Kişisel Bilgilerin Korunması ve Elektronik Belgeler Yasası (PIPEDA)

15 Nisan 2021 | Cybrary

Kişisel Bilgilerin Korunması ve Elektronik Belgeler Yasası (PIPEDA), Kanada'nın başlıca devlet gizlilik yasasıdır. PIPEDA'ya uyum, Kanada'da faaliyet gösteren özel sektör işletmeleri için şarttır. PIPEDA'nın ihlali, bireyler veya Gizlilik Komiserliği Ofisi (OPC) tarafından açılacak bir dava ile sonuçlanabilir. Yasa, e-ticarete olan güveni artırmak amacıyla ilk olarak 13 Nisan 2000'de yürürlüğe girmiş, ancak o zamandan beri bankacılık, yayıncılık ve sağlık sektörü gibi sektörleri de kapsayacak şekilde genişletilmiştir.

Mevzuata göre asıl amaç şudur:

“Kişisel bilgilerin toplanmasını, kullanılmasını ve ifşasını, bireylerin kişisel bilgileriyle ilgili mahremiyet haklarını ve kuruluşların makul bir kişinin koşullar altında uygun göreceği amaçlar için kişisel bilgileri toplama, kullanma veya ifşa etme ihtiyacını tanıyan bir şekilde yönetmek.”

PIPEDA kapsamında, Avrupa Birliği'nin Genel Veri Koruma Yönetmeliği'ne (GDPR) benzer şekilde, kullanıcılar bir kuruluş tarafından tutulan kişisel bilgilerine erişme , bu bilgileri kimin topladığını, neden toplandığını öğrenme ve doğruluğunu sorgulama hakkına sahiptir. PIPEDA'nın önemli bir yönü, Kanada'nın bildirim yükümlülüklerini ülkenin ticaret ortaklarıyla, özellikle de AB ile tutarlı tutmak üzere tasarlanmış olmasıdır.

Kapsanan Nedir?

PIPEDA kapsamında kişisel bilgi, ticari faaliyet sırasında toplanan hemen hemen her türlü veriyi, yani "tanımlanabilir bir birey hakkındaki bilgileri" ifade eder. PIPEDA kapsamında aşağıdakiler kişisel bilgi olarak kabul edilebilir:

Yaş, isim, kimlik numaraları, gelir veya mali bilgiler
Irk, ulusal veya etnik köken
Medeni durum
Kan grubu
Tıbbi, eğitim veya istihdam geçmişi
DNA
Sosyal güvenlik numarası veya ehliyet.
Görüşler, değerlendirmeler, yorumlar, sosyal statü veya disiplin cezaları
Çalışan dosyaları, kredi kayıtları, borç kayıtları, tıbbi kayıtlar, tüketici ile satıcı arasında bir uyuşmazlığın varlığı, niyetler (örneğin, mal veya hizmet satın almak veya iş değiştirmek).

Bu bir KOBİ için ne anlama geliyor?

Kanada'da faaliyet gösteren ve ticari faaliyetler sırasında eyalet veya ulusal sınırları aşan kişisel bilgileri işleyen tüm işletmeler, merkezlerinin bulunduğu eyalet veya bölgeden bağımsız olarak (esas olarak benzer mevzuata sahip eyaletler de dahil olmak üzere) PIPEDA'ya tabidir. Esasen, yukarıda belirtildiği gibi, Kanada dışında faaliyet gösteren ve Kanadalı kullanıcılara ait özel verileri işlemeyen işletmelerin PIPEDA'nın kendisi konusunda endişelenmesine gerek yoktur. Bununla birlikte, dünyanın çoğu yerinde benzer mevzuat yürürlüktedir, bu nedenle işletmeler bunun yerine kendi ülkelerinin veri gizliliği haklarını incelemeye odaklanmalıdır. Kendi ülkenizdeki yasal yükümlülüklerinizi anladıktan sonra, bir veri ihlali bildirim planı geliştirmek isteyeceksiniz.

İHLAL BİLDİRİM PLANININ ÖNEMİ

Veri ihlaline karışan tüm kullanıcıları ve ilgili kurumları bilgilendirmek için bir planınızın olması çok önemlidir. Bildirimin nasıl yapılacağını ve geçerli ülke yasa ve gerekliliklerinin neler olduğunu belirleme zamanı, ihlal sırasında değil, ihlalden hemen öncedir. ABD'de, eyaletlere göre farklı veri gizliliği yasaları mevcuttur. Yürürlükte federal bir yasa yoktur. İhlal bildirim sürecinizi hazırlarken, verilerinizin bulunduğu her eyaletin (veya ülkenin) kurallarına uymanıza yardımcı olacak dışarıdan danışmanlık ve uzmanlık aldığınızdan emin olun.

Avrupa Birliği Genel Veri Koruma Yönetmeliği (GDPR)
Kaliforniya Tüketiciyi Koruma Yasası (2018)
Avustralya'nın Gizlilik Değişikliği (Bildirilebilir Veri İhlalleri) Yasası 2017
Almanya'nın Veri Gizliliği Yasası GDPR ile Karşılaştırıldığında (BDSG)

CyberHoot, şirketinizi etkileyen yasaları bilmenizi ve bu yasaları yansıtan bir İhlal Bildirimi süreç belgesi hazırlamanızı önerir. Süreci her yıl test etmeyi de unutmayın.

VERİ İHLALİ PARA CEZALARINA KARŞI EN İYİ SAVUNMA, HİÇBİR İHLALİN OLMAMASIDIR

Bir ihlal bildirim süreci oluşturmanın yanı sıra, şirketinizin ihlal riskini azaltmak için alabileceği birçok başka önlem de bulunmaktadır. CyberHoot, aşağıdaki temel ihlal önleme önlemlerini önermektedir:

Çalışanları nasıl tespit edecekleri ve kaçınacakları konusunda eğitin ve test edin Kimlik avı, smishing, ve vishing saldırılar;
Şirket siber güvenlik gereksinimlerini belirleyen bir dizi siber güvenlik politikasıyla çalışanları yönetin;
İstihdam en az ayrıcalık ilkesi Kullanıcı masaüstü ve dizüstü bilgisayarlarından yönetici haklarını alarak;
Çalışanların parola hijyenini iyileştirmek için bir parola yöneticisi benimseyin;
Tüm kritik hesaplarda (e-posta, banka vb.) iki faktörlü kimlik doğrulamayı etkinleştirin; ve
Arayanların yüksek değerli taleplerde bulunduklarında (bilgi istemek, rezervasyon değiştirmek, kredi kartından ücret tahsil etmek vb.) onları işletmenize tanıtın. Müşteri cep telefonu numaralarına erişimi olan şirketler, değişiklik talep eden her kişiye bir kimlik doğrulama kodu göndermelidir.