Bu nedenle şirketler metindeki hükümleri şu aşamada kesinleşmiş uyum yükümlülükleri olarak değil, değişebilecek öneriler olarak değerlendirmeli. Taslağın 50. maddesinde yürürlük tarihi boş bırakılmış durumda.

Hangi kuruluşlar “büyük kişisel veri işleyicisi” sayılacak?

Taslak, yalnızca tek bir sayısal eşiğe dayanmayan kapsamlı bir değerlendirme öngörüyor. Dikkate alınacak başlıca unsurlar şunlar:

• 10 milyondan fazla gerçek kişiye ilişkin kişisel verinin işlenmesi;
• Kişisel veri işleme faaliyetleri içeren önemli çevrim içi hizmetlerin sunulması veya bu alanda birden fazla iş kolunun yürütülmesi;
• Faaliyetlerin Çin’in ulusal güvenliği, ekonomik işleyişi, toplumsal istikrarı, kamu sağlığı ya da güvenliği üzerinde önemli etki yaratması.

10 milyondan fazla kişinin verisini işleyen kuruluşların yanı sıra, daha geniş ölçütleri karşıladığını değerlendiren kuruluşların da eyalet düzeyindeki CAC birimleri üzerinden belirleme başvurusu yapması gerekecek. Ulusal CAC, ilgili diğer makamlarla birlikte listeyi oluşturup kamuoyuna açıklayacak. Şartları karşıladığı görülen ancak başvuru yapmayan kuruluşlardan da süreci tamamlamaları istenebilecek.

Bu yaklaşım, kullanıcı sayısı tek başına kesin bir sonuç vermese bile kamuoyu veya ekonomi üzerindeki etkisi yüksek bazı platformların kapsam içine alınabilmesi anlamına geliyor.

Yabancı kuruluşlar için olası kısıtlamalar

Taslak, Çin vatandaşlarının kişisel bilgi haklarını ihlal eden ya da kişisel veri işleme faaliyetleriyle Çin’in ulusal güvenliğini veya kamu yararını tehlikeye atan yabancı kuruluş ve kişilerin kamuya açık bir listeye alınmasına imkân tanıyor. Listelenen tarafların Çin’den kişisel bilgi alması kısıtlanabilecek veya tamamen yasaklanabilecek.

Böylece sınır ötesi veri aktarımındaki risk yalnızca veriyi Çin’den gönderen platform açısından değil, veriyi alan yurt dışındaki kuruluş açısından da doğabilecek. Bu düzenleme, klasik bir gizlilik değerlendirmesinin ötesinde ulusal güvenlik ve kamu yararı boyutlarını da hesaba katmayı gerektirebilir.

Veri işleme ve açık rıza kuralları

Kapsama giren işleyicilerin kişisel verileri hukuka uygunluk, yerindelik, gereklilik ve dürüstlük ilkelerine uygun biçimde işlemesi bekleniyor. Veri toplama, ilgili ürün veya hizmet için gerekli bilgilerle sınırlı tutulacak ve aşırı veri toplama yapılamayacak.

Hukuki dayanak rıza olduğunda, aşağıdaki yüksek riskli faaliyetler için ayrı ve açık rıza alınması gerekecek:

• Verilerin başka bir kişisel veri işleyiciye aktarılması;
• Verilerin Çin dışına gönderilmesi;
• Verilerin kamuya açıklanması;
• Hassas kişisel bilgilerin işlenmesi.

İşleme amacının, yönteminin veya veri kategorilerinin değiştirilmesi hâlinde yeniden rıza alınması gerekecek. Kullanıcılara rızalarını geri çekebilecekleri kolay ve erişilebilir bir yöntem de sunulması isteniyor.

14 yaşından küçük çocukların verileri işlenirken ebeveyn veya başka bir yasal vasinin rızası gerekecek. Platformların bu rızanın verilmesi ve geri çekilmesi için kullanıcıların rahatça erişebileceği bir mekanizma oluşturması beklenecek.

Veriler Çin’de tutulacak, veri merkezleri de ek sorumluluk üstlenecek

Çin’deki faaliyetler yoluyla toplanan veya üretilen kişisel bilgilerin Çin sınırları içinde depolanması gerekecek. Veri merkezinin Çin’de bulunması ve geçerli ulusal politika ve standartlara uyması şart koşuluyor. Ayrıca veri merkezini yöneten kuruluşun kanuni temsilcisinin veya fiilî kontrolörünün Çin vatandaşı olması gerekecek.

Taslak, üçüncü taraf veri merkezi işletmecilerine de sorumluluk yüklüyor. Bu işletmecilerin iç kontrol mekanizmaları ve olaylara müdahale planları oluşturması, güvenlik açıklarını tespit edip gidermesi, gerektiğinde platformu ve yetkili makamları bilgilendirmesi ve veri ihlallerine müdahaleye yardımcı olması bekleniyor.

Bu şartlar, dış altyapı sağlayıcıları kullanan şirketler açısından veri merkezi seçimini, sözleşme hükümlerini ve operasyonel denetimi yalnızca teknik ya da satın alma konusu olmaktan çıkarıp doğrudan uyum programının parçası hâline getirebilir.

Sınır ötesi aktarım tamamen bitmiyor, ancak sıkılaşıyor

Çin’de depolama şartı, tüm yurt dışı veri aktarımlarını otomatik olarak ortadan kaldırmıyor. Taslak, iş açısından gerçekten gerekli olan durumlarda kişisel bilgilerin Çin dışına aktarılabileceğini kabul ediyor; ancak bunun için Çin’in geçerli veri ihracı mekanizmalarına uyulması ve gerekli ayrı rızanın alınması gerekiyor.

Dolayısıyla büyük veri işleyicilerin iki süreci birbirinden ayırması gerekecek: Çin’de veri depolamak temel kural olurken, verilerin yurt dışındaki bir alıcıya sunulması ek hukuki ve idari kontrolleri tetikleyecek.

Üst yönetim düzeyinde hesap verebilirlik

Taslak, kişisel veri uyumu için daha resmî bir kurumsal yapı kurulmasını öngörüyor. Buna göre üst yönetim içinden bir kişisel bilgi koruma sorumlusu atanması, doğrudan uyum yapılarının oluşturulması, düzenli kişisel bilgi koruma etki değerlendirmeleri ve periyodik uyum denetimleri yapılması gerekecek.

Taslakla bağlantılı haberlerde bu sorumlu için Çin vatandaşlığı, yabancı bir ülkede daimî oturum veya uzun süreli ikamet statüsünün bulunmaması, kişisel bilgi koruma alanında uzmanlık ve ilgili deneyim gibi şartlar da aktarılıyor.

Diğer önerilen yönetişim adımları arasında şunlar bulunuyor:

• Uyum sorumluluklarının açık biçimde dağıtılması;
• Veri işleme faaliyetleri ile güvenlik açıklarının düzenli izlenmesi;
• Risklerin belirlenmesi ve giderilmesine yönelik prosedürler;
• Kişisel hakların kullanılması ve şikâyetlerin iletilmesi için etkili kanallar;
• Her yıl kamuya açıklanacak kişisel bilgi koruma sosyal sorumluluk raporu.

Taslak ayrıca çocuklara yönelik özel güvenlik önlemlerini, ebeveyn rızası ve bu rızanın geri çekilmesi için pratik yöntemleri özellikle vurguluyor.

Bağımsız gözetim komitesi en önemli yapısal değişiklik olabilir

Kapsama giren her kuruluşun, kişisel veri işleme uygulamalarını bağımsız biçimde denetleyecek bir kişisel bilgi koruma gözetim komitesi kurması gerekecek.

Önerilen komite için temel şartlar şöyle sıralanıyor:

• Üye sayısı tek sayı olacak;
• En az yedi üye bulunacak;
• Komitenin büyüklüğü kuruluşun iş hacmi ve kullanıcı tabanıyla orantılı olacak;
• Üyelerin en az üçte ikisi kuruluş dışından seçilecek;
• Komiteye, kişisel bilgi koruma uyum denetimi alanında üst düzey yetkinliğe sahip dış bir üye başkanlık edecek.

Dış üyelerin bağımsız, itibarlı ve ilgili uyum çalışmalarında deneyimli olması gerekecek. Genel kural olarak aynı anda üçten fazla büyük veri işleyicide görev yapamayacaklar.

Komitenin görevleri arasında kuruluşun uyum durumunu ve önemli kişisel bilgi koruma meselelerini denetlemek, politikaları ve yüksek riskli veri işleme faaliyetlerini incelemek, görüş ve tavsiyeler yayımlamak, raporlama ve gözetim mekanizmaları yoluyla hesap verebilirliği desteklemek bulunuyor. Kuruluşun da komitenin görevlerini yerine getirebilmesi için yeterli kaynak sağlaması gerekecek.

Bu yapı, yalnızca bir veri koruma sorumlusu atanmasından çok daha kapsamlı. Taslak, dış üyelerin ağırlıkta olduğu ayrı bir denetim katmanı oluşturarak kişisel veri yönetişimini şirketlerin hesap verebilirlik sistemine resmî biçimde yerleştirmeyi hedefliyor.

Şirketler şimdiden ne yapmalı?

Taslak henüz kesinleşmiş değil. Ancak Çin’de önemli ölçekte faaliyet gösteren kuruluşların 7 Eylül tarihinden önce hem kapsam değerlendirmesi yapması hem de görüşlerini hazırlaması gerekiyor.

Potansiyel olarak kapsam içine girebilecek şirketlerin özellikle şu başlıkları haritalaması faydalı olacaktır:

1. Verileri işlenen kişi sayısı ve veri kategorileri;
2. Başlıca hizmetler, iş kolları ve olası kamu yararı etkileri;
3. Çin vatandaşlarına ait kişisel bilgilerin nerede depolandığı ve ilgili veri merkezlerini kimin kontrol ettiği;
4. Hassas veriler, veri paylaşımı, kamuya açıklama ve yurt dışına aktarım için rıza süreçleri;
5. Sınır ötesi aktarım mekanizmaları ve yurt dışındaki alıcılar;
6. Üst yönetimin sorumluluğu ve denetim düzenlemeleri;
7. Gözetim komitesinin bağımsızlığı, üye yapısı ve ihtiyaç duyacağı kaynaklar.

Taslak değişikliğe açık olsa da yönü net: Çin, en büyük ve etkisi en yüksek veri işleyicileri için daha sıkı operasyonel kontroller, Çin içinde altyapı, üst düzey yöneticilerin hesap verebilirliği ve dış üyelerin ağırlıkta olduğu bağımsız gizlilik gözetimi öngören bir sistem hazırlıyor.

Bu nedenle şirketler metindeki hükümleri şu aşamada kesinleşmiş uyum yükümlülükleri olarak değil, değişebilecek öneriler olarak değerlendirmeli. Taslağın 50. maddesinde yürürlük tarihi boş bırakılmış durumda.

Hangi kuruluşlar “büyük kişisel veri işleyicisi” sayılacak?

Taslak, yalnızca tek bir sayısal eşiğe dayanmayan kapsamlı bir değerlendirme öngörüyor. Dikkate alınacak başlıca unsurlar şunlar:

• 10 milyondan fazla gerçek kişiye ilişkin kişisel verinin işlenmesi;
• Kişisel veri işleme faaliyetleri içeren önemli çevrim içi hizmetlerin sunulması veya bu alanda birden fazla iş kolunun yürütülmesi;
• Faaliyetlerin Çin’in ulusal güvenliği, ekonomik işleyişi, toplumsal istikrarı, kamu sağlığı ya da güvenliği üzerinde önemli etki yaratması.

10 milyondan fazla kişinin verisini işleyen kuruluşların yanı sıra, daha geniş ölçütleri karşıladığını değerlendiren kuruluşların da eyalet düzeyindeki CAC birimleri üzerinden belirleme başvurusu yapması gerekecek. Ulusal CAC, ilgili diğer makamlarla birlikte listeyi oluşturup kamuoyuna açıklayacak. Şartları karşıladığı görülen ancak başvuru yapmayan kuruluşlardan da süreci tamamlamaları istenebilecek.

Bu yaklaşım, kullanıcı sayısı tek başına kesin bir sonuç vermese bile kamuoyu veya ekonomi üzerindeki etkisi yüksek bazı platformların kapsam içine alınabilmesi anlamına geliyor.

Yabancı kuruluşlar için olası kısıtlamalar

Taslak, Çin vatandaşlarının kişisel bilgi haklarını ihlal eden ya da kişisel veri işleme faaliyetleriyle Çin’in ulusal güvenliğini veya kamu yararını tehlikeye atan yabancı kuruluş ve kişilerin kamuya açık bir listeye alınmasına imkân tanıyor. Listelenen tarafların Çin’den kişisel bilgi alması kısıtlanabilecek veya tamamen yasaklanabilecek.

Böylece sınır ötesi veri aktarımındaki risk yalnızca veriyi Çin’den gönderen platform açısından değil, veriyi alan yurt dışındaki kuruluş açısından da doğabilecek. Bu düzenleme, klasik bir gizlilik değerlendirmesinin ötesinde ulusal güvenlik ve kamu yararı boyutlarını da hesaba katmayı gerektirebilir.

Veri işleme ve açık rıza kuralları

Kapsama giren işleyicilerin kişisel verileri hukuka uygunluk, yerindelik, gereklilik ve dürüstlük ilkelerine uygun biçimde işlemesi bekleniyor. Veri toplama, ilgili ürün veya hizmet için gerekli bilgilerle sınırlı tutulacak ve aşırı veri toplama yapılamayacak.

Hukuki dayanak rıza olduğunda, aşağıdaki yüksek riskli faaliyetler için ayrı ve açık rıza alınması gerekecek:

• Verilerin başka bir kişisel veri işleyiciye aktarılması;
• Verilerin Çin dışına gönderilmesi;
• Verilerin kamuya açıklanması;
• Hassas kişisel bilgilerin işlenmesi.

İşleme amacının, yönteminin veya veri kategorilerinin değiştirilmesi hâlinde yeniden rıza alınması gerekecek. Kullanıcılara rızalarını geri çekebilecekleri kolay ve erişilebilir bir yöntem de sunulması isteniyor.

14 yaşından küçük çocukların verileri işlenirken ebeveyn veya başka bir yasal vasinin rızası gerekecek. Platformların bu rızanın verilmesi ve geri çekilmesi için kullanıcıların rahatça erişebileceği bir mekanizma oluşturması beklenecek.

Veriler Çin’de tutulacak, veri merkezleri de ek sorumluluk üstlenecek

Çin’deki faaliyetler yoluyla toplanan veya üretilen kişisel bilgilerin Çin sınırları içinde depolanması gerekecek. Veri merkezinin Çin’de bulunması ve geçerli ulusal politika ve standartlara uyması şart koşuluyor. Ayrıca veri merkezini yöneten kuruluşun kanuni temsilcisinin veya fiilî kontrolörünün Çin vatandaşı olması gerekecek.

Taslak, üçüncü taraf veri merkezi işletmecilerine de sorumluluk yüklüyor. Bu işletmecilerin iç kontrol mekanizmaları ve olaylara müdahale planları oluşturması, güvenlik açıklarını tespit edip gidermesi, gerektiğinde platformu ve yetkili makamları bilgilendirmesi ve veri ihlallerine müdahaleye yardımcı olması bekleniyor.

Bu şartlar, dış altyapı sağlayıcıları kullanan şirketler açısından veri merkezi seçimini, sözleşme hükümlerini ve operasyonel denetimi yalnızca teknik ya da satın alma konusu olmaktan çıkarıp doğrudan uyum programının parçası hâline getirebilir.

Sınır ötesi aktarım tamamen bitmiyor, ancak sıkılaşıyor

Çin’de depolama şartı, tüm yurt dışı veri aktarımlarını otomatik olarak ortadan kaldırmıyor. Taslak, iş açısından gerçekten gerekli olan durumlarda kişisel bilgilerin Çin dışına aktarılabileceğini kabul ediyor; ancak bunun için Çin’in geçerli veri ihracı mekanizmalarına uyulması ve gerekli ayrı rızanın alınması gerekiyor.

Dolayısıyla büyük veri işleyicilerin iki süreci birbirinden ayırması gerekecek: Çin’de veri depolamak temel kural olurken, verilerin yurt dışındaki bir alıcıya sunulması ek hukuki ve idari kontrolleri tetikleyecek.

Üst yönetim düzeyinde hesap verebilirlik

Taslak, kişisel veri uyumu için daha resmî bir kurumsal yapı kurulmasını öngörüyor. Buna göre üst yönetim içinden bir kişisel bilgi koruma sorumlusu atanması, doğrudan uyum yapılarının oluşturulması, düzenli kişisel bilgi koruma etki değerlendirmeleri ve periyodik uyum denetimleri yapılması gerekecek.

Taslakla bağlantılı haberlerde bu sorumlu için Çin vatandaşlığı, yabancı bir ülkede daimî oturum veya uzun süreli ikamet statüsünün bulunmaması, kişisel bilgi koruma alanında uzmanlık ve ilgili deneyim gibi şartlar da aktarılıyor.

Diğer önerilen yönetişim adımları arasında şunlar bulunuyor:

• Uyum sorumluluklarının açık biçimde dağıtılması;
• Veri işleme faaliyetleri ile güvenlik açıklarının düzenli izlenmesi;
• Risklerin belirlenmesi ve giderilmesine yönelik prosedürler;
• Kişisel hakların kullanılması ve şikâyetlerin iletilmesi için etkili kanallar;
• Her yıl kamuya açıklanacak kişisel bilgi koruma sosyal sorumluluk raporu.

Taslak ayrıca çocuklara yönelik özel güvenlik önlemlerini, ebeveyn rızası ve bu rızanın geri çekilmesi için pratik yöntemleri özellikle vurguluyor.

Bağımsız gözetim komitesi en önemli yapısal değişiklik olabilir

Kapsama giren her kuruluşun, kişisel veri işleme uygulamalarını bağımsız biçimde denetleyecek bir kişisel bilgi koruma gözetim komitesi kurması gerekecek.

Önerilen komite için temel şartlar şöyle sıralanıyor:

• Üye sayısı tek sayı olacak;
• En az yedi üye bulunacak;
• Komitenin büyüklüğü kuruluşun iş hacmi ve kullanıcı tabanıyla orantılı olacak;
• Üyelerin en az üçte ikisi kuruluş dışından seçilecek;
• Komiteye, kişisel bilgi koruma uyum denetimi alanında üst düzey yetkinliğe sahip dış bir üye başkanlık edecek.

Dış üyelerin bağımsız, itibarlı ve ilgili uyum çalışmalarında deneyimli olması gerekecek. Genel kural olarak aynı anda üçten fazla büyük veri işleyicide görev yapamayacaklar.

Komitenin görevleri arasında kuruluşun uyum durumunu ve önemli kişisel bilgi koruma meselelerini denetlemek, politikaları ve yüksek riskli veri işleme faaliyetlerini incelemek, görüş ve tavsiyeler yayımlamak, raporlama ve gözetim mekanizmaları yoluyla hesap verebilirliği desteklemek bulunuyor. Kuruluşun da komitenin görevlerini yerine getirebilmesi için yeterli kaynak sağlaması gerekecek.

Bu yapı, yalnızca bir veri koruma sorumlusu atanmasından çok daha kapsamlı. Taslak, dış üyelerin ağırlıkta olduğu ayrı bir denetim katmanı oluşturarak kişisel veri yönetişimini şirketlerin hesap verebilirlik sistemine resmî biçimde yerleştirmeyi hedefliyor.

Şirketler şimdiden ne yapmalı?

Taslak henüz kesinleşmiş değil. Ancak Çin’de önemli ölçekte faaliyet gösteren kuruluşların 7 Eylül tarihinden önce hem kapsam değerlendirmesi yapması hem de görüşlerini hazırlaması gerekiyor.

Potansiyel olarak kapsam içine girebilecek şirketlerin özellikle şu başlıkları haritalaması faydalı olacaktır:

1. Verileri işlenen kişi sayısı ve veri kategorileri;
2. Başlıca hizmetler, iş kolları ve olası kamu yararı etkileri;
3. Çin vatandaşlarına ait kişisel bilgilerin nerede depolandığı ve ilgili veri merkezlerini kimin kontrol ettiği;
4. Hassas veriler, veri paylaşımı, kamuya açıklama ve yurt dışına aktarım için rıza süreçleri;
5. Sınır ötesi aktarım mekanizmaları ve yurt dışındaki alıcılar;
6. Üst yönetimin sorumluluğu ve denetim düzenlemeleri;
7. Gözetim komitesinin bağımsızlığı, üye yapısı ve ihtiyaç duyacağı kaynaklar.

Taslak değişikliğe açık olsa da yönü net: Çin, en büyük ve etkisi en yüksek veri işleyicileri için daha sıkı operasyonel kontroller, Çin içinde altyapı, üst düzey yöneticilerin hesap verebilirliği ve dış üyelerin ağırlıkta olduğu bağımsız gizlilik gözetimi öngören bir sistem hazırlıyor.