Kısa Cevap: Veri Koruma Etki Değerlendirmesi (DPIA), GDPR Madde 35 uyarınca, bir işlem faaliyetinin bireylerin hakları ve özgürlükleri için yüksek risk oluşturma olasılığı olduğunda yasal olarak gereklidir. Bu, büyük ölçekli profil oluşturma, kamu alanlarının sistematik izlenmesi ve özel veri kategorilerinin işlenmesi gibi faaliyetleri kapsar. Gerektiğinde bir DPIA yapılmaması, kuruluşun önemli düzenleyici cezalara ve itibar kaybına maruz kalmasına neden olabilir.
Anahtar Noktalar
- DPIA, bireylerin hakları ve özgürlükleri için "yüksek risk oluşturma olasılığı" taşıyan işlem faaliyetleri için GDPR Madde 35 uyarınca zorunludur [3]
- Üç işlem türü her zaman bir DPIA gerektirir: bireylerin sistematik değerlendirilmesi, hassas verilerin büyük ölçekli işlenmesi ve kamuya açık alanların sistematik izlenmesi [3]
- Ulusal Veri Koruma Otoriteleri, DPIA gerektiren işlem operasyonlarının listelerini yayımlar ve yargı alanına özgü rehberlik sağlar [3]
- Gereken bir DPIA'nın atlanması, GDPR kapsamında 10 milyon euroya kadar veya küresel yıllık cirosunun %2'sine kadar para cezası ile sonuçlanabilir
- EDPB, 2026 Nisan ayında, AB üye devletleri arasında tutarlılığı artırmak için standart bir DPIA şablonu kabul etti [1]
- Bireyler üzerinde önemli etkileri olan otomatik kararlar veren yapay zeka sistemleri ve makine öğrenimi modelleri neredeyse her zaman bir DPIA gerektirir [2]
- Küçük işletmeler otomatik olarak muaf değildir; tetikleyici, işlemin doğasıdır, kuruluşun büyüklüğü değil [5]
- DPIA, işleme faaliyetleri önemli ölçüde değiştiğinde gözden geçirilmesi ve güncellenmesi gereken yaşayan bir belgedir [3]
- Kalan riskler azaltma sonrası yüksek kalırsa, kuruluşlar işlemeye devam etmeden önce denetleyici otoriteleri ile danışmalıdır [3]
- DPIA, esas olarak yasal temeli ve zorunlu danışma yükümlülükleri açısından bir Gizlilik Etki Değerlendirmesi (PIA) ile farklıdır
DPIA Nedir ve Neden Gereklidir?
Veri Koruma Etki Değerlendirmesi, kuruluşların veri işleme faaliyetlerinden kaynaklanan bireylere yönelik riskleri tanımlamalarına, değerlendirmelerine ve azaltmalarına yardımcı olan yapılandırılmış bir süreçtir. GDPR kapsamında, bu isteğe bağlı bir rehberlik değil, yüksek riskli işlemler için yasal bir yükümlülüktür [3].
DPIA'nın temel amacı hesap verebilirliktir. Kuruluşları, topladıkları verilerin ne olduğunu, neden topladıklarını, kimin erişimi olduğunu ve neyin yanlış gidebileceğini sistematik olarak düşünmeye zorlar. İrlanda Veri Koruma Komisyonu, bunun, bir kuruluşun işlem başlamadan önce gizlilik risklerini dikkate aldığını gösteren bir araç olarak tanımlar, ihlal meydana geldikten sonra değil [5].
Bir DPIA genellikle şunları kapsar:
- İşlemenin ve amaçlarının tanımı
- Gereklilik ve orantılılık değerlendirmesi
- Veri sahiplerine yönelik risklerin değerlendirilmesi
- Bu riskleri ele almak için planlanan önlemler
EDPB, 2026 Nisan ayında, bu süreci AB genelinde tutarlı bir şekilde yapılandırmalarına yardımcı olmak için standart bir DPIA şablonu kabul etti [1].
