Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşmesel Yükümlülükler

Şirketler kişisel veri işleme faaliyetlerinin önemli bir bölümünü dışarıdan hizmet alarak yürütür: bordro ve muhasebe hizmetleri, bulut depolama, çağrı merkezi, kargo, arşivleme, insan kaynakları yazılımları. Bu ilişkilerde taraflardan biri veri sorumlusu, diğeri çoğu zaman veri işleyen konumundadır. Sıfatların doğru belirlenmesi ve aradaki sözleşmenin doğru kurgulanması, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) bakımından uyumun en kritik başlıklarından biridir.¹

Önce sıfat: kim veri sorumlusu, kim veri işleyen?

Kanun’un 3. maddesine göre veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişidir. Belirleyici ölçüt, işlemenin “neden ve nasıl” yapılacağına kimin karar verdiğidir.²

Sıfat, sözleşmede nasıl adlandırıldığına göre değil, fiilî duruma göre belirlenir. Bir hizmet sağlayıcı, aldığı veriyi kendi amaçları için de kullanmaya başladığı anda o faaliyet bakımından veri sorumlusu hâline gelir. Aynı şirket, bazı süreçlerde veri sorumlusu, bazılarında veri işleyen olabilir; bu nedenle değerlendirme sözleşme bazında değil, süreç bazında yapılmalıdır.

Sözleşme zorunlu mudur?

Türk hukukunda, veri sorumlusu ile veri işleyen arasında ayrıntılı bir sözleşme yapılmasını doğrudan zorunlu kılan ve içeriğini madde madde belirleyen bir hüküm bulunmamaktadır. Ancak bu, sözleşmenin ihtiyari olduğu anlamına gelmez. Kanun’un 12. maddesi veri sorumlusuna uygun güvenlik düzeyini sağlamak için gerekli her türlü teknik ve idari tedbiri alma yükümlülüğü yükler; Kurul da veri işleyenle yazılı bir sözleşme yapılmasını bu idari tedbirler arasında değerlendirmektedir.³

Ayrıca 12. maddenin ikinci fıkrası, veri güvenliğine ilişkin yükümlülükler bakımından veri sorumlusu ile veri işleyenin müştereken sorumlu olduğunu düzenler. Dolayısıyla hizmet sağlayıcıdan kaynaklanan bir ihlalde veri sorumlusunun sorumluluğu ortadan kalkmaz; sözleşme, sorumluluğu devretmenin değil, riski yönetmenin ve rücu imkânını güvence altına almanın aracıdır.

Sözleşmede yer alması önerilen başlıklar

• Konu, kapsam ve süre: hangi kişisel veri kategorilerinin, hangi ilgili kişi gruplarına ait olarak, hangi amaçla ve ne kadar süreyle işleneceği.
• Talimatla işleme: veri işleyenin yalnızca veri sorumlusunun yazılı talimatları doğrultusunda işlem yapacağı; kendi amaçları için kullanmayacağı.
• Gizlilik: veri işleyenin ve çalışanlarının gizlilik yükümlülüğü ile bu yükümlülüğün sözleşme sona erdikten sonra da süreceği.
• Teknik ve idari tedbirler: veri işleyenin alacağı asgari güvenlik tedbirleri ve bunların belgelenmesi.
• Alt veri işleyen: alt yüklenici kullanımının veri sorumlusunun önceden yazılı onayına bağlanması ve alt yükleniciye aynı yükümlülüklerin yansıtılması.
• İhlal bildirimi: veri işleyenin, ihlali öğrenir öğrenmez gecikmeksizin veri sorumlusuna bildirmesi. Kanun’un 12. maddesinin beşinci fıkrası uyarınca Kurula bildirim yükümlülüğü veri sorumlusuna ait olduğundan, iç bildirim süresinin 72 saatlik dış süreyi karşılayacak kadar kısa tutulması gerekir.
• İlgili kişi başvurularına destek: veri işleyenin, kendisine ulaşan talepleri doğrudan cevaplamayıp veri sorumlusuna yönlendirmesi ve otuz günlük süre içinde gerekli desteği vermesi.
• Denetim ve bilgi verme: veri sorumlusunun denetim yapma veya yaptırma hakkı; veri işleyenin bilgi ve belge sunma yükümlülüğü.
• İade ve imha: sözleşme sona erdiğinde verilerin iadesi veya imhası ile imha kayıtlarının paylaşılması.
• Yurt dışına aktarım: veri işleyenin verileri yurt dışına aktarıp aktarmayacağı; aktaracaksa hangi güvence mekanizmasının kullanılacağı.
• Sorumluluk ve rücu: idari para cezası, tazminat ve üçüncü kişi talepleri bakımından sorumluluk dağılımı.

Yurt dışı unsurlu ilişkilerde ek bir katman

Veri işleyen yurt dışında yerleşikse ya da verileri yurt dışındaki sunucularda tutuyorsa, sözleşme tek başına yeterli olmaz. Kanun’un 9. maddesi uyarınca ayrıca bir aktarım mekanizması gerekir. Bugün en yaygın kullanılan yol, Kurul tarafından ilan edilen standart sözleşmedir; metin imzalandıktan sonra beş iş günü içinde Kuruma bildirilmelidir.⁴ Hizmet sağlayıcının sunduğu Avrupa Birliği standart sözleşmesi, Türk hukuku bakımından bu yükümlülüğü karşılamaz.

Uygulamada sık yapılan hatalar

• Tedarikçi sözleşmesine tek cümlelik bir “KVKK’ye uyulacaktır” hükmü konulması; bu hüküm tek başına hiçbir yükümlülük tanımlamaz.
• Sıfatların sözleşmede yanlış belirlenmesi; fiilen veri sorumlusu gibi davranan bir tarafın veri işleyen olarak gösterilmesi.
• Alt yüklenici kullanımının serbest bırakılması; verinin zincirin neresinde olduğunun izlenememesi.
• İhlal bildirimi için veri işleyene uzun süre tanınması; veri sorumlusunun 72 saatlik süreyi kaçırması.
• Sözleşme sona erdiğinde verilerin iadesi veya imhasına ilişkin hüküm bulunmaması; imha kaydının istenmemesi.
• Denetim hakkının sözleşmede yer almaması, dolayısıyla Kanun’un 12. maddesinin üçüncü fıkrasındaki denetim yükümlülüğünün fiilen yerine getirilememesi.
• Yurt dışı unsurlu hizmetlerde aktarım mekanizmasının kurulmaması.

Hukuki Dayanaklar ve Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016, S. 29677.
2. Kişisel Verileri Koruma Kurumu, Kişisel Verilerin Korunması Kanununa İlişkin Uygulama Rehberi, Ankara, Mart 2018, s. 94 vd.
3. Kişisel Verileri Koruma Kurumu, Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler) ve Kurulun veri güvenliğine ilişkin kararları.
4. Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, RG 10.07.2024, S. 32598. Bildirim yükümlülüğünün ihlali KVKK m. 18/1-ç uyarınca ayrı bir kabahattir.