Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşme Neden Zorunludur?

KVKK m. 3'e göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

Bu ayrımın uygulamada doğru yapılması önemlidir; çünkü:

• veri sorumlusu, işleme amaç ve araçlarını belirler ve KVKK'nın öngördüğü temel yükümlülüklerin (aydınlatma, açık rıza, VERBİS kaydı gibi) muhatabıdır,
• veri işleyen, kendi başına işleme amacı belirlemez; yalnız veri sorumlusunun talimatları doğrultusunda hareket eder ve esas olarak veri güvenliği yükümlülüklerinden veri sorumlusuyla birlikte sorumlu tutulur.

Sözleşmenin başlığı veya tarafların kendilerini nasıl adlandırdığı değil, fiilen kimin işleme amaç ve araçlarını belirlediği belirleyicidir. Bir hizmet sağlayıcı, sözleşmede "veri işleyen" olarak tanımlanmış olsa bile, fiilen kendi ticari amaçları doğrultusunda veri üzerinde bağımsız karar alıyorsa gerçek nitelendirme farklı olabilir.

KVKK m. 12, veri sorumlusunu, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek, uygun güvenlik düzeyini sağlamak amacıyla gerekli tedbirleri almakla yükümlü kılar. Aynı madde, veri sorumlusunun bu yükümlülükleri veri işleyenler bakımından da denetlemesi gerektiğini öngörür.

Uygulamada bu denetim yükümlülüğünün somutlaştırılmasının en pratik yolu, veri sorumlusu ile veri işleyen arasında yazılı bir veri işleme sözleşmesi yapılmasıdır. Yazılı bir sözleşme;

• veri işleyenin hangi veriyi, hangi amaçla ve ne kadar süre işleyebileceğini,
• alt yüklenici (alt veri işleyen) kullanımının hangi şartlarda mümkün olduğunu,
• veri güvenliği tedbirlerinin asgari standartlarını,
• veri ihlali hâlinde bildirim süresini ve usulünü,
• sözleşme sona erdiğinde verinin iadesi veya imhasının nasıl yapılacağını,
• denetim ve bilgi talep etme hakkının kapsamını

açık biçimde ortaya koyar. Böyle bir sözleşmenin bulunmaması, veri sorumlusunun KVKK m. 12'deki denetim yükümlülüğünü yerine getirmediği yönünde bir karine oluşturabilir.

Uygulamada özenli hazırlanan veri işleme sözleşmelerinde genel olarak şu maddeler bulunur:

• Konu ve kapsam: İşlenecek veri kategorileri, veri konusu kişi grupları ve işleme amacı.
• Talimat sınırlaması: Veri işleyenin yalnız veri sorumlusunun yazılı talimatları doğrultusunda hareket edeceği.
• Gizlilik taahhüdü: Veri işleyenin çalışanlarının gizlilik yükümlülüğü altında olması.
• Güvenlik tedbirleri: Uygulanacak teknik ve idari tedbirlerin asgari standardı.
• Alt yüklenici kullanımı: Alt veri işleyen kullanılacaksa veri sorumlusunun önceden bilgilendirilmesi veya onayının alınması.
• Veri ihlali bildirimi: Veri işleyenin, kendi bünyesinde meydana gelen bir ihlali veri sorumlusuna gecikmeksizin bildirmesi.
• Denetim hakkı: Veri sorumlusunun, veri işleyenin uygulamalarını denetleme veya denetim talep etme hakkı.
• Sözleşme sonrası veri akıbeti: Sözleşme sona erdiğinde verinin iade edilmesi veya güvenli biçimde imha edilmesi.
• Sorumluluk ve tazminat: Tarafların ihlalden doğan zarardan sorumluluğunun paylaşımı.

KVKK, veri işleyenin doğrudan veri sorumlusu gibi sorumlu tutulacağı genel bir kural öngörmez; veri işleyenin sorumluluğu esas olarak veri güvenliği tedbirlerini almamasından kaynaklanır. Bununla birlikte ilgili kişiye karşı sorumluluk, çoğu zaman veri sorumlusu üzerinden ileri sürülür; veri sorumlusu, uğradığı zararı iç ilişkide sözleşme hükümlerine dayanarak veri işleyenden TBK m. 112 çerçevesinde rücuen talep edebilir.

Bu nedenle sözleşmede rücu hakkının, tazminat sorumluluğunun sınırlarının ve sigorta yükümlülüğünün açıkça düzenlenmesi, ihlal sonrası taraflar arasındaki uyuşmazlıkların önüne geçer. Sözleşmede bu hususların hiç düzenlenmemiş olması, ihlal sonrasında hangi tarafın hangi oranda sorumlu olduğunun tespitini güçleştirebilir.