DPIA Ne Zaman Gereklidir?
GDPR Madde 35, doğal kişilerin hakları ve özgürlükleri için "yüksek risk oluşturma olasılığı" taşıyan herhangi bir işlemden önce bir DPIA gerektirir [3]. Bu yükümlülüğü her zaman tetikleyen üç özel senaryo vardır:
- Önemli etkileri olan sistematik ve kapsamlı profil oluşturma, otomatik karar verme dahil
- Özel veri kategorilerinin büyük ölçekli işlenmesi (sağlık, biyometrik, ırk kökeni vb.) veya ceza mahkumiyetine ilişkin kişisel veriler
- Kamuya açık alanların sistematik izlenmesi büyük ölçekli olarak
Bunların ötesinde, ulusal denetleyici otoriteler, yargı alanlarında DPIA gerektiren işlem operasyonlarının listelerini yayımlar. Birden fazla AB üye devletinde faaliyet gösteren kuruluşlar, her ilgili ulusal listeyi kontrol etmelidir.
Karar kuralı: Eğer işleminiz EDPB'nin dokuz risk kriterinden ikisini veya daha fazlasını karşılıyorsa (yeni teknoloji, büyük ölçek, hassas veri, sistematik izleme, veri setlerini eşleştirme veya birleştirme, savunmasız veri sahipleri, yenilikçi kullanım, hizmet reddi riski veya otomatik karar verme), bir DPIA neredeyse kesinlikle gereklidir [4].
Yüksek Riskli Veri İşleme Nedir?
Yüksek riskli işleme, faaliyetin doğası, kapsamı, bağlamı ve amacı ile tanımlanır, yalnızca işlenen veri hacmi ile değil. EDPB, işlemi yüksek riskli duruma yükselten belirli özellikleri tanımlayan kılavuzlar sağlar [4].
Anahtar göstergeler şunlardır:
| Risk Göstergesi | Örnek |
|---|---|
| Otomatik karar verme | Kredi puanlama, sigorta risk modelleri |
| Hassas veri kategorileri | Sağlık kayıtları, biyometrik kimlik doğrulama |
| Büyük ölçekli işleme | Ulusal sadakat programı veritabanları |
| Kamu alanı izleme | Yüz tanıma ile CCTV |
| Veri eşleştirme veya birleştirme | Sosyal medyayı satın alma geçmişi ile çapraz referanslama |
| Savunmasız veri sahipleri | Çocuklar, hastalar, çalışanlar |
| Yeni veya kanıtlanmamış teknoloji | Üretken yapay zeka, duygu tespit araçları |
Tek bir gösterge otomatik olarak bir DPIA gerektirmez, ancak iki veya daha fazla kombinasyon halinde neredeyse her zaman gerektirir. Örneğin, hem hassas verileri hem de otomatik karar verme içeren bir işlem, şüphesiz eşiği aşar.
İşletmemin DPIA'ya İhtiyacı Olup Olmadığını Nasıl Anlarım?
Cevap, kuruluşunuzun kişisel verilerle ne yaptığına bağlıdır, sektörünüze veya şirket büyüklüğünüze değil. Herhangi bir veri kontrolörü, ister bir başlangıç, ister bir hastane, ister bir pazarlama ajansı olsun, işlemleri yüksek risk eşiğini karşılıyorsa bir DPIA yapmak zorundadır [5].
Pratik bir tarama süreci:
- Tüm mevcut veri işleme faaliyetlerini haritalayın
- EDPB'nin dokuz risk kriterini her bir faaliyete uygulayın
- Ulusal denetleyici otoritenizin yayımladığı "yapılması gerekenler" listesini kontrol edin
- İki veya daha fazla kriter puanı alan herhangi bir faaliyet için bir DPIA başlatın
- DPIA gerekmese bile tarama kararını belgeleyin
Yaygın hata: Kuruluşlar, küçük oldukları için muaf olduklarını varsayıyor. Büyüklük önemsizdir. Otomatik kararlar veren bir AI tabanlı işe alım aracı çalıştıran iki kişilik bir başlangıç, bir DPIA yapmak zorundadır.
