P.I.A.: Gizlilik Üzerindeki Etkisinin Değerlendirilmesi

1) Amaç ve kapsam

Amaç: iGaming ürün/altyapısını değiştirirken veri konularının hak ve özgürlüklerine yönelik riskleri sistematik olarak tanımlamak ve azaltmak.
Kapsam: Yeni/önemli ölçüde değiştirilmiş özellikler, dolandırıcılıkla mücadele ve RG modelleri, SDK/PSP/KYC sağlayıcılarının uygulanması, veri geçişleri, kişiselleştirme ile A/B testleri, sınır ötesi transferler, profilleme.

2) P.I.A./DPIA gerektiğinde

• Büyük ölçekli profilleme/gözetim (davranışsal analitik, risk puanlama, RG tetikleyicileri).
• Özel kategorilerin kullanımı (biyometrik canlılık, sağlık/RG açıkları).
• Yeni riskler yaratan veri kümelerinin birleşimi (pazarlama ve ödeme verilerinin birleştirilmesi).
• Kamuya açık bir alanın sistematik olarak izlenmesi (örn. akış sohbetleri).
• EEA/İngiltere dışındaki sınır ötesi yayınlar (DTIA ile birlikte).
• Hedeflerde/zeminlerde önemli değişiklikler veya yeni satıcıların/alt işlemcilerin ortaya çıkması.
• Risk düşükse, PIA taraması ve RoPA'ya kısa bir giriş yeterlidir.

3) Roller ve sorumluluklar

DPO - Metodoloji Sahibi, Bağımsız Değerlendirme, Artık Risk Uzlaşması, Gözetim Teması.
Ürün/Mühendislik - başlatıcı, hedefleri/akışları tanımlar, önlemleri uygular.
Güvenlik/SRE - TOM'lar: şifreleme, erişimler, günlük kaydı, DLP, testler.
Veri/BI/ML - minimizasyon, anonimleştirme/takma isimlendirme, model yönetimi.
Yasal/Uygunluk - yasal gerekçeler, DPA/SCCs/IDTA, yerel kurallara uygunluk.
Pazarlama/CRM/RG/Ödemeler - veri ve süreçlerin etki alanı sahipleri.

4) PIA/DPIA süreci (uçtan uca)

1. Başlatma ve tarama (CAB/Change'de): Kısa anket "DPIA'nın ihtiyacı var mı? ».
2. Verilerin Haritalanması (Data Map): kaynaklar, alanlar, amaçlar, üsler, alıcılar, depolama dönemleri, coğrafya, alt işleyiciler.
3. Yasallık ve gereklilik değerlendirmesi: Yasal dayanak seçimi (Sözleşme/Yasal Yükümlülük/LI/Rıza), Meşru Menfaatlerde LIA testi (çıkar dengesi).
4. Risklerin tanımlanması: gizlilik, bütünlük, erişilebilirlik, öznelerin haklarına yönelik tehditler (otomatik kararlar, ayrımcılık, ikincil kullanım).
5. Risk puanlaması: olasılık (L 1-5) × etki (I 1-5) - R (1-25); Renk bölgeleri (zel/sarı/turuncu/kırmızı).
6. Eylem Planı (TOMs): önleyici/dedektif/düzeltici - sahipleri ve son teslim tarihleri ile.
7. Kalıntı risk: önlemlerden sonra tekrarlanan puanlama; Go/conditioned go/no-go solution with high residual risk - consultation with supervision.
8. Commit and Run: DPIA Raporu, RoPA Güncellemeleri/Politikaları/Çerezler/CMP, Sözleşme Belgeleri.
9. İzleme: KRI'ler/KPI'lar, değişiklikler veya olaylar için DPIA incelemeleri.

5) Gizlilik risk matrisi (örnek)

Olasılık (L): 1 nadirdir; 3 - periyodik; 5 - sık/sürekli.
Etki (I): PII hacmi, duyarlılık, coğrafyalar, konuların kırılganlığı, zararın geri döndürülebilirliği, düzenleyici etkileri dikkate alır.

