Bir AB GDPR Temsilcisine İhtiyacınız Var mı? Madde 27 Açıklaması

Şirketiniz Avrupa Birliği dışında yerleşik olsa da AB'deki müşterilere ürün veya hizmet satıyorsa, GDPR yine de işletmeniz için geçerli olabilir.

Uluslararası işletmelerin bazen gözden kaçırdığı bir gereklilik şudur: Genel Veri Koruma Yönetmeliği'nin (GDPR) 27. maddesi. Bazı durumlarda, AB'de kuruluşu olmayan bir şirketin Avrupa Birliği içinde resmi olarak bir temsilci ataması gerekmektedir.

Bu durum, çevrimiçi mağazaları, yazılım şirketlerini, hizmet sağlayıcıları, uluslararası markaları ve Avrupa müşterilerini hedefleyen diğer işletmeleri etkileyebilir.

Bu kılavuzda, bir şeyin ne zaman ortaya çıktığını açıklıyoruz. AB GDPR Temsilcisi Temsilcinin ne yapması gerektiği, temsilcinin ne yapacağı ve AB üyesi olmayan işletmelerin bu gereksinimi nasıl karşılayabileceği konuları ele alınacaktır.

AB GDPR Temsilcisi Nedir?

AB GDPR Temsilcisi, Avrupa Birliği dışında bulunan belirli veri sorumluları veya veri işleyicileri tarafından resmen atanmış, Avrupa Birliği içinde kurulmuş bir kişi veya kuruluştur.

Temsilci, şirketin kişisel verilerin işlenmesiyle ilgili konularda AB içinde ulaşılabilir bir iletişim noktası sağlar.

Madde 27, temsilcinin atanmasını gerektirir. yazılı olarak. Temsilcinin, kişisel verileri işlenen ilgili kişilerin bulunduğu bir AB üye devletinde yerleşik olması gerekmektedir.

Temsilci daha sonra AB denetim makamları ve veri sahipleri tarafından şirketin veri işleme faaliyetleriyle ilgili konularda bilgilendirilebilir.

GDPR, AB dışındaki bir şirket için neden geçerli olabilir?

Yaygın bir yanılgı, GDPR'nin yalnızca Avrupa Birliği içinde kurulmuş şirketler için geçerli olduğudur.

Bu her zaman böyle değildir.

GDPR Madde 3(2) uyarınca, Yönetmelik, AB'de yerleşik olmayan veri sorumlularının ve veri işleyicilerinin belirli işleme faaliyetlerine de uygulanabilir; bu faaliyetler şunlarla ilgiliyse:

• AB'deki bireylere mal sunmak;
• AB'deki bireylere hizmet sunmak; veya
• AB içinde gerçekleşen bireylerin davranışlarını izlemek.

Bu bölgesel kapsam, özellikle uluslararası e-ticaret için büyük önem taşımaktadır.

Örnek: Almanya'ya satış yapan bir ABD online mağazası

Amerika Birleşik Devletleri'nde kurulmuş ancak AB'de ofisi bulunmayan bir şirketi ele alalım.

Şirket, özellikle Alman müşterilere hizmet veren bir çevrimiçi mağaza işletmekte, Almanya'dan sipariş kabul etmekte, ürünleri Almanya'ya göndermekte ve müşteri bilgileri (isimler, adresler, e-posta adresleri ve sipariş bilgileri gibi) üzerinde işlem yapmaktadır.

Şirketin ABD'de yerleşik olması, bu veri işleme faaliyetlerini otomatik olarak GDPR kapsamı dışında bırakmaz.

Madde 3(2) uygulanıyorsa, işletme daha sonra Madde 27'nin Avrupa Birliği içinde bir temsilci atamasını gerektirip gerektirmediğini değerlendirmelidir.

GDPR Madde 27 Kapsamındaki Temsilciye Kimin İhtiyacı Var?

Madde 27, genel olarak, bir istisna uygulanmadığı sürece, GDPR Madde 3(2) kapsamına giren bir veri sorumlusunun veya veri işleyicisinin Avrupa Birliği'nde bir temsilci atamasını gerektirir.