Gerektiğinde DPIA Yapmamanın Sonuçları Nedir?
Gereken bir DPIA'yı yapmamak, GDPR'nın ihlali anlamına gelir, veri sahiplerine herhangi bir gerçek zarar olup olmadığına bakılmaksızın. Denetleyici otoriteler, bu özel ihlal için 10 milyon euroya kadar veya küresel yıllık cirosunun %2'sine kadar para cezası uygulayabilir [3].
Mali cezalara ek olarak, sonuçlar şunları içerir:
- İşlem faaliyetinin zorunlu olarak askıya alınması
- Kamu yaptırım kararlarından kaynaklanan itibar kaybı
- Denetleyici otoriteden artan denetim ve inceleme yükümlülükleri
- Doğru şekilde danışmanlık yapmayan Veri Koruma Görevlileri için kişisel sorumluluk
Eğer azaltma önlemleri uygulandıktan sonra kalan riskler yüksek kalıyorsa, kuruluşlar işlemeye başlamadan önce denetleyici otoriteleri ile danışmalıdır. Bu danışma olmadan ilerlemek ek bir ihlal oluşturur [3].
DPIA ve Gizlilik Etki Değerlendirmesi: Fark Nedir?
Gizlilik Etki Değerlendirmesi (PIA), GDPR'dan önce var olan daha geniş, isteğe bağlı en iyi uygulama çerçevesidir. DPIA, AB veri koruma yasası uyarınca yasal olarak zorunlu bir halefidir. İki terim bazen birbirinin yerine kullanılsa da, farklı yükümlülükler taşırlar.
| Özellik | PIA | DPIA |
|---|---|---|
| Yasal temel | En iyi uygulama | GDPR Madde 35 |
| Zorunlu | Hayır | Evet, yüksek risk durumunda |
| Denetleyici otorite danışma | Gerekmiyor | Kalan risk yüksekse gereklidir |
| Standart şablon | Değişken | EDPB şablonu (2026) [1] |
| Belgelendirme yükümlülüğü | Tavsiye edilir | Yasal olarak gereklidir |
GDPR yürürlüğe girmeden önce PIA yapan kuruluşlar, bu değerlendirmelerin daha sıkı DPIA standartlarını karşılayıp karşılamadığını gözden geçirmelidir.
DPIA Gereksinimleri için AI ve Makine Öğrenimi
Bireyler hakkında kararlar veren veya önemli ölçüde etkileyen AI sistemleri neredeyse her zaman bir DPIA gerektirir. Yasal veya benzeri önemli etkileri olan otomatik karar verme, GDPR Madde 35 uyarınca üç temel tetikleyiciden biridir [4].
AB AI Yasası, 2 Ağustos 2026'da tamamen yürürlüğe girdiğinde, yüksek riskli AI sistemleri için Temel Haklar Etki Değerlendirmesi (FRIA) ek bir katman getirir. Kuruluşlar, DPIA ve FRIA süreçlerini birleştirmeleri için güçlü bir şekilde teşvik edilir; bu, çabaların tekrarlanmasını önlemek ve hem veri koruma hem de temel haklar risklerinin kapsamını sağlamak için önemlidir [2].
DPIA gerektiren belirli AI kullanım durumları şunlardır:
- Adayları filtreleyen veya sıralayan işe alım algoritmaları
- Kredi ve sigorta puanlama modelleri
- Öngörücü polislik veya dolandırıcılık tespit sistemleri
- Sağlık teşhisi veya tedavi öneri araçları
- Çıkarımlı profiller kullanan davranışsal reklam platformları
Sınır durumu: Nihai kararlar vermeyen ancak insan karar vericileri önemli ölçüde etkileyen AI sistemleri, temel veri işleme büyük ölçekli veya hassas kategoriler içeriyorsa DPIA gerekliliğini tetikleyebilir.