6) Teknik ve organizasyonel önlemler kümesi (TOMs)

Minimizasyon ve bütünlük: Sadece gerekli alanları toplamak; Tanımlayıcılar ve olayların ayrılması; Veri kasası/RAW - KÜRATÖRLÜK bölgeleri.
Takma ad/anonimleştirme: kararlı sahte kimlik, tokenizasyon, k-anonimleştirme dla raporları.
Güvenlik: dinlenme/transit sırasında şifreleme, KMS ve anahtar rotasyonu, SSO/MFA, RBAC/ABAC, WORM günlükleri, DLP, EDR, gizli yönetici.
Satıcı kontrolü: DPA, alt işlemci kaydı, denetim, olay testi, geri dönüşüm yok.
Öznelerin hakları: DSAR prosedürleri, itiraz mekanizmaları, mümkünse "takip etmeme", kritik kararlar için insan incelemesi.
Şeffaflık: Politika güncellemesi, çerez afişi, tercih merkezi, satıcı listesi sürümü.
Modellerin kalitesi ve adilliği: önyargı testleri, açıklanabilirlik, periyodik yeniden kalibrasyon.

7) LIA ve DTIA ile iletişim

LIA (Meşru Menfaatler Değerlendirmesi): vakfın LI olması durumunda gerçekleştirilir; Bir amaç, gereklilik ve denge testi içerir (zarar/fayda, kullanıcı beklentileri, hafifletici önlemler).
DTIA (Veri Transferi Etki Değerlendirmesi): SCC'lerde/IDTA'da yeterliliği olmayan ülkeler için zorunludur; Yasal ortamı, yetkililerin erişimini, teknik önlemleri (E2EE/client anahtarları), anahtarların bölgesini düzeltir.

8) DPIA Rapor Şablonu (Yapı)

1. Bağlam: başlatıcı, özellik/sürecin tanımı, hedefler, kitle, zamanlama.
2. Yasal dayanaklar: Sözleşme/LO/LI/Rıza; LIA özeti.
3. Veri haritası: kategoriler, kaynaklar, alıcılar, alt işlemciler, coğrafya, saklama, profilleme/otomasyon.
4. Risk değerlendirmesi: Tehditlerin listesi, L/I/R, etkilenen haklar, olası zararlar.
5. Önlemler: TOM'lar, sahipler, son tarihler, performans kriterleri (KPI).
6. Kalıntı risk ve karar (go/conditional/no-go); Eğer yüksekse - gözetim ile istişare planı.
7. İzleme planı: KRI'ler, revizyon olayları, olay süreci ile bağlantı.
8. İmzalar ve onaylar: Ürün, Güvenlik, Yasal, DPO (gerekli).

9) Sürümler ve CAB ile entegrasyon

DPIA kapısı: riskli değişiklikler için - CAB'de zorunlu bir eser.
Özellik bayrakları/kanaryalar: Sınırlı bir kitleyle özellikleri etkinleştirme, gizlilik sinyalleri toplama.
Gizlilik günlüğünü değiştirme: Politikanın sürümü, satıcıların/SDK'nın listesi, CMP güncellemeleri, giriş tarihi.
Geri alma planı: SDK/özellikleri devre dışı bırakma, verileri silme/arşivleme, tuşları/erişimleri kaldırma.

10) PIA/DPIA Performans Ölçümleri

Kapsam: PIA için taranan salınımların %95'i ≥; DPIA ile risk değişikliklerinin %95'i ≥.
DPIA'ya kadar geçen süre: Başlangıçtan çözünürlüğe kadar geçen ortalama süre ≤ X gün.
Kalite: Ölçülebilir ölçü KPI'larına sahip DPIA'ların oranı %90 ≥.
DSAR SLA: 7 gün ≤ onay, 30 ≤ yürütme; Yeni özellikler için DPIA iletişimi.
Olaylar: DPIA olmayan bölgelerle ilgili sızıntıların/şikayetlerin yüzdesi - 0; 72 saatte bildirimlerin %'si - %100.
Satıcı hazırlığı: DPA/SCC/DTIA'lı riskli satıcıların %'si - %100.

11) Etki alanı örnekleri (iGaming)

A) Biyometrik ile yeni KYC sağlayıcısı

Riskler: özel kategoriler, sevinç, görüntülerin ikincil kullanımı.
Önlemler: Sağlayıcıda depolama, sıkı DPA (veri eğitimi yasağı), şifreleme, SLA yoluyla silme, geri dönüş sağlayıcısı, DSAR kanalı.

