Veri Korumada LIA ve DPIA Nedir?

Genel Veri Koruma Tüzüğü (GDPR) ve İspanya'da LOPDGDD çerçevesinde “iyi niyetli olmak” ya da “kamuya açık verileri kullanmak” yeterli değildir. Kişisel verileri işliyorsanız bunu neden yaptığınızı, ne amaçla yaptığınızı, kişiler üzerinde nasıl bir etki yaratabileceğini ve haklarını korumak için hangi önlemleri aldığınızı gerekçelendirebilmeniz gerekir.

Bu analizi belgelemek için sık kullanılan iki araç vardır: LIA (Meşru Menfaat Değerlendirmesi) ve DPIA (Veri Koruma Etki Değerlendirmesi).

LIA Nedir (Legitimate Interest Assessment)

LIA, bir kuruluşun veri işleme faaliyetini hukuki dayanak olarak meşru menfaate dayandırmak istediği durumlarda kullanılan bir analizdir. Amacı, bu menfaatin etkilenen kişilerin hak ve özgürlüklerine göre ağır basabileceğini ve işlemenin makul ve orantılı olduğunu yazılı olarak ortaya koymaktır.

LIA Ne İşe Yarar

LIA, şu gibi soruları belgelenmiş biçimde yanıtlamanıza yardımcı olur:

• Hangi somut meşru menfaat güdülüyor?
• Bu amaca ulaşmak için kişisel verileri işlemek gerçekten gerekli mi?
• İşleme, kişileri nasıl etkiliyor ve makul olarak neler bekleyebilirler?
• Etkiyi azaltmak için hangi güvenceler uygulanıyor (açık bilgilendirme, itiraz hakkı, veri minimizasyonu vb.)?

LIA Ne Zaman Gerekir

LIA, işlemenin ne açık rızaya ne de bir sözleşmeye dayandığı ve meşru menfaatle gerekçelendirilmek istendiği durumlarda genellikle önem kazanır. Uygulamada; B2B satış hedeflemesi, profesyonel iletişim verilerinin kullanımı ya da kamuya açık kaynaklarda yayımlanmış bilgilerden yararlanma gibi faaliyetlerde sık karşımıza çıkar. Tabii bunun için bir gerekçe ve uygun önlemler bulunmalıdır.

Önemli: meşru menfaat otomatik olarak geçerli olmaz. Bağlama, verinin türüne, amaca, ilgili kişiyle olan ilişkiye ve uygulanan risk azaltıcı önlemlere bağlıdır.

DPIA Nedir (Data Protection Impact Assessment)

DPIA (Veri Koruma Etki Değerlendirmesi), bir işlemenin kişilerin hak ve özgürlükleri bakımından yüksek risk doğurabileceği durumlarda yapılan, daha derin bir analizdir. Amacı; riskleri belirlemek, ciddiyetini ve olasılığını değerlendirmek ve işleme başlamadan önce bu riskleri azaltacak somut önlemleri tanımlamaktır.

DPIA Ne İşe Yarar

DPIA şunlara yardımcı olur:

• İşlemeyi açık biçimde tanımlamak (veriler, amaç, akışlar, alıcılar, süreler vb.).
• İşlemenin gerekliliğini ve orantılılığını değerlendirmek.
• Kişiler için riskleri tespit etmek (kontrol kaybı, ayrımcılık, ifşa, kimlik taklidi vb.).
• Bu riskleri azaltacak teknik ve idari tedbirleri belirlemek.
• Bu tedbirler uygulandıktan sonra kalan riski saptamak.

DPIA Ne Zaman Zorunlu Olabilir

İşleme özellikle müdahaleci ya da yoğun olduğunda DPIA zorunlu olabilir; örneğin (yol gösterici olarak):

• Büyük ölçekli işlemeler.
• Kişilerin, önemli sonuçlar doğuracak biçimde profillenmesi veya sistematik olarak değerlendirilmesi.
• Etkileri belirsiz yeni teknolojilerin kullanımı.
• Büyük hacimli verilerin veya birden fazla kaynağın birleştirilmesi.
• Sistematik gözlem veya izleme.

Önemli: tüm durumlar için geçerli evrensel bir kural yoktur. DPIA yapma yükümlülüğü bağlama ve risk düzeyine bağlıdır ve genellikle özel bir analiz gerektirir.

LIA ile DPIA Arasındaki Temel Farklar

• LIA: hukuki dayanak olarak meşru menfaatin kullanılmasını gerekçelendirmeye odaklanır.
• DPIA: işlemenin yüksek risklerini belirlemeye ve azaltmaya odaklanır.

Bazı projelerde ikisi de gerekebilir: hukuki dayanağı gerekçelendirmek için bir LIA, işleme daha hassas ya da yoğun olduğunda risk yönetimini belgelemek için bir DPIA.

“Şablonlar” Üzerine Pratik Bir Not

Yol gösterici modeller veya şemalar bulunsa da ne LIA ne de DPIA sıradan bir formalite gibi ele alınmamalıdır. Gerçek bir değer taşımaları (ve bir DPO ya da bir otorite karşısında savunulabilir olmaları) için somut işlemeyi, amaçlarını, ilgili verileri ve uygulanan önlemleri yansıtmaları gerekir.

Bu içerik bilgilendirme amaçlıdır ve kişiye özel hukuki danışmanlık niteliği taşımaz.

Durumunuz Soğuk E-posta İse

Faaliyetiniz e-posta yoluyla ticari hedefleme içeriyorsa (örneğin soğuk e-posta), geçerli hukuki dayanağı ve şeffaflık, minimizasyon ve itiraz hakkına saygı önlemlerini iyi belgelemek özellikle önemlidir. Soğuk e-posta kampanyalarınızı yürütmek istiyorsanız bunu Mailerfind ile yapabilirsiniz.