Kişisel Verileri Koruma Kurumundan:
PERSONEL SERTİFİKASYON MEKANİZMASINA İLİŞKİN USUL VE ESASLAR HAKKINDA TEBLİĞ
BİRİNCİ BÖLÜM
Amaç, Kapsam, Dayanak ve Tanımlar
Amaç
MADDE 1 – (1) Bu Tebliğin amacı, (TS) EN ISO/IEC 17024 nolu standarda uygun olarak Veri Koruma Görevlisi Programı dâhilinde kişilerin sertifikasyonuna ilişkin usul ve esasları belirlemektir.
Kapsam
MADDE 2 – (1) Bu Tebliğ, (TS) EN ISO/IEC 17024 standardına uygun olarak akredite olan ve Kurum tarafından yetkilendirilen personel belgelendirme kuruluşları tarafından yürütülecek sertifikasyon faaliyetleri ile veri koruma görevlilerini ve adaylarını kapsar.
Dayanak
MADDE 3 – (1) Bu Tebliğ, 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununun 22 nci maddesinin birinci fıkrasının (e) bendi ve 17/1/2018 tarihli ve 2018/11296 sayılı Bakanlar Kurulu Kararı ile yürürlüğe konulan Kişisel Verileri Koruma Kurumu Teşkilat Yönetmeliğinin 7 nci maddesinin birinci fıkrasının (g) ve (ı) bentleri ile 18 inci maddesinin birinci fıkrasının (a) bendine dayanılarak hazırlanmıştır.
Tanımlar
MADDE 4 – (1) Bu Tebliğin uygulanmasında;
a) Akreditasyon: Türk Akreditasyon Kurumu tarafından; belgelendirme, doğrulama, yeterlik testi sağlama ile diğer uygunluk değerlendirme kuruluşlarının ulusal ve uluslararası kabul görmüş teknik kriterlere göre değerlendirilmesini, yeterliğinin onaylanmasını ve düzenli aralıklarla denetlenmesini,
b) Başkan: Kişisel Verileri Koruma Kurumu Başkanını,
c) Kanun: 24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanununu,
ç) Katılım belgesi: Kurul tarafından usul ve esasları belirlenen eğitim programını tamamlayanlara Kurum tarafından verilen belgeyi,
d) Kurul: Kişisel Verileri Koruma Kurulunu,
e) Kurum: Kişisel Verileri Koruma Kurumunu,
f) Personel: Sertifika almak isteyen gerçek kişiyi,
g) Personel belgelendirme kuruluşu: Türk Akreditasyon Kurumu tarafından (TS) EN ISO/IEC 17024 standardı kapsamında akredite edilen, sertifikasyona ilişkin ilgili sınavlarda başarılı olanları belgelendirmeye yetkili kuruluşu,
ğ) Program: Kurul tarafından ana hatları belirlenerek yayımlanan veri koruma görevlisinin sertifikasyon faaliyetlerine ilişkin şartların belirlendiği dokümanı,
h) Program kullanma onayı: Kurul tarafından yayımlanacak kişisel verilerin korunması alanındaki sertifikasyona konu programların, personel belgelendirme kuruluşu tarafından kullanılabilmesini sağlayan Kurum ön iznini,
ı) SERTABİS: Kurum tarafından, sertifikasyon faaliyetinin tarafsız, şeffaf ve etkin sürdürülmesini sağlamak amacıyla oluşturulan, personel belgelendirme kuruluşunun ve sertifika sahibi kişilerin bilgilerinin yanı sıra sertifikaların kapsamlarının, tarihlerinin, numaralarının, geçerlilik sürelerinin ve personel belgelendirme kuruluşunun bilgilerinin sorgulanabildiği, Sertifika Takip ve Doğrulama Bilgi Sistemini,
i) Sertifikasyon: Kanun ve ilgili mevzuat çerçevesinde, sertifika almak için gereken şartları taşıyan ve sınavda başarılı olanların belgelendirilmesi işlemini,
j) Sınav: Adayların bilgi, beceri ve yetkinliklerinin değerlendirilmesi amacıyla personel belgelendirme kuruluşları tarafından programa ve akreditasyon kurallarına göre gerçekleştirilen değerlendirme sürecini,
k) Sözleşme: Personel belgelendirme kuruluşunun yetkilendirme kapsamında Program kullanma onayı için Kurum ile yapacağı sözleşmeyi,
l) Standart: Uluslararası Standardizasyon Teşkilatı tarafından kabul edilen "(TS) EN ISO/IEC 17024 Uygunluk Değerlendirmesi Personel Belgelendirmesi Yapan Kuruluşlar İçin Genel Şartlar" standardını,
m) TÜRKAK: Türk Akreditasyon Kurumunu,
n) Veri koruma görevlisi: Sınavda başarılı olarak veri koruma görevlisi unvanını kullanmaya hak kazanan gerçek kişiyi,
o) Yetkilendirme: TÜRKAK tarafından akredite edilmiş personel belgelendirme kuruluşuna Kurum tarafından bu Tebliğ kapsamında faaliyete başlamak için verilen izni,
ifade eder.