Bu, söz konusu gerekliliğin potansiyel olarak aşağıdaki ülkelerdeki işletmeleri etkileyebileceği anlamına gelir:

• Amerika Birleşik Devletleri;
• Birleşik Krallık;
• İsviçre;
• Kanada;
• Avustralya;
• Japonya;
• Çin;
• Singapur; ve
• AB dışındaki diğer ülkeler.

Değerlendirilmesi gereken husus, şirketin yalnızca kurulduğu ülke değil, faaliyetleri ve işleme operasyonlarıdır.

AB üyesi olmayan her şirketin temsilci ataması zorunlu mu?

HAYIR.

Madde 27, işlemenin istisna teşkil ettiği durumları içermektedir. ara sıra, Bu, özel kategorideki kişisel verilerin veya suç mahkumiyetleri ve suçlarla ilgili kişisel verilerin büyük ölçekli işlenmesini içermez ve işlemenin niteliği, bağlamı, kapsamı ve amaçları dikkate alındığında, bireylerin hak ve özgürlükleri için bir risk oluşturması olası değildir.

Madde 27'de kamu yetkilileri ve kurumları da ayrı olarak ele alınmaktadır.

Bu nedenle, muafiyet genel bir küçük işletme muafiyeti olarak değerlendirilmemelidir. Bir işletme, temsilciye ihtiyaç duyulmadığı sonucuna varmadan önce fiili işleme faaliyetlerini gözden geçirmelidir.

AB Temsilcisi Nerede Bulunmalıdır?

Madde 27(3) uyarınca, temsilcinin ilgili veri sahiplerinin bulunduğu AB üye devletlerinden birinde kurulması gerekmektedir.

Örneğin, AB üyesi olmayan bir e-ticaret şirketi Almanya'daki tüketicilere aktif olarak satış yapıyorsa ve bu satışlarla bağlantılı olarak kişisel verilerini işliyorsa, Almanya'da kurulu bir temsilci uygun bir AB iletişim noktası sağlayabilir.

Avrupa Veri Koruma Kurulu (EDPB), iyi uygulama gereği olarak, temsilcinin etkilenen veri sahiplerinin önemli bir kısmının bulunduğu Üye Devlette konumlandırılmasını da önermektedir.

AB GDPR Temsilcisi Ne İş Yapar?

Temsilci, gizlilik politikasına eklenebilecek basit bir adresten çok daha fazlasıdır.

Bu rol, AB üyesi olmayan şirket, AB'deki bireyler ve yetkili veri koruma makamları arasında bir AB irtibat noktası oluşturur.

1. AB İrtibat Noktası olarak görev yapar.

Temsilci, temsil edilen şirketin veri işleme faaliyetleriyle ilgili GDPR konularında Avrupa Birliği içinde tanımlanabilir bir irtibat kişisi sağlar.

2. Veri Sahipleriyle İletişimi Kolaylaştırır

AB veri sahipleri, ilgili veri işleme konuları ve GDPR kapsamındaki haklarının kullanımıyla ilgili olarak temsilciyle iletişime geçebilmelidir.

Temsilci, ilgili iletişimleri alabilir ve bunları temsil ettiği şirketle koordine edebilir.

3. Denetleyici Makamlarla İletişim Kurar

Temsilcinin, atama kapsamındaki işleme faaliyetleriyle ilgili olarak yetkili AB denetim makamlarına da ulaşılabilir olması gerekmektedir.

Bu, veri sorumlusu veya veri işleyicisi AB dışında bulunsa bile, Avrupa yetkililerine erişilebilir bir iletişim noktası sağlar.

4. Madde 30'da belirtilen kayıtların işlenmesini destekler.

GDPR'nin 30. maddesi, veri sorumlularının ve gerektiğinde temsilcilerinin, veri işleme faaliyetlerine ilişkin kayıtları tutmasını zorunlu kılar.

