Veri Sorumlusu mu, Veri İşleyen mi? Sözleşme Taraflarını Doğru Nitelendirme

Sözleşmedeki Unvan Yetmez

Bir tedarikçi sözleşmesi hazırlanırken KVKK maddesi çoğu zaman şablondan eklenir ve taraflardan biri “veri işleyen” olarak adlandırılır. Oysa veri sorumlusu veri işleyen farkı, sözleşmede kullanılan kelimeye değil, fiilen kimin karar verdiğine bağlıdır. Yanlış nitelendirme, aydınlatma metinlerinden yurt dışı aktarım sözleşmelerine kadar bir dizi belgeyi hatalı kılar.

Bu yazıda tanımları ve belirleyici ölçütü, ortak veri sorumluluğunu, muhasebe, bordro, bulut ve kargo gibi sık karıştırılan örnekleri, yanlış nitelendirmenin sonuçlarını ve nitelendirmenin sözleşmeye nasıl yansıyacağını adım adım ele alıyoruz. Yazının sonunda hızlı karar vermenize yardımcı olacak bir tablo yer alıyor.

Tanımlar ve belirleyici ölçüt: amaç ve vasıtayı kim belirliyor?

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

Kişisel Verileri Koruma Kurumu'nun (Kurum) “Veri Sorumlusu ve Veri İşleyen” yayınına göre veri sorumlusunun tespiti için şu konularda kimin karar verdiğine bakılır:

kişisel verilerin toplanması ve toplama yöntemi,

toplanacak kişisel veri türleri,

verilerin hangi amaçlarla kullanılacağı,

hangi kişilerin verilerinin toplanacağı,

verilerin paylaşılıp paylaşılmayacağı ve kimlerle paylaşılacağı,

verilerin ne kadar süreyle saklanacağı.

Kurum'a göre veri sorumlusu, bir sözleşmeyle bazı konularda karar yetkisini veri işleyene bırakabilir: hangi bilgi teknolojisi sistemlerinin kullanılacağı, saklama yöntemi, güvenlik önlemlerinin ayrıntıları, aktarım ve imha yöntemi gibi. Kısacası işlemenin “neden” yapılacağına veri sorumlusu, “nasıl” yapılacağının teknik ayrıntılarına ise veri işleyen karar verebilir. Kurul'un 30.01.2020 tarihli ve 2020/71 sayılı kararı da aynı ölçütleri esas alır.

İki önemli ayrıntı daha vardır. Veri işleyen, veri sorumlusunun organizasyonu dışındaki kişidir; şirketin kendi çalışanı veri işleyen değildir. Şirket bünyesindeki birimlerin ayrı tüzel kişiliği bulunmadığından birimler de veri sorumlusu olamaz; şirketler topluluğunda ise her şirket ayrı bir veri sorumlusudur.

Ortak veri sorumluluğu

KVKK, Avrupa Birliği Genel Veri Koruma Tüzüğü'nün 26. maddesindeki gibi ortak veri sorumluluğunu ayrıca düzenleyen bir hükme yer vermez. Ancak Kurum'un yayınındaki örnekler, birden fazla tarafın aynı veriler bakımından veri sorumlusu olabileceğini gösterir.

Kurum'un pazar araştırması örneğinde, bir ilaç firması için çalışan memnuniyeti anketi yapan araştırma şirketi, anket yapılacak kişileri, yöntemi ve toplanacak verileri kendisi belirlediği için firma ile birlikte veri sorumlusu sayılır. Avukat örneğinde ise bir uyuşmazlık için kendisine veri teslim edilen avukat, şirket adına hareket etse de verilerin nasıl işleneceğini kendisi belirlediğinden veri sorumlusudur; şirket ve avukat, örneğin bir erişim talebinin yanıtlanmasında ayrı ayrı sorumludur. Bu örneğin hukuk birimleri açısından sonuçlarını dava dosyalarında özel nitelikli veri yazımızda ele aldık.

Birden fazla veri sorumlusunun bulunduğu ilişkilerde, aydınlatmanın kim tarafından yapılacağı, ilgili kişi başvurularının nasıl yönlendirileceği ve bir ihlal hâlinde bildirimin nasıl koordine edileceği sözleşmeyle netleştirilmelidir. Bu paylaşım, tarafların Kanun karşısındaki kendi sorumluluklarını ortadan kaldırmaz.

Sık karıştırılan örnekler: muhasebe, bordro, bulut, kargo

Aşağıdaki değerlendirmeler, Kurum'un yayınındaki örneklere ve belirleyici ölçüte dayanan genel yaklaşımlardır. Her ilişkide sözleşme ve fiili uygulama birlikte incelenmelidir.

Muhasebe ve mali müşavirlik: Kurum, bir muhasebe şirketinin kendi personeli bakımından veri sorumlusu, müşterisi olan şirketlerin iş ve işlemlerine ilişkin işlediği veriler bakımından ise veri işleyen olabileceğini belirtir. Buna karşılık aynı yayın, mali müşavirlerin mesleki yasal yükümlülükleri nedeniyle müşterilerinin kayıtlarındaki veriler bakımından veri sorumlusu olduğunu ve bu yükümlülükleri sözleşmeyle müşteriye devredemeyeceğini vurgular. Belirleyici olan, hizmet sağlayıcının yalnızca talimatla mı hareket ettiği, yoksa kendi mesleki yükümlülüklerine göre mi karar verdiğidir.

Bordro: Bordro hesaplamasının dış bir firmaya verildiği ve firmanın işverenin talimatları doğrultusunda, işverenin belirlediği veriler üzerinde çalıştığı durumlarda firma genellikle veri işleyen olarak değerlendirilir. Firma verileri kendi amaçları için de kullanıyorsa, o kullanım bakımından ayrıca veri sorumlusu olabilir.

