Veri koruma · Karadağ
Karadağ’da Veri Koruma Görevlisi (DPO) — sizin için zorunlu mu?
Karadağ’ın yeni Kişisel Verilerin Korunması Kanunu (Resmî Gazete 133/26), 19 Mart 2027’den itibaren kuruluşların bir bölümü için veri koruma görevlisini yasal yükümlülük hâline getiriyor. Kanundaki üç durumu geçin ve aralarında olup olmadığınızı görün — öyleyse ya rolü biz üstleniriz ya da sizin çalışanınızı eğitiriz.
Görevlinin zorunlu olduğu üç durum
Yükümlülük, çalışan sayısına göre değil, faaliyete ve işleme ölçeğine göre değerlendirilir. On kişilik küçük bir firma kapsama girebilirken iki yüz kişilik bir şirket girmeyebilir.
Kamu makamları
İşleme ölçeğinden bağımsız olarak tüm organlar ve kamu kuruluşları. Tek istisna, yargı yetkisini kullanan mahkemelerdir. Belediyeler, bakanlıklar, kurumlar, kamu kuruluşları, okullar, hastaneler ve kamu işletmeleri bu gruba girer.
Kişilerin büyük ölçekte izlenmesi
Temel faaliyetin kişilerin büyük ölçekte düzenli ve sistematik izlenmesini gerektirdiği hâller. Uygulamada: güvenlik şirketleri ve hizmet olarak video gözetim, telekomünikasyon, araç takibi, kullanıcı profilleyen platformlar, davranışsal reklamcılık.
Özel nitelikli veriler büyük ölçekte
Temel faaliyetlerin, özel nitelikli verilerin — sağlık, biyometri, genetik veriler, dinî veya siyasi görüş, sendika üyeliği, cinsel hayat (10. madde) — ve ceza mahkûmiyeti verilerinin (11. madde) büyük ölçekte işlenmesini kapsadığı hâller. Uygulamada bu iki tür ayrı ayrı değerlendirilir; dolayısıyla yalnızca biri bulunduğunda da yükümlülük doğar. Tipik olarak hastaneler ve klinikler, laboratuvarlar, sigorta şirketleri ve istihdam büroları.
«Büyük ölçek» ne demek
Kanun bir sayı vermiyor. Uygulamada ilgili kişi sayısı, verinin miktarı ve türü, işlemenin süresi ve coğrafi kapsamı dikkate alınır. İki odalı bir muayenehane ile bir klinik merkez aynı şey değildir, ikisi de sağlık verisi işlese bile. Bu nedenle yükümlülük tek cümleyle belirlenemez — ancak birkaç soruyla yeterince güvenilir biçimde değerlendirilebilir.
Kuruluşunuzun veri koruma görevlisine ihtiyacı var mı?
Önce 38. maddeye göre görevlinin sizin için zorunlu olup olmadığını belirliyoruz — sonuç bir yüzde değil, net bir karardır. Ardından görevlinin konumu ve bağımsızlığı, görevleri ve onsuz çalışamayacağı dokümantasyon hakkında sorular gelir. Sonunda alanlara göre puan ve eksikler listesi alırsınız.
Bu kontrol yaklaşık bir sonuç verir ve hukuki görüş değildir. Uyum, denetimde Kişisel Verilerin Korunması ve Bilgiye Serbest Erişim Ajansı tarafından değerlendirilir.
Görevli ne yapar
Görevler kanunla belirlenmiştir — görevli, «veriyle ilgili e-postaları yanıtlayan BT’den biri» değil, tanımlı görevleri ve korunan bir konumu olan bir roldür.
Uyumu izler
Kanunun ve iç veri koruma kurallarının uygulanmasını, sorumluluk dağılımını, eğitimleri ve denetimleri izler. Bu bir defalık inceleme değil, sürekli bir iştir.