Kuruluşa ve rolüne bağlı olarak, bu kayıtlar aşağıdaki konularda bilgi içerebilir:

• Kontrolör ve temsilci;
• İşleme amaçları;
• veri öznelerinin kategorileri;
• kişisel verilerin kategorileri;
• alıcı kategorileri;
• uluslararası transferler;
• Mümkün olan saklama süreleri; ve
• Mümkün olan yerlerde ilgili teknik ve organizasyonel güvenlik önlemlerinin genel bir açıklaması.

Bu kayıtlar, gerektiğinde yetkili denetim makamına sunulmalıdır.

AB GDPR Temsilcisi ile Veri Koruma Görevlisi aynı şey midir?

HAYIR. Madde 27 Temsilcisi ve Veri Koruma Görevlisi (DPO), GDPR'ye göre ayrı işlevlerdir.

AB Temsilcisi, AB üyesi olmayan bir veri sorumlusu veya veri işleyicisinden aldığı yetkiyle hareket eder ve ilgili GDPR konularında Avrupa Birliği içinde onların temsilcisi olarak görev yapar.

Veri Koruma Görevlisi (DPO), GDPR'nin 37 ila 39. maddeleri uyarınca ayrı bir role sahiptir ve bu rolü gerekli bağımsızlıkla yerine getirmelidir.

Avrupa Veri Koruma Kurulu (EDPB), bir AB Temsilcisinin rolünün, aynı kuruluş için harici Veri Koruma Sorumlusu (DPO) olarak eş zamanlı görev yapmakla genellikle bağdaşmadığını açıkça belirtmiştir.

Temsilci Atamak GDPR Sorumluluğunu Devretmek Anlamına Gelir mi?

HAYIR.

AB Temsilcisi atamak, veri sorumlusunun veya veri işleyicisinin GDPR yükümlülüklerini temsilciye devretmez.

AB üyesi olmayan işletme, veri işleme faaliyetlerine ilişkin geçerli GDPR gerekliliklerine uymaktan sorumludur.

Örneğin, işletmenin hâlâ ele alması gereken konular şunlar olabilir:

• İşleme için yasal dayanaklar;
• gizlilik bilgileri;
• veri sahibi hakları;
• işlemci ilişkileri;
• uluslararası veri transferleri;
• Veri saklama;
• güvenlik önlemleri;
• veri ihlali yükümlülükleri; ve
• Diğer geçerli GDPR gereklilikleri.

Dolayısıyla AB Temsilcisi, kuruluşun daha geniş GDPR uyumluluk yapısının bir parçasını oluşturmaktadır.

Gizlilik Bildiriminizde Hangi Bilgiler Yer Almalıdır?

AB Temsilcisi atanmışsa, kuruluş, veri sahiplerine sağlanan GDPR bilgilerinde temsilcinin uygun şekilde tanımlanmasını sağlamalıdır.

Bu genellikle, bireylerin Avrupa'da ulaşılabilir bir irtibat noktasına sahip olabilmeleri için temsilcinin kimliğinin ve iletişim bilgilerinin sağlanması anlamına gelir.

Atama devam ettiği sürece ayrıntılar güncel tutulmalıdır.

EaseCert AB GDPR Temsilcilik Hizmeti

EaseCert artık şunları sağlıyor: AB Genel Veri Koruma Yönetmeliği (GDPR) Madde 27 uyarınca temsilcilik hizmeti Avrupa Birliği dışında kurulmuş uygun işletmeler için.

EaseCert GmbH, Almanya'da kurulmuş olan bu şirket, resmi olarak AB Temsilciniz olarak atanabilir ve temsilcilik görevi için gerekli olan Avrupa irtibat noktasını sağlayabilir.

Hizmet şunları içerir:

• AB GDPR Temsilciliği: GDPR Madde 27 uyarınca EaseCert GmbH'nin AB Temsilciniz olarak atanması;
• AB İletişim Noktası: AB veri sahipleri ve yetkili veri koruma makamları için iletişim noktası; ve
• Madde 30 Kayıtları: Kuruluşunuz tarafından sağlanan bilgilere dayanarak, İşleme Faaliyetleri Kaydınızın kurulumu ve bakımı.

Yıllık abonelik yerine tek seferlik ödeme

Uluslararası işletmeler Avrupa pazarına girerken zaten çok sayıda tekrarlayan maliyetle karşı karşıya kalıyorlar.

