Genel Veri Koruma Yönetmeliği (GDPR) uyumluluğu ve küçük işletmeler

Hayır, değiller. GDPR, bir işletme AB'de bulunan bir kişiden kişisel veri topladığında geçerli olur. İster tek kişilik bir işletme olun ister altı kıtada şubeleriniz olsun bu geçerlidir.

Bununla birlikte, 250’den az çalışanınız varsa veri işleme faaliyetlerinizin yazılı kaydını tutmanız gerekmez, ancak şu durumlarda gerekir:

• Veri işleme faaliyetleriniz bireylerin haklarını ve özgürlüklerini etkileyebilirse

• GDPR'nin 9. maddesi kapsamında olan verileri işlerseniz. Bunlar, bir kişinin şu bilgilerini ortaya çıkaran verilerdir:
  • Irk veya etnik köken
  • Siyasi, dini veya felsefi inançlar
  • Sendika üyeliği
  • Genetik veya biyometrik veriler ya da kişinin sağlığı veya cinselliğiyle ilgili veriler

• 10. madde kapsamındaki kişisel verileri, yani suçlar ve hükümlerle ilgili verileri işlerseniz

• Kişisel verileri düzenli olarak işlerseniz

Birçok küçük işletme ve bireysel girişimci ilk üç muafiyet kapsamına girmez.

Peki ya dördüncüsü? Belçika Gizlilik Komisyonu, her gün gerçekleştirseniz bile tüm veri işlemelerin "düzenli" olmadığını önerdi. Bu yoruma göre, örneğin sipariş vermek ya da müşterilerle iletişim kurmak için kullandığınız kişisel verilerin kayıtlarını tutmanız gerekmez. Ancak görünüşe göre, Avrupa Veri Koruma Kurulu'nun öncülü olan 29. Madde Çalışma Grubu tarafından hazırlanan bir görüş belgesi, “düzenli” ifadesini kelimenin tam anlamıyla yorumlamanız gerektiğini iddia ediyor. Avrupa Veri Koruma Kurulu da bunu kabul etti. Durum bu kadar belirsiz olduğu için, muaf olduğunuzu düşünseniz bile kayıt tutmanız iyi bir fikirdir. Tedbiri elden bırakmamak en iyisidir.

Evet. GDPR, ABD şirketleri için şu durumlarda geçerlidir:

• AB'de iş yapıyorlarsa

• AB'de iş yapmıyorlarsa ama AB'de fiziksel olarak bulunan kişilere ait kişisel verileri topluyor veya izliyorlarsa (bu, AB'de seyahat eden ama normalde orada yaşamayan kişileri de kapsar). Bunu fark etmeden yapıyor olabilirsiniz. Örneğin, web sitenizin tanımlama bilgileri bir bireyi tanımlamak için kullanılabilirse, GDPR kapsamında kişisel veriler olarak sayılırlar

AB'de iş yapmaya devam etmek istiyorsanız GDPR'ye uymanız gerekir. Yoksa ağır bir para cezası alma riskine girersiniz. AB’de iş yapmıyorsanız iki seçeneğiniz vardır:

• Yine de GDPR'ye uyun

• AB’de bulunan kişilerden kişisel veri toplayamaması için web sitenize erişimi kısıtlayın

GDPR ilk kez yürürlüğe girdiğinde, birçok ABD web sitesi GDPR’ye ters düşmemek için AB kullanıcılarının erişimini engelledi. Örneğin, Ağustos 2018 itibarıyla ABD'deki 1.1'den fazla haber sitesine AB'den erişilemiyordu. Bazı yayıncılar AB’den kalıcı olarak çekilmeye karar verdi. Lee Enterprises sözcüsü Charles Arms şunları söyledi: “Yerel haber sitelerimizdeki AB ve AEA kaynaklı internet trafiği önemsizdir ve bu trafiği engellemenin yerel medya müşterilerimizin yararına olduğuna inanıyoruz.” Bununla birlikte, birçok ABD web sitesi artık herhangi bir sorun yaşamadan AB’de yeniden faaliyette olmayı başardı. Küçük işletme web siteniz de başınızı derde sokmadan AB’de erişilebilir olabilir. Bu da bizi bir sonraki noktaya getiriyor.

Küçük işletmenizi GDPR uyumluluğuna götürmek sandığınız kadar zor değildir. Başlamanız için bir GDPR uyumluluğu denetim listesi aşağıda verilmiştir.

1. Hangi kişisel verileri topluyorsunuz?

Hangi kişisel bilgileri topladığınızı ve bunlardan herhangi birinin hassas olup olmadığını, yani GDPR’nin 9. ve 10. maddelerindeki kategoriler kapsamına girip girmediğini bilmelisiniz. Kendinize ayrıca şunları da sormalısınız:

• Bilgiler nereden geliyor?

• Neden topluyorsunuz?

• Bunlarla ne yapıyorsunuz?

Sorulursa bu soruları yanıtlayabilmeniz gerekir.