Danışmanlık ve eğitim verir
Veri sorumlusuna ve çalışanlara yükümlülükleri konusunda danışmanlık yapar; verilerle çalışanlara — insan kaynakları, satış, ön büro, BT, pazarlama — eğitim verir.
Etki değerlendirmesine görüş
Veri koruma etki değerlendirmesine görüş verir ve işlemenin yüksek riskli olduğu yerlerde uygulanmasını izler.
İletişim noktası
Ajans’a karşı — ön görüşme ve diğer tüm konular için; ilgili kişilere karşı — haklarını kullanmaları ve verilerinin işlenmesine ilişkin tüm sorular için.
Üst yönetime raporlar
Bir birim yöneticisine değil, doğrudan kuruluşun en üst düzeyine. Role gerçek ağırlığını veren mekanizma budur.
Bağımsızlık ve çıkar çatışması — en yaygın hata
Görevli, görevlerini nasıl yerine getireceğine ilişkin talimat alamaz ve bunları yerine getirdiği için olumsuz sonuç yaşayamaz. Çıkar çatışması içinde olamaz; yani işlemenin amaç ve araçlarını belirleyen kişi olamaz. Uygulamada en çok hata yapan kuruluşlar, görevli olarak genel müdürü ya da BT, insan kaynakları veya hukuk biriminin yöneticisini atayanlardır — yani neyin nasıl işleneceğine karar verenleri. Bu nedenle rol çoğu zaman dışarıya verilir. Görevlinin iletişim bilgileri yayımlanır ve Ajans’a bildirilir.
Bunu nasıl yapıyoruz
İki seçenek var ve ikisi de meşru — atayacak biriniz olup olmadığına ve gerçekte ne kadar işleme yapıldığına bağlı. Bir hizmete tıklayın, sayfanın altındaki formda işaretlenecektir.
Dış veri koruma görevlisi
DPO rolünü sözleşmeyle üstleniriz: uyumun izlenmesi, yönetime danışmanlık, Ajans ve ilgili kişiler karşısında iletişim noktası, etki değerlendirmelerine görüş ve yıllık rapor. Görevli zorunlu olan ancak çıkar çatışması olmadan atayacak kimsesi bulunmayan kuruluşlar için çözüm.
Teklif isteyin 2. seçenekKurum içi görevli eğitimi
Çalışanınızın bu rol için eğitimi — kanun, ilgili kişi hakları, kayıtlar, etki değerlendirmesi, ihlal yönetimi — sonrasında kendi başına kullanacağı prosedür ve şablonlarla birlikte. Kuruluştaki konumunun bağımsızlık koşullarını karşılayıp karşılamadığının kontrolünü de içerir.
Teklif isteyin 31. maddeİşleme faaliyetleri kaydı
Amaçları, ilgili kişi ve veri kategorilerini, alıcıları, saklama sürelerini ve güvenlik önlemlerini içeren tüm işlemelerin envanteri. Ajans’a sicil bildirimi yerine geçen ve denetimin ilk istediği belge budur.
Teklif isteyin 36. maddeEtki değerlendirmesi (DPIA)
İşlemenin yüksek risk taşıması muhtemel olan yerlerde — büyük ölçekli video gözetim, profilleme, özel nitelikli verilerin işlenmesi. Değerlendirme, azaltıcı önlemler ve gerektiğinde Ajans ile ön görüşme.
Teklif isteyin 34–35. maddeİhlal prosedürü
İhlali kim tespit eder, Ajans’a 72 saat içinde kim bildirir, ilgili kişiler ne zaman bilgilendirilir ve neler kaydedilir — şablonlar ve kurum içi ihlal kaydı ile.
Teklif isteyin 29. maddeVeri işleyen sözleşmeleri
Sizin adınıza veri gören herkesle sözleşmelerin gözden geçirilmesi ve uyumlu hâle getirilmesi: BT desteği ve barındırma, muhasebe, arşivleme ve belge imhası, video gözetim, ödeme işlemleri.
Teklif isteyin HazırlıkKanuna göre boşluk analizi
Kanundaki tüm yükümlülükler karşısında mevcut durumun incelenmesi; eksikler listesi, öncelikler ve 19 Mart 2027’ye kadar gerçekçi bir takvim.
Teklif isteyin SistemÇerçeve olarak ISO/IEC 27701
Veri korumanın bir belge yığını değil, denetlenen bir sistem olmasını istiyorsanız — ISO/IEC 27701, ISO/IEC 27001’i gizlilik yönetimiyle genişletir ve ihalelerin ve iş ortaklarının tanıdığı bir yapı sunar.
Teklif isteyinSıkça sorulan sorular
Görevliyi ne zamandan itibaren bulundurmalıyız?
Kanun 19 Mart 2027’den itibaren uygulanır. O tarihe kadar 2008 tarihli kanun yürürlüktedir. Ancak atama işin kolay kısmıdır: görevlinin devralacağı iş, özellikle kuruluştaki tüm işlemelerin envanteri, aylar sürer; bu nedenle hazırlığa daha erken başlanır.
Genel müdür veri koruma görevlisi olabilir mi?
Resmen yasak değildir, ancak kural olarak çıkar çatışması oluşturur. Görevli, işlemenin amaç ve araçlarını belirleyen kişi olamaz; genel müdür ise işi gereği tam da bunu yapar. BT, insan kaynakları veya hukuk biriminin yöneticisinde de aynı sorun vardır. Denetim bunu gerçek değil, şeklî bir atama olarak değerlendirir.
Görevli kuruluş dışından biri olabilir mi?
Olabilir. Kanun, görevlinin bir çalışan ya da hizmet sözleşmesiyle görev yapan bir kişi olmasına izin verir. Dış görevli, özellikle her kurum içi atamanın çıkar çatışmasına yol açtığı kuruluşlarda en yaygın çözümdür.
250’den az çalışanımız var — bu bizi ilgilendirir mi?
Çalışan sayısı, görevli atama yükümlülüğünün ölçütü değildir; bu sayı işleme faaliyetleri kaydıyla bağlantılı olarak, hem de istisnalarla ortaya çıkar. Görevli yükümlülüğü; kamu makamı olup olmadığınıza, temel faaliyetinizin kişileri büyük ölçekte izlemek olup olmadığına ve özel nitelikli verileri büyük ölçekte işleyip işlemediğinize göre değerlendirilir.
Birden fazla bağlı şirket tek bir görevliyi paylaşabilir mi?
Paylaşabilir; yeter ki görevli her birinden kolayca erişilebilir olsun. Aynı şey, örgütsel yapıları ve büyüklükleri dikkate alınarak birden fazla kamu makamı için de geçerlidir.
İhlal gerçekleşirse görevli sorumlu olur mu?
Hayır. Uyumdan ve zarardan veri sorumlusu, yani kuruluşun kendisi sorumludur. Görevli danışmanlık yapar, izler ve uyarır — tam da bu yüzden neyi tavsiye ettiğine ve neye dikkat çektiğine dair kayıt bulunmalıdır. Görevini yerine getirdiği için olumsuz sonuç yaşamaması kanunla açıkça güvence altına alınmıştır.
Referanslarımızdan bazıları
Karadağ ve bölgede 400’ü aşkın kuruluş uygulamayı bizimle birlikte tamamladı — bankalardan ve kamu kurumlarından üretime, BT’ye, laboratuvarlara ve konaklamaya kadar.
Bunlar müşterilerimizden sadece bazıları. Hakkımızda daha fazlası →
Veri koruma görevlisi için teklif isteyin
Ne iş yaptığınızı ve kaç kişinin kişisel veriyle çalıştığını yazın — görevlinin sizin için zorunlu olup olmadığını ve sizin durumunuzda hangisinin daha ekonomik olduğunu söyleyelim: dış DPO mu, çalışanınızın eğitimi mi. Bizi arayın veya talep gönderin — 24 saat içinde yanıtlıyoruz.