Küçük İşletmelerin DPIA Yapması Gerekir mi?
Küçük ve orta ölçekli işletmeler, DPIA yükümlülüklerinden muaf değildir. Yasal tetikleyici, işlem faaliyetinin doğası ve risk seviyesidir, kuruluşun büyüklüğü veya geliri değil [5].
Bununla birlikte, birçok küçük işletme, örneğin, bir DPIA gerektirmeyen müşteri e-posta listesi yönetimi gibi düşük riskli işlemler yapmaktadır. Yükümlülük, yalnızca işlemin kendisi yüksek risk eşiğini aştığında ortaya çıkar.
Küçük işletmeniz için bir DPIA seçin:
- İçerik veya fiyatlandırmayı kişiselleştirmek için otomatik profil oluşturma kullanıyorsanız
- Sağlık, finansal veya biyometrik verileri işliyorsanız
- Çocukların muhtemel kullanıcı olduğu bir platform işletiyorsanız
- Ölçekli olarak davranışsal profiller oluşturan izleme teknolojileri kullanıyorsanız
Biscotti CMP gibi bir onay yönetim platformu, küçük işletmelerin onay kayıtlarını yönetmelerine ve hesap verebilirlik göstermelerine yardımcı olabilir; bu, bir DPIA'nın yer aldığı daha geniş uyum çerçevesini destekler.
DPIA Raporunda Neler Bulunmalıdır?
Tam bir DPIA raporu, GDPR Madde 35(7) uyarınca birkaç zorunlu unsuru içermelidir [3]:
- İşlem operasyonlarının ve amaçlarının sistematik tanımı, geçerli ise takip edilen meşru çıkar dahil
- Belirtilen amaca göre gereklilik ve orantılılık değerlendirmesi
- Veri sahiplerinin hakları ve özgürlükleri üzerindeki risklerin değerlendirilmesi
- Riskleri ele almak için öngörülen önlemler, güvenlik önlemleri ve veri koruma sağlama mekanizmaları dahil
EDPB'nin 2026 standart şablonu, bu unsurları AB genelinde denetleyici otoriteler tarafından tanınan tutarlı bir formatta yapılandırır [1]. Bunu kullanmak, bir denetim sırasında DPIA'nın eksik olarak değerlendirilme riskini azaltır.
Ekstra en iyi uygulama unsurları, Veri Koruma Görevlisi ile yapılan danışma kayıtları, veri sahiplerinden veya temsilcilerinden alınan paydaş girdileri ve kalan risk onayı içerir.
DPIA'nın Maliyeti Nedir ve Kendi Başınıza Yapabilir misiniz?
DPIA'nın maliyeti karmaşıklığa bağlı olarak geniş bir yelpazede değişir. İyi belgelenmiş bir işlem faaliyeti için basit bir iç değerlendirme, birkaç gün içinde evde tamamlanabilir. AI sistemleri, sınır ötesi veri akışları veya birden fazla veri kontrolörü içeren karmaşık değerlendirmeler haftalar alabilir ve dışarıdan hukuki veya teknik uzmanlık gerektirebilir.
Kabaca maliyet aralıkları (piyasa normlarına dayalı tahminler):
- Düşük karmaşıklıkta iç DPIA: minimal maliyet, esasen personel zamanı (8-20 saat)
- Orta karmaşıklıkta danışman liderliğinde DPIA: genellikle 2,000-8,000 euro
- Yüksek karmaşıklıkta AI sistemleri için tam hukuki ve teknik inceleme: 10,000 euro veya daha fazla
Atanmış bir DPO'ya sahip kuruluşlar, onları baştan dahil etmelidir. DPO'nun rolü, bir DPIA'nın gerekip gerekmediği konusunda danışmanlık yapmak ve tamamlanan değerlendirmeyi gözden geçirmektir [3]. İç uzmanlığı olmayan kuruluşlar, yeni teknoloji veya hassas veri kategorilerini içeren herhangi bir işlem için uzman bir danışmanla çalışmayı düşünmelidir.