Bulut hizmetleri: Kurum'un örneğinde, verileri yalnızca müşterinin talimatıyla saklayan ve kendi amaçları için kullanamayan bulut hizmeti sağlayıcısı veri işleyendir. Aynı sağlayıcı kendi çalışanlarının verileri bakımından veri sorumlusudur. Yurt dışında yerleşik bir bulut hizmeti kullanıldığında aktarımın KVKK'nın 9. maddesine uygun olması gerekir; ayrıntılar için yurt dışı aktarım uygulama rehberi yazımıza bakabilirsiniz.

Kargo ve ödeme hizmetleri: Kargo şirketleri teslimat sürecini kendi operasyonel kuralları ve tabi oldukları mevzuat çerçevesinde yürüttüğünden, gönderici şirketten bağımsız veri sorumlusu olarak değerlendirilmeleri mümkündür; ancak bu nitelendirme ilişkinin kurgusuna göre değişebilir. Kurum'un ödeme hizmetleri örneğinde ise ödeme kuruluşu, hangi verilerin toplanacağına ve nasıl kullanılacağına kendisi karar verdiği ve kendi hukuki yükümlülükleri bulunduğu için satıcının veri işleyeni değil, veri sorumlusu kabul edilir.

Yanlış nitelendirmenin sonuçları

Nitelendirme hatası tek bir belgede kalmaz; birbirine bağlı birkaç yükümlülüğü aynı anda etkiler:

Aydınlatma: KVKK'nın 10. maddesi uyarınca aydınlatma metninde verilerin kimlere aktarılabileceği belirtilir. Bağımsız veri sorumlusuna yapılan aktarım ile veri işleyene verilen hizmet farklı gösterilmelidir.

Aktarım şartı: veri işleyene yapılan paylaşım ile başka bir veri sorumlusuna yapılan aktarım, hukuki sebep ve aydınlatma açısından farklı değerlendirilir.

Yurt dışı aktarım: Kurum'un standart sözleşmeleri tarafların sıfatına göre farklı türlerde hazırlanmıştır; yanlış türün seçilmesi, aktarımın dayanağını zayıflatır.

Veri güvenliği: KVKK'nın 12. maddesine göre veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınmasından bu kişiyle birlikte müştereken sorumludur.

Başvurular: ilgili kişi başvurularının kim tarafından, hangi sürede yanıtlanacağı belirsiz kalır; KVKK'nın 13. maddesindeki otuz günlük süre riske girer.

Sözleşmeye yansıması

Nitelendirme netleştikten sonra sözleşme bu nitelendirmeyi yansıtmalıdır. Veri sorumlusu ile veri işleyen arasındaki bir sözleşmede genellikle şu konular düzenlenir:

Kapsam ve talimat: işlenecek veri kategorileri, amaç ve veri işleyenin yalnızca yazılı talimatla hareket edeceği.

Gizlilik ve güvenlik: çalışanların gizlilik yükümlülüğü ve alınacak teknik ve idari tedbirler.

Alt işleyenler: başka bir hizmet sağlayıcı kullanılmadan önce onay alınması ve aynı yükümlülüklerin ona da yüklenmesi.

Yurt dışı: verilerin hangi ülkelerde işleneceği ve KVKK'nın 9. maddesine uygun aktarım mekanizması.

İhlal bildirimi: veri işleyenin bir ihlali veri sorumlusuna gecikmeksizin bildirmesi; veri sorumlusunun Kurul'a bildirimi için süre kısıtlıdır.

Denetim ve iş bitimi: veri sorumlusunun denetim hakkı, ilişki sona erdiğinde verilerin iadesi veya silinmesi ve bunun belgelenmesi.

İki bağımsız veri sorumlusu arasındaki ilişkide ise sözleşme, her tarafın kendi aydınlatma ve hukuki sebep yükümlülüğünü, verinin paylaşım amacını ve başvuruların nasıl koordine edileceğini düzenlemeye odaklanır. Sözleşmedeki sıfat, fiili durumla örtüşmüyorsa belirleyici olan fiili durumdur.

Karar tablosu

Aşağıdaki sorular, bir ilişkide tarafların sıfatını belirlemek için sırayla sorulabilir. Birden fazla soruya “karşı taraf” yanıtı veriliyorsa, karşı tarafın veri sorumlusu olma ihtimali artar. Bu tablo bir ön değerlendirme aracıdır; sonuç, sözleşme ve fiili uygulama birlikte incelenerek doğrulanmalıdır. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Sonuç ve sonraki adım

Veri sorumlusu veri işleyen farkı, “işlemenin amacına ve temel unsurlarına kim karar veriyor?” sorusuyla belirlenir. Sözleşmedeki unvan, fiili durumu değiştirmez; muhasebe, bordro, bulut ve kargo gibi sık karşılaşılan ilişkilerde bile sonuç, hizmetin kurgusuna göre farklı olabilir. Doğru nitelendirme; aydınlatma metinleri, yurt dışı aktarım mekanizması, güvenlik sorumluluğu ve ilgili kişi başvuruları için ortak bir zemin oluşturur.

Pratik bir başlangıç olarak veri işleyen tüm tedarikçilerinizi listeleyip her biri için yukarıdaki tabloyu doldurabilirsiniz. Nitelendirmenin genel bir uyum programına nasıl yerleştirildiğini KVKK danışmanlığı hizmet sayfamızda, şirketler topluluğunda rol dağılımını holdinglerde KVKK yönetimi yazımızda, bölge ile katılımcı firma arasındaki benzer bir ayrımı ise OSB müdürlüğü veri sorumlusu mu yazımızda inceleyebilirsiniz.

Sık sorulan sorular