(2) Bu Tebliğde yer almayan tanımlar için Kanunda ve Standartta yer alan tanımlar geçerli olacaktır.
İKİNCİ BÖLÜM
Genel Esaslar
Genel esaslar
MADDE 5 – (1) Sertifikasyon işlemleri bu Tebliğde ve Standartta belirtilen usul ve esaslara uygun olarak yürütülür.
(2) Sertifikasyon için aşağıdaki esaslar uygulanır:
a) Personel belgelendirme kuruluşu tarafından, sertifikasyon faaliyetlerinin tüm süreçlerinde tarafsızlığın ve şeffaflığın sağlanması gerekmektedir.
b) Sertifikasyon faaliyetleri esnasında herhangi bir eksiklik ve aksaklık yaşanmaması adına personel belgelendirme kuruluşunun gerekli ve yeterli personele, kaynağa, fiziki, teknik ve idari altyapıya sahip olması gerekmektedir.
c) Veri sorumlusunun ve/veya veri işleyenin bünyesinde veri koruma görevlisi istihdam etmesi, veri sorumlusunun ve veri işleyenin Kanuna ve ilgili mevzuata uyma sorumluluğunu ortadan kaldırmaz.
ç) Katılım belgesi, veri koruma görevlisi unvanını kullanma ve veri koruma görevlisi olarak faaliyet gösterme imkânı sağlamaz.
(3) Katılım belgesine ilişkin usul ve esaslar Kurul tarafından belirlenerek ilan edilir.
ÜÇÜNCÜ BÖLÜM
Veri Koruma Görevlisi
Veri koruma görevlisi
MADDE 6 – (1) Katılım belgesini alan kişilerden sınavda başarılı olanlar veri koruma görevlisi unvanını kullanmaya hak kazanırlar.
(2) Veri koruma görevlisinin sertifikalandırıldıkları program kapsamında kişisel verilerin korunması mevzuatı açısından yeterli bilgiye sahip olduğu kabul edilir.
(3) Veri koruma görevlisi, sadece sertifikalarının geçerlilik süresi boyunca bu unvanı kullanabilir.
DÖRDÜNCÜ BÖLÜM
Program, Başvuru, Ölçme ve Değerlendirme, Geçerlilik ve Ücretler
Program kullanma onayı ve sözleşme
MADDE 7 – (1) Kurumun yayımladığı programın, personel belgelendirme kuruluşu tarafından akreditasyon sürecinde başvuru aşamasında kullanılabilmesi ancak Kurulun program kullanma onayını müteakiben sözleşmenin imzalanmasıyla mümkündür.
(2) Personel belgelendirme kuruluşu, programı Kurum tarafından yayımlanan güncel haliyle, herhangi bir değişiklik yapmaksızın kullanmak zorundadır.
(3) Personel belgelendirme kuruluşu, sözleşmenin imzalanmasını müteakiben 6 ay içinde sözleşme ile birlikte TÜRKAK’a akreditasyon başvurusunda bulunmalıdır. Bu süre içerisinde başvuruda bulunulmaması halinde sözleşme hükümsüz hale gelir.
Yetkilendirme
MADDE 8 – (1) TÜRKAK tarafından akredite edilen personel belgelendirme kuruluşu, belge vermeye başlamak için Kuruma yetkilendirme başvurusunda bulunmak zorundadır. Yetkilendirilmeyen personel belgelendirme kuruluşu bu Tebliğ kapsamında faaliyet gösteremez.
Yetkilendirmenin durdurulması
MADDE 9 – (1) TÜRKAK tarafından akreditasyonu tamamen veya kısmen askıya alınan ya da kapsamı daraltılan personel belgelendirme kuruluşunun, bu durumu 7 gün içinde Kuruma bildirmesi zorunludur.
(2) TÜRKAK tarafından akreditasyonun tamamen veya kısmen askıya alınması ya da kapsamının daraltılması hâllerinde, TÜRKAK tarafından belirlenen askıya alma veya kapsam daraltma süresi boyunca, personel belgelendirme kuruluşunun yetkilendirmesi Kurum tarafından durdurulur.
(3) Yetkilendirmesi durdurulan personel belgelendirme kuruluşu, durdurma süresi boyunca sertifikasyon faaliyetlerine devam edemez.
Yetkilendirmenin iptal edilmesi
MADDE 10 – (1) TÜRKAK tarafından akreditasyonu geri çekilen personel belgelendirme kuruluşunun, bu durumu 3 gün içinde Kuruma bildirmesi zorunludur.
(2) Personel belgelendirme kuruluşunun akreditasyonunun geri çekilmesi hâlinde veya sertifikasyon faaliyetine yönelik niteliği ve yeterliği ile ilgili olarak Kuruma sunulan bilgi ve belgelerin gerçeğe aykırı olduğunun tespiti ya da programın kapsamının dışında sertifikasyon faaliyetlerinin yürütüldüğünün anlaşılması hâllerinde, personel belgelendirme kuruluşunun yetkilendirilmesi Kurum tarafından iptal edilir.
(3) Personel belgelendirme kuruluşunun yetkilendirmesinin iptal edildiği bilgisi, Kurumun resmi internet sitesinde ilan edilir.
(4) Akreditasyonu geri çekilen personel belgelendirme kuruluşunun, bu durumu süresi içinde Kuruma bildirmemesi hâlinde, yetkilendirmesi iptal edildikten sonra yeniden program kullanma onayı alabilmesi için yetkilendirmenin iptali kararının üzerinden 6 ay geçmesi gerekmektedir.
Veri koruma görevlisi sertifikası sınavlarına başvuru
MADDE 11 – (1) Sınav tarihinden önceki son 4 yıl içinde katılım belgesi almış olanlar veya geçerli bir veri koruma görevlisi sertifikasına sahip olanlar arasından programda belirlenen şartları haiz olanlar veri koruma görevlisi sertifikası sınavına başvurmaya hak kazanırlar.
(2) Personel belgelendirme kuruluşu, bu madde kapsamında gelen başvuruların bu Tebliğde belirtilen ve programda belirlenen şartlara uygun olup olmadığının kontrolü ile sınav başvurusuna ilişkin iş ve işlemleri yürütme hususunda gerekli dikkat ve özeni göstermekle yükümlüdür.
Sınav ve değerlendirme
MADDE 12 – (1) Personel belgelendirme kuruluşunca yapılacak olan sınavlar, en geç sınavdan 15 gün önce personel belgelendirme kuruluşu tarafından ilan edilmelidir.
(2) Personel belgelendirme kuruluşunca yapılan sınavda başarılı olan adaylar, veri koruma görevlisi sertifikasını almaya hak kazanırlar.
Ücretler
MADDE 13 – (1) Personel belgelendirme kuruluşu tarafından program kapsamında alınacak ücretlerin belirlenmesinde ve güncellenmesinde Kurul yetkilidir. Belirlenen ücret her takvim yılı başında Kurum tarafından ilan edilir.
Geçerlilik süreleri
MADDE 14 – (1) Bu Tebliğ kapsamında verilen sertifikaların geçerlilik süreleri sınav sonuçlarının ilanından itibaren 4 yıldır.
(2) Geçerlilik süresi dolmadan sertifikasını yenilemek isteyen veri koruma görevlisi, programda belirlenen şartlar dâhilinde yeniden personel belgelendirme kuruluşuna başvurmalıdır.