2. Onay aldınız mı?

Kişisel verileri kullanmak için yasal bir dayanağınız yoksa bireylerin onay vermesi gerekir. Bu, şu özelliklere sahip olmalıdır:

• Özgürce verilmiş

• Belirli

• Bilinçli

• Belirsizliğe yer vermeyen

Onayın yazılı kaydını tutmanız gerekir. Ayrıca onayın geri çekilmesini hızlı ve kolay hale getirmeniz gerekir. GDPR uyumlu Müşteri İlişkileri Yönetimi yazılımı burada yardımcı olabilir. Özellikle şunları yapabilir:

• Kişilerin adlarının ve onlar hakkında elinizde bulunan kişisel verilerin yazılı kaydını tutma

• Onaylarını kaydetme ve verilerini hangi amaçla kullanmanıza onay verdiklerini belirtme (örneğin, aylık bülteninizi almak için)

• Fikirlerini değiştirirlerse onaylarını kolayca geri çekebilmeleri için kişilere basit bir yol sunma (örneğin, tek tıklamayla "abonelikten çıkma" betikleri aracılığıyla)

3. Veriler güvende mi?

Topladığınız kişisel verilerden işletmeniz sorumludur. Yanlış kişilerin eline geçerse para cezası alma riskine girersiniz. Bu nedenle:

• Kişisel verileri çevrimiçi olarak saklarken veya aktarırken şifreleme yazılımı kullanın

• Ağınızın güvenliğini sağlayın. Dikkatsiz çalışanlar veri ihlallerinin başlıca nedenidir, bu yüzden sağlam bir BT ilkesi şarttır. Ayrıca güvenlik duvarı dahil olmak üzere güvenlik yazılımlarına yatırım yapmalısınız

• GDPR ile uyumlu tanımlama bilgisi ve gizlilik ilkesi bildirimleri oluşturun. Bu tanımlama bilgisi şablonu örnekleri ve gizlilik ilkesi şablonu örnekleri yardımcı olabilir. GDPR ile ilgili en iyi uygulamalar hakkında daha fazla bilgi edinmek için Microsoft'un Güven Merkezi'ne de göz atabilirsiniz

• GDPR uyumluluğutedarikçilerinizi denetleyin

4. Peki ya ciddi bir ihlal olursa?

Ciddi ihlalleri 72 saat içinde düzenleyici kuruma bildirmelisiniz, aksi takdirde para cezası riskine girersiniz. Raporlama prosedürlerinizin hazır olduğundan emin olun. Ve daha da önemlisi, çalışanlarınızı şunları yapmaları için eğitin:

• Farkında olmak

• Ciddi bir ihlalin ne olduğunu anlamak

• Tehlike işaretlerini tanımak

GDPR’nin şu ana kadar küçük işletmeler üzerindeki etkisi ne oldu?

Bunun başka bir yolu yok. GDPR uyumluluğu zaman alır ve maliyetlidir. 25 Mayıs 2018'e yaklaşırken, Birleşik Krallık’taki küçük işletmelerin her biri GDPR’ye hazırlanmak için yaklaşık 600 saat harcadı. Üstelik buna finansal maliyet dahil değil. Dünya çapında küçük ve orta ölçekli işletmeler GDPR uyumluluğu için 1,3 milyon ABD doları harcadı. Aynı şekilde uyumsuzluk da kâr haneniz üzerinde ağır bir etki yaratabilir. İlk kez görülen GDPR davasında, bir Alman sosyal ağı, bir korsan 330.000 e-posta adresini ve parolayı çaldıktan sonra kullanıcıların kişisel verilerini güvende tutamadığı için 20.000 avro (yaklaşık 22.600 ABD doları) para cezasına çarptırıldı. Bunu bir yük olarak görmeye meyilli olsanız da GDPR uyumluluğu küçük işletmeler üzerinde olumlu bir etki de yarattı. İşte nedenleri. Tüketiciler gizlilik konusunu hiç olmadığı kadar ciddiye alıyor. Ve bilgilerini paylaştıkları işletmelerin de aynı hassasiyeti göstermesini bekliyorlar. Yakın zamanda yapılan bir araştırmada, ABD’li tüketicilerin %69’u ABD’de GDPR benzeri bir yasanın yürürlüğe girmesini istediklerini bile söyledi. Daha da önemlisi, CMO Konseyi tarafından yapılan bir araştırma, GDPR’ye hazırlanan üyelerin tüketicilerden daha iyi etkileşim, daha fazla sadakat ve daha yüksek güven gördüğünü ortaya koydu. Belli ki GDPR para cezası almamak için uymanız gereken bir dizi kuraldan çok daha fazlası. Kimse özel bilgilerinin onayı olmadan alınmasını istemez. Ya da suçluların eline geçebileceği bir yerde tutulmasını. Bu nedenle GDPR uyumluluğu için adımlar atarak küçük işletmenizi müşterilerinin özel verilerine gerçekten önem veren bir işletme olarak konumlandırabilirsiniz. Bu da size rekabet avantajı sağlayabilir.