Veri Koruma Uzmanı (DPO — Data Protection Officer), bir kurumda kişisel verilerin korunması mevzuatına uyumu gözeten, veri işleme süreçlerini denetleyen ve kurum ile ilgili kişiler/otorite arasında köprü kuran uzmandır. DPO, GDPR'da belirli hâllerde zorunlu bir roldür; Türk hukukunda ise farklı bir yapı öngörülmüştür.
Bu rehberde DPO'nun görevlerini ve Türkiye'deki karşılığı olan irtibat kişisiyle farkını açıklıyoruz.
Veri Koruma Uzmanı (DPO) Nedir?
DPO, veri koruma hukuku ve bilgi güvenliği konusunda uzmanlaşmış, kurumun kişisel veri işleme faaliyetlerini bağımsız biçimde izleyen kişidir. Görevi; uyumu denetlemek, risk ve etki değerlendirmelerine danışmanlık yapmak, farkındalık eğitimlerini yürütmek ve denetim otoritesiyle iletişimi sağlamaktır.
Türkiye'de DPO Zorunlu mu?
6698 sayılı Kanun, GDPR'daki gibi genel bir "DPO atama" zorunluluğu getirmez. Bunun yerine, VERBİS kayıt yükümlüsü veri sorumluları bir irtibat kişisi belirler. Ancak bu iki rol aynı değildir:
- İrtibat kişisi: Kurum ile Kurul arasındaki iletişimi sağlar; veri sorumlusunu temsil etmez ve tek başına karar verme yetkisi yoktur.
- DPO: Uyumu izleyen, danışmanlık veren ve bağımsız çalışması beklenen daha kapsamlı bir uzmanlık rolüdür.
DPO'nun Başlıca Görevleri
- Veri işleme faaliyetlerinin mevzuata uygunluğunu izlemek,
- Kişisel veri işleme envanterinin güncelliğini gözetmek,
- Risk ve etki değerlendirmelerine danışmanlık yapmak,
- Veri ihlali müdahale sürecini koordine etmek,
- Çalışanlara farkındalık eğitimi vermek,
- İlgili kişi başvurularının doğru yönetilmesini sağlamak,
- Denetim otoritesiyle iletişimi yürütmek.
DPO Kimler İçin Gereklidir?
Yoğun ve hassas veri işleyen (sağlık, finans, e-ticaret, teknoloji) kurumlar; çok sayıda ilgili kişinin verisini düzenli izleyen veya büyük ölçekte özel nitelikli veri işleyen kuruluşlar için özel bir uzman/ekip pratikte gereklidir. AB'de yerleşik ya da AB vatandaşlarının verisini işleyen kurumlar için GDPR kapsamında DPO ayrıca zorunlu olabilir.
Sıkça Sorulan Sorular
İrtibat kişisi ile DPO aynı mı?
Hayır. İrtibat kişisi Türk mevzuatındaki iletişim rolüdür; DPO daha geniş, bağımsız bir uyum uzmanlığıdır.
DPO dışarıdan hizmet olarak alınabilir mi?
Evet. Birçok kurum DPO/veri koruma danışmanlığını dış uzmandan hizmet olarak alır.
İrtibat kişisi kimler olabilir?
Kural olarak Türkiye'de yerleşik gerçek kişilerdir; veri sorumlusunu temsil yetkisi olmadan Kurul ile iletişimi sağlar.
Bu içerik genel bilgilendirme amaçlıdır, hukuki danışmanlık niteliği taşımaz. Kaynak: 6698 sayılı Kanun ve VERBİS mevzuatı; Kişisel Verileri Koruma Kurumu (kvkk.gov.tr).