Veri İşleyen Sözleşmeleri ve Hizmet Sağlayıcılarla Veri Paylaşımı

1. Konunun Genel Çerçevesi

İşletmeler, faaliyetlerinin önemli bir kısmını dış hizmet sağlayıcılar aracılığıyla yürütmektedir. Bulut depolama, e-posta, muhasebe ve bordro, insan kaynakları yazılımları, çağrı merkezi, kargo, pazarlama ve bilgi işlem desteği gibi hizmetlerde, işletmenin kişisel verileri üçüncü kişilerin sistemlerinde işlenmektedir.

Bu ilişkilerde verilerin kim adına, hangi amaçla ve hangi güvenlik önlemleriyle işlendiğinin açıkça belirlenmesi gerekmektedir. Kişisel Verilerin Korunması Kanunu, bu ilişkilerde veri sorumlusunu tamamen sorumluluktan kurtarmamakta; veri işleyen ile birlikte veri güvenliğinden sorumlu tutmaktadır.

Uygulamada hizmet sağlayıcılarla yapılan sözleşmelerin önemli bir kısmı, kişisel verilerin korunmasına ilişkin ayrıntılı hükümler içermemektedir. Bu durumda veri sorumlusu, hizmet sağlayıcının sistemlerinde yaşanan bir ihlalde Kurul karşısında sorumlu tutulabilmekte, ancak hizmet sağlayıcıya rücu etme imkânı sınırlı kalabilmektedir. Bu nedenle veri işleme ilişkisinin yazılı olarak ve açık hükümlerle düzenlenmesi, hem uyum hem de risk yönetimi bakımından gerekli görülmektedir.

2. Hukuki Dayanak

• 6698 sayılı Kişisel Verilerin Korunması Kanunu: KVKK m.3 (veri sorumlusu ve veri işleyen tanımları), KVKK m.8 (yurt içine aktarım), KVKK m.9 (yurt dışına aktarım), KVKK m.12 (veri güvenliğine ilişkin yükümlülükler), KVKK m.18 (kabahatler)
• 7499 sayılı Kanun ile KVKK m.9 hükmünde yapılan değişiklikler
• Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
• Kişisel Verileri Koruma Kurulu'nun veri güvenliği rehberleri ve ilke kararları

3. Kanundaki Düzenleme

Veri Sorumlusu ve Veri İşleyen Ayrımı

KVKK m.3 uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir. Bir hizmet sağlayıcının hangi sıfatı taşıdığı, sözleşmedeki adlandırmadan çok, işleme amaçları ve araçları üzerinde kimin karar verdiğine göre belirlenmektedir.

İşletmenin kendi çalışanları veri işleyen sayılmamaktadır; veri işleyen, veri sorumlusunun organizasyonu dışındaki kişidir.

Müşterek Sorumluluk

KVKK m.12 uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almakla yükümlüdür. Kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde, veri sorumlusu bu tedbirlerin alınması hususunda o kişi ile birlikte müştereken sorumludur.

Yurt Dışına Aktarım

Hizmet sağlayıcının yurt dışında yerleşik olması veya verileri yurt dışındaki sunucularda tutması, yurt dışına aktarım niteliği taşıyabilmektedir. 7499 sayılı Kanun ile yeniden düzenlenen KVKK m.9, aktarımı öncelikle yeterlilik kararına, bu karar yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvencelere, bunların da bulunmaması hâlinde arızi nitelikteki istisnai durumlara bağlamaktadır. Standart sözleşmenin imzalanmasından sonra Kurum'a bildirilmesi gerekmektedir.

4. Uygulamada Süreç

1. Hizmet sağlayıcıların listelenmesi: Kişisel veriye erişen tüm dış hizmet sağlayıcılar ve bunların işlediği veri kategorileri tespit edilmektedir.
2. Sıfatın belirlenmesi: Her hizmet sağlayıcının veri işleyen mi, yoksa bağımsız veri sorumlusu mu olduğu değerlendirilmektedir.
3. Veri işleme sözleşmesinin hazırlanması: Sözleşmede işleme konusu ve süresi, işlemenin niteliği ve amacı, veri kategorileri, veri işleyenin yalnızca talimatla işlem yapacağı, gizlilik, güvenlik tedbirleri, alt işleyen kullanımı, ihlal bildirimi, denetim hakkı ve sözleşme sonunda verilerin iadesi veya imhası düzenlenmektedir.
4. Alt işleyenlerin kontrolü: Veri işleyenin başka hizmet sağlayıcılar kullanması, veri sorumlusunun önceden onayına bağlanmaktadır.
5. Yurt dışı aktarım değerlendirmesi: Sunucu konumu ve hizmet sağlayıcının yerleşim yeri kontrol edilmekte; gerekli hâllerde standart sözleşme imzalanarak Kurum'a bildirilmektedir.
6. Aydınlatma metninin güncellenmesi: Aktarım yapılan alıcı grupları aydınlatma metninde belirtilmektedir.
7. Periyodik denetim: Veri işleyenin güvenlik tedbirleri belirli aralıklarla denetlenmekte veya raporlanmaktadır.

5. Görevli ve Yetkili Mahkeme veya Merci

Veri güvenliğine ilişkin yükümlülüklerin ihlali, Kişisel Verileri Koruma Kurulu tarafından KVKK m.18 kapsamında idari para cezası ile yaptırıma bağlanabilmektedir. Kurul kararlarına karşı idare mahkemesinde dava açılabilmektedir.

Veri sorumlusu ile veri işleyen arasındaki sözleşmeden doğan rücu ve tazminat uyuşmazlıkları, taraflar tacir ise asliye ticaret mahkemesinde görülmekte; konusu para olan bu taleplerde dava şartı arabuluculuk hükümleri uygulanmaktadır. İlgili kişilerin tazminat talepleri ise genel hükümlere göre görevli ve yetkili mahkemede ileri sürülmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Veri ihlalinin öğrenilmesi hâlinde Kurul'a ve ilgili kişilere en kısa sürede bildirim yapılması gerekmekte olup Kurul bu süreyi kararlarıyla somutlaştırmıştır; veri işleyenin ihlali gecikmeksizin veri sorumlusuna bildirmesi sözleşmede düzenlenmelidir.
• Standart sözleşmenin Kurum'a bildirimi için Yönetmelik'te öngörülen süreye uyulmalıdır.
• Hizmet sağlayıcının hazır sözleşme şartları, veri işleme sözleşmesinde aranan unsurları her zaman karşılamayabilmektedir.
• Sözleşme sona erdiğinde verilerin iade veya imha edildiğine ilişkin yazılı teyit alınmalıdır.
• Çalışanların kişisel e-posta veya mesajlaşma uygulamaları üzerinden veri paylaşması, denetimsiz aktarım riskini artırmaktadır.

7. Sonuç

Dış hizmet ilişkilerinde kişisel verilerin korunması, yalnızca hizmet sağlayıcıya bırakılabilecek bir konu değildir. Sıfatların doğru belirlenmesi, kapsamlı bir veri işleme sözleşmesi yapılması, yurt dışı aktarım şartlarının gözetilmesi ve düzenli denetim, veri sorumlusunun müşterek sorumluluktan doğan risklerini azaltmaktadır.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır. Yeni yazılar LinkedIn sayfasında da paylaşılmaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu