DPIA ve Gizlilik Etki Değerlendirmesi
DPIA ve Gizlilik Etki Değerlendirmesi
Kişisel veriler için yüksek risk oluşturan işleme faaliyetleri için GDPR Madde 35 uyarınca Veri Koruma Etki Değerlendirmeleri (DPIA'lar) gereklidir. Gizlilik uyumluluğuna ilişkin temel kanıtları oluşturan veri akışlarını, risk değerlendirmelerini, azaltımları ve uyumluluk kararlarını değerlendiriyorlar.
What DPIA ve Gizlilik Etki Değerlendirmesi Provides
Tam DPIA Raporu
Veri akışlarını, yasal dayanağı, risk tanımlamasını, danışma kayıtlarını ve hafifletme önlemlerini kapsayan eksiksiz Veri Koruma Etki Değerlendirmesi. GDPR kapsamında yüksek riskli işleme için gereklidir.
Veri Akışı Haritalaması
Kişisel verilerin sistemlerde, sınırlar arasında ve işlemciler arasında nasıl hareket ettiğini gösteren veri akışı diyagramları ve envanterler. ROPA gerekliliklerini ve ihlal bildirimine hazır olmayı destekler.
Meşru Menfaat Değerlendirmesi
Yasal dayanak olarak meşru menfaate dayanan işleme faaliyetlerine yönelik üç bölümlü meşru menfaat değerlendirmeleri. GDPR sorumluluğu ve uyumluluk kanıtı için gereklidir.
Üçüncü Taraf İşleyici Kaydı
Tüm üçüncü taraf veri işleyicilerinin, alt işleyicilerinin ve bunların işleme faaliyetlerinin kaydı. DPA durumunu, aktarım mekanizmasını ve konumu içerir. Devam eden GDPR uyumluluğu için gereklidir.
How It Connects to Sustalium
DPIan varlıklarını, veri akışı haritalarını ve işlemci kayıtlarını Sustalium'a yükleyin. Gizlilik kanıtları doğrudan GDPR uyumluluk kayıtlarına, veri sahibi hakları prosedürlerine ve ihlal bildirim protokollerine bağlanır. Sustalium, inceleme programlarını takip eder ve süresi dolan DPA'ları yeniden değerlendirilmek üzere işaretler.
Used by Compliance Frameworks
Frequently Asked Questions
Uyumluluk açısından Veri Koruma Etki Değerlendirmesi (DPIA) nedir?
Veri Koruma Etki Değerlendirmesi (DPIA), bireylerin kişisel verileri açısından yüksek risk oluşturan işleme faaliyetleri için GDPR Madde 35 kapsamında gerekli olan yapılandırılmış bir süreçtir. DPIA, işlemenin doğasını, kapsamını, bağlamını ve amaçlarını kapsar; gerekliliği, orantılılığı ve uygunluk tedbirlerini değerlendirir; veri sahiplerinin hak ve özgürlüklerine yönelik riskleri belirler ve değerlendirir; ve bu risklere yönelik önlemleri belirtir (güvenlik kontrolleri, takma ad kullanma, veri minimizasyonu, saklama sınırları). Destekleyici varlıklar arasında veri akışı haritaları (kişisel verilerin sistemler ve sınırlar arasında nasıl taşındığı), meşru menfaat değerlendirmeleri ve üçüncü taraf işlemci kayıtları yer alır.
DPIA'lar uyumluluk açısından neden önemlidir?
DPIA'lar, sistematik profil oluşturma, özel veri kategorilerinin büyük ölçekli işlenmesi ve kamuya açık alanların sistematik izlenmesi dahil olmak üzere bireyler için yüksek riskle sonuçlanması muhtemel işlemeler için GDPR Madde 35 uyarınca yasal olarak gereklidir. Gerekli bir DPIA'nın gerçekleştirilmemesi, düzenleyici cezalarla sonuçlanabilir ve önemli bir GDPR ilkesi olan hesap verebilirliğin eksikliğini gösterebilir. Yasal uyumluluğun ötesinde, DPIA'lar düzenleyicilere ve veri sahiplerine kuruluşun gizlilik risklerini sistematik olarak dikkate aldığını ve ele aldığını gösterir. Ayrıca, AB dışı gizlilik yasaları (Brezilya LGPD, Birleşik Krallık GDPR, Kaliforniya CPRA) ve sigorta sağlayıcıları tarafından gizlilik riski yönetiminin kanıtı olarak giderek daha fazla talep edilmektedir.
Ne tür DPIA ve gizlilik değerlendirme kanıtları mevcut?
Tam DPIA raporları, değerlendirmenin tamamını kapsar: işleme tanımı, gereklilik ve orantılılık değerlendirmesi, risk tanımlama, danışma kayıtları (Veri Koruma Görevlisi ve gerektiğinde denetleyici otorite ile birlikte) ve hafifletme önlemleri. Veri akışı haritaları ve envanterler, kişisel verilerin sistemlerde, sınırlar arasında ve işlemciler arasında nasıl taşındığını gösterir; işleme faaliyetleri (ROPA) kayıtlarını ve ihlal bildirimine hazırlık durumunu destekler. Meşru menfaat değerlendirmeleri (LIA'lar), GDPR Madde 6(1)(f) uyarınca yasal dayanak olarak meşru menfaate dayanan işleme için gereken üç bölümlü değerlendirmelerdir. Üçüncü taraf işlemci kayıtları, devam eden GDPR sorumluluğu için gerekli olan veri işleme sözleşmesi (DPA) durumu, aktarım mekanizmaları ve konum da dahil olmak üzere tüm veri işlemcilerini ve alt işlemcilerini izler.
Sustalium DPIA'yı ve gizlilik kanıtlarını nasıl yönetiyor?
DPIan varlıkları, veri akış haritaları ve işlemci kayıtları Sustalium'a yüklenir ve ilgili gizlilik uyumluluk çerçevelerine bağlanır. Gizlilik kanıtları, GDPR uyumluluk kayıtlarına, veri sahibi hakları prosedürlerine ve ihlal bildirim protokollerine bağlanır. Sustalium, DPIA inceleme programlarını izler - işleme operasyonları önemli ölçüde değiştiğinde DPIA'lar gözden geçirilmelidir - ve yeniden değerlendirme için süresi dolan DPIA'ları işaretler. Yeni işlemci katılımlarının DPIA inceleme gerekliliklerini otomatik olarak tetiklemesi için işlemci kayıtları satın alma kayıtlarıyla bağlantılıdır. Sustalium, birden fazla yargı bölgesinde faaliyet gösteren kuruluşlar için gizlilik uyumluluğu gerekliliklerini, GDPR'nin ve diğer gizlilik yasalarının geçerli ulusal uygulamalarıyla eşleştirir.
Hangi uyumluluk çerçeveleri DPIA'yı ve gizlilik kanıtlarını kullanıyor?
GDPR birincil çerçevedir — 35. Madde DPIA'ları gerektirir, 30. Madde işleme faaliyetlerinin kayıtlarını gerektirir, 32. Madde kayıtlı güvenlik önlemlerini gerektirir ve 33. Madde kayıtlı ihlal bildirimi prosedürlerini gerektirir. AB Yapay Zeka Yasası, yüksek riskli yapay zeka sistemleri için DPIA benzeri etki değerlendirmeleri gerektirir. DORA, DPIA veri işleme haritalaması ile örtüşen BİT risk değerlendirmelerini gerektirir. e-Gizlilik Direktifi, elektronik iletişim işlemleri için gizlilik değerlendirmeleri gerektirir. Birleşik Krallık GDPR'si, Brezilya LGPD'si, Kaliforniya CPRA'sı ve Çin'in PIPL'i dahil olmak üzere AB dışı gizlilik yasalarının tümü DPIA veya eşdeğer gereksinimlere sahiptir. ISO 27701 (gizlilik bilgileri yönetimi), kayıtlı gizlilik etki değerlendirme süreçlerini gerektirir.
DPIA verileriniz var mı? Sustalium, GDPR ve veri koruma uyumluluğu için gizlilik kanıtlarını yapılandırır.