AB, GDPR'yi basitleştirmek için harekete geçiyor – bu sizin için ne anlama geliyor
Mevcut durum
GDPR, 2018'den beri yürürlükte ve kişisel verilerin korunması konusunda küresel bir standart belirlemiş durumda.
Ancak AB içindeki birçok küçük ve orta ölçekli işletme (KOBİ), ağır dokümantasyon, işleme kayıtları, şablonlar ve denetimler gibi uyumluluk yüklerinin altında ezildiklerini hissediyordu.
Avrupa Komisyonu, artık resmen şu amaçları taşıyan değişiklikler önerdi: idari yükü azaltmak—özellikle daha küçük kuruluşlar için—bireylerin temel haklarının korunmaya devam edeceğini belirterek.
Neler değişiyor?
İşte önerilen temel değişiklikler:
- Madde 30 kapsamındaki tam kayıt tutma muafiyetinin genişletilmesi: 750'den az çalışanı olan kuruluşlar (belirli koşullar altında), aksi belirtilmedikçe yüksek riskli işleme faaliyetleri yürütmedikleri sürece, tam "işleme faaliyetleri kayıtlarını" tutmaktan muaf tutulabilecekler.
- "Davranış kuralları" (Madde 40) ve "sertifikasyon mekanizmaları" (Madde 42) kapsamının genişletilmesi, böylece "küçük orta ölçekli işletmelerin" (KOBİ'ler) de bu daha esnek araçları kullanabilmesi sağlanacak.
- Amaç, toplam idari yükü yaklaşık %25 oranında azaltmak ve KOBİ'ler için ise yaklaşık %35 2029 yılına kadar.
Neden önemli?
İşletmeler için:
Öneri kabul edilirse kapsama giren işletmelerin bazı kayıt tutma işleri azalabilir.
Düzenleyiciler ve tüketiciler için:
Uygulamadaki etki, nihai kurallara ve üye ülkelerde nasıl uygulandıklarına bağlı olacaktır.
Gizlilik hakları için:
Yük hafifletilse de temel korumalar tartışmaya kapalı kalmaya devam ediyor. EDPB/EDPS, yönetmeliğin temel taşlarının korunması gerektiğini vurguluyor.
Ancak geçerli endişeler de var
- Düzenlemeden yararlanabilecek kuruluşların sayısı, nihai kapsam koşullarına bağlıdır.
- Küçük ve büyük kuruluşlar için farklı yükümlülükler öngörülmesi, açık kapsam koşulları gerektirir.
- Sadeleştirme, ilgili kişilerin haklarının korunmasını sürdürmelidir.
İşletmelerin gözden geçirmesi gerekenler
Eğer uyumluluk hizmetleri veriyorsanız (veya bu hizmetleri alıyorsanız) konuyu şu şekilde değerlendirmelisiniz:
- Beklemeyin nihai yasal metin için. Teklif yayımlandı ancak kanun henüz değişmedi. Süreçte daha birçok aşama var: istişareler, değişiklik önergeleri, meclis görüşmeleri.
- Temelleri sağlam tutun. Sadeleşme ne olursa olsun, temel ilkelere uyum sağlamanız gerekecek: hukuki dayanak, şeffaflık, veri sahibi hakları, güvenlik. Koruma hedefi değişmiyor .
- Gerekli kayıtları koruyarak belgelerdeki tekrarlanan işleri ve gereksiz adımları gözden geçirin.
- Boyuta ve risk profiline göre uyarlayın. Daha küçük ölçekli müşterilere (örneğin 750 çalışanın altındakiler) danışmanlık veriyorsanız, önerilen bu değişikliklerin yüklerini nasıl azaltabileceğini vurgulayın; ancak yüksek riskli veri işleme süreçlerinin hala tam yükümlülük getirdiğini hatırlatmayı ihmal etmeyin.
- Değişim yönetimine hazırlanın. Kanun güncellendiğinde, müşterilerinizin politikalarını, kayıtlarını, muhtemelen rıza çerçevelerini ve iç risk değerlendirmelerini güncellemeleri gerekecek. Kendinizi bu "geçiş" aşamasında destek verecek şekilde konumlandırın.
Teklifin değerlendirilmesi
Değerlendirmemize göre belgelerin sadeleştirilmesi idari iş yükünü azaltabilir. Bunun yararı, nihai kapsama ve kuruluşların kişisel verileri koruduklarını göstermeye devam edebilmesine bağlıdır.
Ne yapmalı şimdi (eylem kontrol listesi)
- Mini bir denetim gerçekleştirin: Kuruluşunuzun (veya müvekkilinizin) 750 çalışanın altında olup olmadığını, hangi işlemlerin "yüksek riskli" olduğunu ve bugün hangi kayıtların tutulduğunu belirleyin.
- Mevcut veri işleme operasyonlarını haritalandırın: Bazı kayıtlar muaf tutulacak olsa bile, net bir resme sahip olmak her zaman iyi bir uygulamadır.
- Rıza yönetimi çerçevelerinizi ve iç belgelerinizi (Veri İşleme Anlaşmaları, Veri Koruma Etki Değerlendirmeleri, faaliyet kayıtları) gözden geçirin; potansiyel verimlilik alanlarını tespit edin.
- Müşteri iletişiminde önerilen değişikliklerle yürürlükteki yükümlülükleri açıkça ayırın.
- Yasama sürecini takip edin: Taslak üzerinde değişiklikler yapılabileceği için resmi yasama sürecini yakından izleyin. Avrupa Veri Koruma Kurulu ve Avrupa Veri Koruma Denetçisi konuyla ilgili görüşlerini çoktan bildirdi.
Uygulama öncesinde
Önerilen değişiklikler bazı kayıt tutma yükümlülüklerini azaltabilir. Kuruluşlar prosedürlerini değiştirmeden önce nihai kapsamı ve yürürlük tarihlerini kontrol etmelidir.
Kaynaklar:
UsercentricsAvrupa KomisyonuAvrupa Veri Koruma Kurulu (EDPB)Avrupa Veri Koruma Denetçisi (EDPS)BEUC – Avrupa Tüketici Örgütüİlgili rehberler ve pratik sonraki adımlar