DPIA'yı Ne Sıklıkla Güncellemeliyim veya Yeniden Yapmalıyım?
DPIA, tek seferlik bir uygulama değildir. İşlem faaliyetlerinde önemli bir değişiklik olduğunda gözden geçirilmesi gereken yaşayan bir belgedir [3].
Gözden geçirme veya tam yeniden değerlendirme tetikleyicileri şunlardır:
- İşlem zincirinde yeni bir teknoloji veya yeni bir tedarikçi tanıtmak
- Toplanan veri kapsamını veya hacmini genişletmek
- İşlemenin amacını değiştirmek
- Daha önce tanımlanmamış riskleri ortaya çıkaran bir veri ihlali veya yakın tehlike
- Risk değerlendirmesini etkileyen bir denetleyici otoriteden yeni kılavuzlar
- Hukuki veya düzenleyici ortamda önemli değişiklikler
Bir temel olarak, kuruluşlar, belirli değişiklikler olmaksızın bile, tüm DPIA'ların en az her iki veya üç yılda bir gözden geçirilmesini planlamalıdır. EDPB, DPIA'ları, mevcut gerçeği yansıtması gereken hesap verebilirlik araçları olarak değerlendirir, tarihsel anlık görüntüler değil [3].
DPIA Karar Kontrol Listesi
Sıkça Sorulan Sorular
DPIA'nın tamamlanması işlem başlamadan önce mi gereklidir? Evet. GDPR Madde 35, DPIA'nın işlem faaliyetinden önce yapılmasını gerektirir, işlem başladıktan sonra değil. Yüksek riskli bir işleme DPIA tamamlanmadan başlamak kendisi bir ihlaldir [3].
DPIA'yı kim yapmaktan sorumludur? Veri kontrolörü yasal olarak sorumludur. Bir Veri Koruma Görevlisi atanmışsa, süreç boyunca onlarla danışılmalıdır. İşlemciler yardımcı olabilir, ancak hesap verebilirlik kontrolörde kalır [3].
DPIA'nın kamuya açıklanması gerekir mi? Hayır. DPIA'yı yayımlamak için yasal bir gereklilik yoktur. Ancak, kuruluşlar, talep üzerine denetleyici otoritelerine sunmak zorundadır ve genel sonuçlar, şeffaflık yükümlülüklerinin bir parçası olarak veri sahipleri ile paylaşılabilir.
Ön danışma nedir ve ne zaman uygulanır? Eğer bir DPIA, tüm azaltma önlemleri uygulandıktan sonra kalan risklerin yüksek olduğunu belirlerse, kontrolör, işlemeye devam etmeden önce denetleyici otoritesi ile danışmalıdır. Otoritenin yanıt vermesi için sekiz haftaya kadar süresi vardır [3].
Tek bir DPIA, birden fazla benzer işlem faaliyetini kapsayabilir mi? Evet. EDPB, tek bir DPIA'nın karşılaştırılabilir yüksek riskler sunan benzer işlem operasyonlarını ele alabileceğini onaylar. Bu, aynı temel veri mimarisine sahip birden fazla kampanya veya ürün yürüten kuruluşlar için yaygındır [4].
Şirketim AB dışında ise GDPR geçerli mi? GDPR, AB sakinlerinin kişisel verilerini işleyen herhangi bir kuruluş için geçerlidir, kuruluşun nerede bulunduğuna bakılmaksızın. AB dışındaki şirketler, AB kullanıcılarını hedefliyorsa DPIA yükümlülüklerine, AB merkezli şirketler gibi uymak zorundadır.