Bu nedenle EaseCert, standart AB GDPR Temsilcisi hizmetini basit bir yöntemle sunmaktadır. tek seferlik ücret modeli.

Standart hizmet için yıllık temsilci aboneliği bulunmamaktadır.

EaseCert Randevu Süreci Nasıl İşliyor?

Adım 1: Siparişinizi Verin

AB GDPR Temsilcisi hizmetini sipariş edin ve şirket bilgilerinizi sağlayın.

Adım 2: İşlem Bilgilerinizi Sağlayın

AB'deki faaliyetlerinizi ve atama kapsamındaki işleme süreçlerini anlamak için gerekli bilgileri topluyoruz.

3. Adım: İnceleme ve Temsilci Yetki Belgesi

EaseCert, sağlanan bilgileri inceler ve temsilcilik ilişkisi için gerekli belgeleri hazırlar.

4. Adım: Resmi Atama

Yazılı yetki belgesi, GDPR'nin 27. maddesi uyarınca EaseCert GmbH'yi AB Temsilciniz olarak resmen atamaktadır.

Adım 5: Gizlilik Bilgilerinizi Güncelleyin

Gizlilik belgelerinize AB Temsilcinizi dahil edebilmeniz için ilgili EaseCert temsilcisinin iletişim bilgilerini sağlıyoruz.

Adım 6: Bilgilerinizi Koruyun

Kuruluşunuz, atama kapsamındaki işleme faaliyetlerinde meydana gelen önemli değişiklikler hakkında EaseCert'i bilgilendirmeli, böylece ilgili temsilci kayıtları güncel kalabilmelidir.

AB Ürün Uyumluluğu ve Veri Koruması Tek Çatı Altında

Uluslararası e-ticaret işletmeleri için GDPR, Avrupa pazarına girişin genellikle sadece bir parçasıdır.

Ürünlere ve ilgili ülkelere bağlı olarak, işletmeler ürün güvenliği, AB Sorumlu Kişileri, yetkili temsilciler, ürün etiketleme, teknik dokümantasyon, Genişletilmiş Üretici Sorumluluğu (EPR) ve diğer pazar erişim yükümlülükleri ile ilgili gerekliliklerle de karşılaşabilirler.

EaseCert, Almanya merkezli kuruluşu aracılığıyla uluslararası işletmelere pratik AB uyumluluk hizmetleri sunarak, şirketlerin birden fazla Avrupa uyumluluk gereksinimini tek bir sağlayıcı üzerinden koordine etmelerini sağlıyor.

AB müşterilerine satış yapmaya başlamadan önce hazırlık yapın.

İşletmeniz Avrupa Birliği dışında kurulmuşsa ve AB'deki müşterileri hedeflemeyi planlıyorsa, faaliyete geçmeden önce 27. Madde'nin geçerli olup olmadığını belirleyin.

AB Temsilcisi gerektiğinde, atamanın erken yapılması, uygun temsilci bilgilerinin gizlilik belgelerinize en başından itibaren dahil edilebileceği anlamına gelir.

EaseCert GmbH, AB üyesi olmayan işletmeler için Almanya'dan AB GDPR temsil hizmeti sunmaktadır ve bu hizmet tek seferlik bir ücret karşılığında sağlanmaktadır.

Resmi Referanslar

• (AB) 2016/679 Yönetmeliği (Genel Veri Koruma Yönetmeliği) – EUR-Lex
• Avrupa Veri Koruma Kurulu – GDPR'nin Bölgesel Kapsamına İlişkin 3/2018 Sayılı Kılavuz

Bu makale, AB GDPR Temsilcilik gerekliliği hakkında genel bilgiler sunmaktadır. Madde 27'nin uygulanıp uygulanmadığı, ilgili kuruluşun koşullarına ve veri işleme faaliyetlerine bağlıdır. EaseCert'in Madde 27 hizmeti, bir AB temsilcilik hizmetidir ve yasal tavsiye veya Veri Koruma Görevlisi (DPO) hizmeti teşkil etmez.