B) Davranışsal skorlamanın antifrod modeli

Riskler: otomatik kararlar, ayrımcılık, açıklanabilirlik.
Önlemler: Yüksek etkili çözümler, açıklanabilirlik, önyargı denetimleri, neden günlüğü, özellikleri en aza indirmek için insan incelemesi.

C) Pazarlama-SDK/yeniden hedefleme

Riskler: rıza olmadan izleme, tanımlayıcıların gizli iletimi.
Önlemler: CMP (ayrıntılı onay), sunucu tarafı etiketleme, anon-IP modu, ikincil hedeflerin sözleşmeye dayalı olarak yasaklanması, Politikada şeffaflık.

D) Sorumlu Oyun (RG) uyarıları

Riskler: veri hassasiyeti, yanlış bayraklar - kullanıcıya zarar.
Önlemler: yumuşak müdahaleler, temyiz hakkı, kısıtlı erişim, karar kaydı, destek eğitimi.

E) Buluta/yeni bölgeye veri geçişi

Riskler: sınır ötesi, yeni alt işlemci.
Önlemler: SCC'ler/IDTA + DTIA, AB'deki anahtarlar, ortamların bölümlendirilmesi, olay testi, alt işlemci kayıt defteri güncellemesi.

12) Kontrol listeleri

12. 1 PIA taraması (hızlı)

• Çözüm profilleme/otomasyon var mı?
• Özel kategoriler/çocukların verileri işleniyor mu?
• Yeni satıcılar/alt işlemciler/ülkeler?
• İşlemenin amaçları/nedenleri değişiyor mu?
• Büyük hacimler/savunmasız gruplar dahil mi?

Evet ≥1 -2 puan ise, DPIA'yı başlatın.

12. 2 DPIA raporu hazırlığı

• Veri haritası ve RoPA güncellendi
• LIA/DTIA (varsa) tamamlandı
• Atanan ve ölçülebilir önlemler (TOMs)
• DPO tarafından değerlendirilen ve kabul edilen artık risk
• Politika/Çerezler/CIW Güncellendi
• Ayak izi ve kaydedilen sürümler

13) Şablonlar (parçalar)

13. 1 Objektif ifade (örnek):

"Meşru çıkar üzerine davranışsal puanlama kullanarak para çekme işlemlerinde sahtekarlığın önlenmesini sağlayın, veri minimizasyonu ve fonlara erişimi kısıtlayan çözümler için insan incelemesi yapın".

13. 2 KPI ölçüleri (örnek):

Model FNR azaltma FPR büyümesi olmadan P95> 2 p.p.
Yeni özelliklere DSAR yanıt süresi 20 gün ≤.
Doğrulama işleminden 24 saat sonra biyometriklerin çıkarılması, onay günlüğü - %100.

13. 3 RoPA'da alan (eklenti):

14) Artifact depolama ve denetim

DPIA/LIA/DTIA, çözümler, Policy/banner versiyonları, DPA/SCCs/sub-processor registry, CMP consent logs - store centrally (WORM/versioning).
Yılda bir kez denetim: DPIA örneklemesi, uygulanan önlemlerin doğrulanması, metriklerin kontrolü, DSAR testi.

15) Uygulama Yol Haritası

1-2. Haftalar: CAB'de PIA taramasını uygulayın, DPIA şablonunu onaylayın, tren sahipleri.
Hafta 3-4: Veri Haritası/RoPA, CIW/banner, satıcı kayıtları başlatmak, DPA/SCCs/DTIA hazırlamak.

2. Ay: Yüksek riskli akışlar (CCP/anti-fraud/marketing) üzerine ilk DPIA'yı gerçekleştirin, KPI'ları bağlayın.

Ay 3 +: DPIA üç aylık incelemeleri, modellerin önyargı denetimleri, kaçak test tatbikatları, sürekli iyileştirmeler.

TL; DR

PIA/DPIA = erken tarama + veri haritası + yasallık (LIA/DTIA) + risk ve önlemler değerlendirmesi (TOM) + DPO kontrolü + metrik izleme kapsamında kabul edilen artık risk. CAB ve bültenlere yerleştiriyoruz - ve gizliliği "yangın çalışmasına'değil, kontrollü, doğrulanabilir bir sürece dönüştürüyoruz.