Veri koruma görevlisi (DPO), bir kurumun kişisel verileri hukuka uygun işlemesini gözeten, bunu bağımsız bir konumdan denetleyen ve gerektiğinde denetim otoritesiyle kurum arasındaki köprüyü kuran görevlidir. DPO bir teknik güvenlik rolü değil, uyum ve hesap verebilirlik rolüdür; kararları uygulayan değil, kararların hukuka uygunluğunu izleyen ve tavsiye eden konumdadır.

DPO, kurumun içinde ama kurumdan bağımsız duran bir denge unsuru: veriyi işleyeni denetler, cezalandırılmadan uyarabilir ve doğrudan üst yönetime rapor eder.

Ne Yapar?

DPO’nun görevi, işleme faaliyetlerini izlemek, çalışanları bilgilendirmek, veri koruma etki değerlendirmelerine danışmanlık etmek ve ilgili kişilerle otorite arasındaki başvuruları yönetmektir. GDPR kapsamında bu rol belirli koşullarda (örneğin büyük ölçekli düzenli izleme veya özel nitelikli verilerin yoğun işlenmesi) zorunlu hale gelir. DPO bir tavsiye ve denetim mercii olarak çalışır; kişisel verinin nasıl işleneceğine dair nihai kararı veri sorumlusu verir, ancak DPO bu kararın mevzuata aykırı olduğunu tespit ederse bunu kayıt altına alıp uyarmakla yükümlüdür.

Bağımsızlık Neden Şart?

DPO’nun etkinliği bağımsızlığına bağlıdır. Rol, izlediği işleme faaliyetlerinin amaç ve araçlarını belirleyen bir pozisyonla (örneğin pazarlama veya BT yönetimi) çakışmamalıdır; aksi halde kişi kendi kararını denetleme çelişkisine düşer. Mevzuat, DPO’nun görevini yaparken talimatla yönlendirilmemesini ve bu görevi nedeniyle işten çıkarılmamasını güvence altına alır. DPO ayrıca en üst yönetim seviyesine doğrudan raporlar.

KVKK ve Yerel Bağlam

Türkiye’de KVKK 6698 sayılı kanun, GDPR’daki DPO kavramının birebir karşılığını zorunlu kılmasa da, veri sorumlusunun uyum sorumluluğunu ve irtibat kişisi atanmasını düzenler. Uluslararası veri akışı olan kurumlar çoğu zaman her iki çerçeveyi birden karşılamak için tek bir veri koruma fonksiyonu kurar. Bu fonksiyonun en görünür ve zamana duyarlı işi, bir ihlal anında ortaya çıkar.

Bir kişisel veri ihlalinde DPO, Veri ihlali bildirimi KVKK süreçlerinin doğru sürede ve doğru kapsamda işlemesini koordine eder; olayın otoriteye ve etkilenen kişilere bildirilip bildirilmeyeceği kararının hukuki temelini hazırlar. Bu yönüyle DPO, teknik olay müdahalesiyle hukuki yükümlülük arasındaki çeviriyi yapan kişidir.

DPO’nun kâğıt üzerindeki uyumu gerçek koruma haline getirebilmesi için, gözettiği kişisel verinin işlendiği sistemlerin de sağlam kurulmuş olması gerekir. Uyum kararlarının teknik zeminini görmek isteyen bir DPO, düzenli bir altyapı ve mimari gözden geçirme çıktısından, verinin nerede tutulduğunu ve hangi kontrollerle korunduğunu somut olarak öğrenir.