BEŞİNCİ BÖLÜM
Yükümlülükler
Sertifika Takip ve Doğrulama Bilgi Sistemi (SERTABİS)
MADDE 15 – (1) Kurum, sertifikasyon faaliyetinin tarafsız, şeffaf ve etkin sürdürülmesini sağlamak amacıyla kamuya açık bir biçimde sorgulama imkânı tanıyan Sertifika Takip ve Doğrulama Bilgi Sisteminin kurulmasından ve yönetilmesinden sorumludur.
(2) SERTABİS’te; katılım belgesinde yer alan bilgiler, personel belgelendirme kuruluşunun bilgileri ve statülerinde gerçekleşen değişiklikler ile sertifika sahibi kişilerin bilgileri, program kapsamında yapılan sınavların tarihlerinin yanı sıra sınavda başarılı olan kişilerin; sertifika tarihleri, sertifika numaraları, sertifika geçerlilik süreleri ve sertifika statülerine dair bilgiler yer alır.
Kuruma bilgi ve belge gönderme
MADDE 16 – (1) Sertifikasyon sürecinin takibinin gerçekleştirilmesi, aksaklıkların giderilmesi ve sürece ilişkin uygulama birliğinin sağlanması konusunda gerekli düzenlemelerin yapılmasını teminen Kurum, ilgili taraflardan program kapsamında tüm bilgi ve belgeleri isteyebilir. Taraflar, istenen bilgi ve belgeleri 15 gün içinde Kuruma göndermek zorundadır. Kuruma gönderilmiş olan bilgi ve belgelerde herhangi bir değişiklik olması hâlinde, söz konusu değişiklik öğrenilmesinden itibaren 15 gün içinde Kuruma bildirilir.
(2) Personel belgelendirme kuruluşu, sertifika verdiği kişilerin kimlik ve iletişim bilgilerini, sertifika tarihini, numarasını ve statüsünü sertifikasyon tarihinden itibaren 15 gün içinde SERTABİS’e yükler. Bu bilgilerde herhangi bir değişiklik olması hâlinde, söz konusu değişiklik öğrenilmesinden itibaren 15 gün içinde SERTABİS’e yüklenir.
ALTINCI BÖLÜM
Şikâyet ve İtirazlar
Şikâyet, itiraz ve Kuruma başvuru
MADDE 17 – (1) Program kapsamında şikâyet veya itiraz başvuruları personel belgelendirme kuruluşuna yapılır. Başvuruların hangi yöntemlerle alınacağı ve sonuçlandırılacağı personel belgelendirme kuruluşu tarafından belirlenir.
(2) Personel belgelendirme kuruluşu tarafından şikâyet veya itiraz başvurusunun reddedilmesi ya da başvurudan itibaren 30 gün içinde cevap verilmemesi hâllerinde, şikâyet veya itiraz sahibi, personel belgelendirme kuruluşunun cevabını öğrendiği tarihten itibaren 30 ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kuruma başvurabilir.
(3) Personel belgelendirme kuruluşuna şikâyet veya itiraz başvuru yolu tüketilmeden Kuruma başvuruda bulunulamaz.
(4) Kurum, bu başvuruları değerlendirirken ilgili taraflardan her türlü bilgi ve belgeyi isteyebilir. İlgili taraflar, istenen bilgi ve belgeleri 15 gün içinde Kuruma göndermek zorundadır.
YEDİNCİ BÖLÜM
Çeşitli ve Son Hükümler
Yaptırımlar
MADDE 18 – (1) Bu Tebliğde belirtilen yükümlülüklere aykırı davranan personel belgelendirme kuruluşunun yetkilendirmesini durdurmaya veya iptal etmeye Kurul yetkilidir.
Düzenleme yetkisi
MADDE 19 – (1) Bu Tebliğde yer almayan ya da açıklık bulunmayan konularda ilgili mevzuat hükümleri çerçevesinde karar vermeye ve düzenleme yapmaya Kurul yetkilidir.
Yürürlük
MADDE 20 – (1) Bu Tebliğ yayımı tarihinde yürürlüğe girer.
Yürütme
MADDE 21 – (1) Bu Tebliğ hükümlerini Kişisel Verileri Koruma Kurumu Başkanı yürütür.