Veri işleyenin, veri sorumlusunun bilgisi veya onayı olmaksızın işi bir başka alt yükleniciye devretmesi, veri sorumlusunun veri akışı üzerindeki kontrolünü kaybetmesine yol açabilir. Bu nedenle sözleşmelerde alt yüklenici kullanımının önceden yazılı onaya bağlanması veya en azından önceden bildirim yükümlülüğü öngörülmesi önerilir. Alt yüklenicinin de asıl sözleşmedeki güvenlik ve gizlilik standartlarına tabi tutulması sağlanmalıdır.

Veri işleyenin yurt dışında yerleşik olması hâlinde, veri sorumlusu ile veri işleyen arasındaki ilişki ayrıca yurt dışına veri aktarımı rejimine de tabi olur. Bu durumda sözleşmenin, hem veri işleme sözleşmesi hem de yurt dışı aktarım için gerekli güvenceleri (açık rıza veya yazılı taahhüt ve Kurul izni) birlikte karşılayacak biçimde kurgulanması gerekir.

Veri sorumlusu VERBİS'e kayıt yükümlülüğü altındaysa, veri işleyenler aracılığıyla yürütülen veri işleme faaliyetleri de sicil bildirimine yansıtılmalıdır. Veri işleyenin ayrı bir tüzel kişilik olması, veri sorumlusunun VERBİS'teki beyan yükümlülüğünü ortadan kaldırmaz.

Yazılı bir sözleşme bulunmaması, veri işleyen ile veri sorumlusu arasındaki fiili ilişkiyi ortadan kaldırmaz; ancak bir ihlal hâlinde hem Kurul denetiminde hem de tarafların birbirine karşı ileri sürebileceği savunmalarda ciddi belirsizlik yaratır. Uygulamada Kurul, veri güvenliği ihlallerinde veri sorumlusunun tedarikçilerini yeterince denetleyip denetlemediğini de değerlendirmekte; yazılı sözleşmenin yokluğu bu denetimin yetersiz kaldığı yönünde değerlendirilebilmektedir.

Veri işleme sözleşmesinin süresi, kural olarak taraflar arasındaki asıl hizmet sözleşmesine bağlı olarak belirlenir. Ancak veri güvenliği ve gizlilik yükümlülüklerinin, asıl sözleşme sona erdikten sonra da belirli bir süre devam etmesi (özellikle verinin iadesi veya imhası tamamlanana kadar) önerilir. Fesih hükümlerinde, veri işleyenin ağır bir güvenlik ihlali içinde bulunması hâlinde veri sorumlusuna olağanüstü fesih hakkı tanınması, veri sorumlusunun elini güçlendirir.

Sözleşmede denetim hakkı öngörülmüş olması tek başına yeterli değildir; veri sorumlusunun bu hakkı belirli aralıklarla fiilen kullanması, örneğin yıllık uyum sorularıyla veya bağımsız denetim raporu talep ederek veri işleyenin uygulamalarını gerçekten izlemesi önemlidir. Kurul denetimlerinde, sözleşmede yer alan ancak hiç kullanılmamış bir denetim hakkı, veri sorumlusunun gerçek anlamda gözetim yükümlülüğünü yerine getirmediği yönünde değerlendirilebilir.

• Hizmet sağlayıcıyla yalnız ticari hizmet sözleşmesi yapıp ayrı bir veri işleme sözleşmesi düzenlememek,
• alt yüklenici kullanımını sözleşmede hiç düzenlememek,
• veri ihlali bildirim süresini ve usulünü belirsiz bırakmak,
• sözleşme sona erdiğinde verinin ne olacağını düzenlememek,
• veri işleyenin sözleşme dışına çıkarak kendi amaçları için veri işlemesine karşı denetim mekanizması kurmamak,
• yurt dışında yerleşik veri işleyenlerle yapılan sözleşmelerde aktarım rejimini gözden kaçırmak.

Veri sorumlusu ile veri işleyen arasındaki ilişkinin yazılı ve kapsamlı bir sözleşmeyle düzenlenmesi, yalnız bir uyum formalitesi değil, olası bir veri ihlalinde sorumluluğun adil biçimde paylaşılmasının da güvencesidir. Sözleşmesiz yürütülen tedarikçi ilişkileri, hem Kurul denetiminde hem de zarar gören ilgili kişilerin taleplerinde işletmeyi savunmasız bırakabilir.

Tedarikçi ve hizmet sağlayıcılarınızla yapılacak veri işleme sözleşmelerinin hazırlanması veya mevcut sözleşmelerin KVKK'ya uygunluk bakımından gözden geçirilmesi için Günser + Partners ile iletişime geçebilirsiniz.