknik terminolojiden kaçının.
Avrupa Komisyonu'nun açıklamasına göre GDPR yönergeleri, aşağıdaki ifadeler işleme amaçları konusunda yeterince açık değildir. (Bu örnekleri doğrudan belgeden aldık.)
- “Kişisel verilerinizi yeni hizmetler geliştirmek için kullanabiliriz” (“hizmetlerin” ne olduğu veya verilerin bunları geliştirmeye nasıl yardımcı olacağı belirsiz olduğundan)
- “Kişisel verilerinizi araştırma amacıyla kullanabiliriz” (bunun ne tür bir “araştırma” anlamına geldiği net olmadığı için)
- "Kişisel verilerinizi kişiselleştirilmiş hizmetler sunmak için kullanabiliriz" ("kişiselleştirmenin" ne anlama geldiği açık olmadığı için)
- Öte yandan, bu tür ifadeler çok daha iyidir:
“Alışveriş geçmişinizi saklayacağız ve daha önce satın aldığınız ürünlerin ayrıntılarını, ilginizi çekeceğini düşündüğümüz diğer ürünler için size önerilerde bulunmak için kullanacağız” (ne tür verilerin işleneceği, ürünün veri sahibi, ürünlere yönelik hedefli reklamlara tabi olacaktır ve verileri bunu sağlamak için kullanılacaktır) - “İnsanların web sitemizi nasıl kullandığını anlamak ve böylece daha sezgisel hale getirebilmek için web sitemizi son ziyaretlerinize ve web sitemizin farklı bölümlerinde nasıl gezindiğinize ilişkin bilgileri tutacağız ve değerlendireceğiz” veriler işlenecek ve kontrolörün üstleneceği analiz türü)
- “Web sitemizde tıkladığınız makalelerin kaydını tutacağız ve bu bilgileri okuduğunuz makalelere dayanarak belirlediğimiz ilgi alanlarınızla ilgili bu web sitesinde size reklam vermek için kullanacağız” (bu, Kişiselleştirmenin neleri içerdiğini ve veri sahibine atfedilen çıkarların nasıl tanımlandığını netleştirin)