Mevcut işlem faaliyetleri için DPIA gerekli mi? DPIA esas olarak yeni işlemler için gereklidir. Ancak, mevcut bir faaliyet önemli ölçüde değişirse veya daha önce değerlendirilmemiş ve yüksek risk taşıyorsa, geriye dönük bir DPIA yapılması şiddetle tavsiye edilir ve bir denetleyici otoritesi tarafından talep edilebilir [3].
Onay yönetim platformu, DPIA uyumluluğunda ne rol oynar? Biscotti CMP gibi bir onay yönetim platformu, kuruluşların kullanıcı onaylarını toplamasına, kaydetmesine ve yönetmesine yardımcı olur; bu, DPIA uyumluluğunu destekleyen hesap verebilirlik gerekliliklerini destekler, özellikle çerez tabanlı izleme ve davranışsal profil oluşturma faaliyetleri için.
Sonuç
DPIA'nın ne zaman gerekli olduğunu anlamak ve yüksek riskli veri değerlendirmeleri için bir rehber oluşturmak, olgun bir veri koruma programının en net işaretlerinden biridir. Yükümlülük, bürokratik bir kutu işaretleme değil: veri sahiplerine zarar gelmeden önce bunu tanımlamak için yapılandırılmış bir yöntemdir.
2026 için uygulanabilir sonraki adımlar:
- Tüm işlem faaliyetlerini haritalayın ve her birini EDPB'nin dokuz risk kriterine göre tarayın [4]
- 2026 Nisan ayında kabul edilen EDPB'nin standart DPIA şablonunu indirin ve kullanın [1]
- Ulusal denetleyici otoritenizin yayımladığı zorunlu DPIA faaliyetleri listesini kontrol edin
- Herhangi bir AI veya makine öğrenimi uygulaması için, DPIA'nızı AB AI Yasası'nın FRIA süreci ile entegre edin [2]
- Mevcut DPIA'ları gözden geçirmek için takvim hatırlatıcıları ayarlayın, en az her iki yılda bir veya herhangi bir önemli değişiklikten sonra
- Eğer kalan riskler azaltma sonrası yüksek kalıyorsa, işlemeye devam etmeden önce denetleyici otoritenizle danışın [3]
- Onay yönetim altyapınızın, Biscotti CMP gibi araçlar dahil, DPIA programınızın bağımlı olduğu hesap verebilirlik kayıtlarını desteklediğinden emin olun
DPIA'ları birer seferlik uyum görevleri değil, yaşayan hesap verebilirlik araçları olarak gören kuruluşlar, düzenleyici beklentilerin sürekli evrildiği bir ortamda daha iyi uyum sağlayacaklardır.
Referanslar
[1] Uyumu ve Tutarlılığı Artırma EDPB DPIA Şablonunu Kabul Etti - https://www.edpb.europa.eu/news/enhancing-compliance-and-consistency-edpb-adopts-dpia-template_et?utm_source=openai
[2] DPIA ve FRIA'nın AB AI Yasası Kapsamında Entegrasyonu - https://digital.nemko.com/insights/integrating-dpia-and-fria-under-the-eu-ai-act?utm_source=openai
[3] Veri Koruma Etki Değerlendirmesi DPIA Ne Zaman Gereklidir - https://commission.europa.eu/law/law-topic/data-protection/rules-business-and-organisations/obligations/when-data-protection-impact-assessment-dpia-required_en?utm_source=openai
[4] Veri Koruma Etki Değerlendirmesi - https://www.edpb.europa.eu/topics/accountability-and-compliance-tools/data-protection-impact-assessment_en?utm_source=openai
[5] Veri Koruma Etki Değerlendirmeleri Rehberi - https://www.dataprotection.ie/en/dpc-guidance/guide-data-protection-impact-assessments?utm_source=openai
[6] Veri Koruma Etki Değerlendirmeleri - https://cy.ico.org.uk/for-organisations/law-enforcement/guide-to-le-processing/accountability-and-governance/data-protection-impact-assessments/?utm_source=openai