Veri işleyen sözleşmesi: ne zaman gerekir — ve neyi çözmez

Kurgu basittir: verilerin ne için ve hangi araçlarla işleneceğine siz karar verirsiniz, işi başkası yürütür. 6698 sayılı Kanun bu iki rolü m.3'te adlandırır — siz veri sorumlusu, o taraf veri işleyensiniz. Türkiye'de bir ayrıntı buna eşlik eder ve yönü şaşırtıcıdır: Kanun, bu ilişki için adı konmuş bir sözleşme yapmayı zorunlu tutmaz. Buna karşılık m.12/2, veriler sizin adınıza başkası tarafından işlendiğinde güvenlik tedbirleri bakımından sizi o kişiyle birlikte sorumlu kılar. Yani sözleşme bir formalite değil, elinizdeki tek araçtır.

Metnin kendisi bir proje değildir. Ciddi sağlayıcılarda hazır bekler ve on dakikada imzalanır; AB'de yerleşik bir sağlayıcıda karşınıza çoğunlukla GDPR'nin 28. maddesine göre hazırlanmış bir veri işleme sözleşmesi olarak çıkar. Emek başka yerdedir: onu kiminle yapmanız gerektiğini bilmekte. Bu yazı sırayı takip ediyor ve bir yön göstermedir — somut bir sağlayıcının nasıl sınıflandırılacağına, tereddüt hâlinde, Kişisel Verileri Koruma Kurumu ya da bir hukukçu karar verir.

Sorunun tamamı bu ayrımdır. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraftır. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen taraftır — kendi amacı olmayan, talimatla çalışan taraf.

Sınama cümlesi kısadır: Verilerin ne için orada olduğuna kim karar veriyor? Buna siz karar veriyor ve karşı taraf yalnızca uyguluyorsa, o taraf veri işleyendir. Karşı taraf kendi mevzuatından ya da mesleğinden doğan kendi amaçlarını izliyorsa kendi başına veri sorumlusudur — o zaman arka arkaya iki veri sorumlusu vardır ve ortada bir işleyen ilişkisi değil, bir aktarım vardır.

Bundan, imza atmadan önce bilinmesi gereken bir sonuç çıkar: rolü belirleyen kâğıt değil, fiilî durumdur. Müşteri verilerinizi kendi ürün geliştirmesi ya da kendi analizleri için kullanan bir sağlayıcı, o işleme bakımından veri işleyen olmaktan çıkar; amaçları kendisi belirlediği için tanım gereği veri sorumlusu hâline gelir — sözleşmede ne yazdığından bağımsız olarak. Kanun bunu ayrı bir hükümle söylemez, m.3'teki tanımın kendisi söyler. Sözleşme rolü kurmaz, yalnızca tarif eder.

Her paylaşım da adınıza işleme değildir. Verileri, onlara kendi sorumluluğunda ihtiyaç duyan birine veriyorsanız bu bir aktarımdır ve aktarımın kendi hukuki dayanağı gerekir — yurt içinde m.8, yurt dışında m.9 üzerinden. Böyle bir durumda ihtiyacınız olan şey bir işleyen sözleşmesi değil, aktarım için bir dayanaktır.

Liste, hissettirdiğinden uzundur; çünkü kalemlerin çoğu faturada veri işleme diye geçmez.

Üzerinde gerçekten tartışılan satır sondan ikincisidir. 3568 sayılı Kanun'a tabi bir mali müşavir, defter ve belgelerinizi işlerken kendi meslek yükümlülüklerini de yerine getirir: kendi saklama ödevleri, kendi beyan sorumluluğu ve mesleki sır yükümlülüğü vardır, ve bunların hiçbiri sizin talimatınıza bağlı değildir. Bu yüzden çoğunlukla kendi veri sorumlusu sayılır. Aynı büro yanı sıra yalnızca düz bir uygulama işi yapıyorsa — örneğin sizin hazırladığınız verilerle bordro yazımı — o iş bakımından değerlendirme başka çıkabilir. Sağlayıcıya kendisini nasıl gördüğünü sorun ve yanıtı yazılı isteyin; bu tek soru, sonradan çıkacak tartışmanın büyük bölümünü baştan bitirir.

Yazılımda ise tartışma yoktur. Müşteri verilerinizi sizin adınıza saklayan taraf veri işleyendir ve sözleşmesini hazır tutmalıdır. Sözleşmenin ancak ısrarla ve haftalar sonra gelmesi, ürün hakkında değil sağlayıcı hakkında bir bilgidir. Örneğin Salon Wizard salon yazılımı bunu bu türden her sağlayıcı gibi hazır tutar; sorunun yeri, sözleşme imzalandıktan sonraki hafta değil, ilk demodan önce yanıtladığınız beş sorudur.

Sözleşmeden önce Kanun'un kendi cümlesi gelir ve o cümle sözleşmeden ağır basar. m.12/1 veri sorumlusuna, kişisel verilerin hukuka aykırı işlenmesini ve verilere hukuka aykırı erişilmesini önlemek ile verilerin muhafazasını sağlamak için uygun güvenlik düzeyini temin etmeye yönelik teknik ve idari tedbirleri alma yükümlülüğü verir. m.12/2 bunu tamamlar: veriler sizin adınıza başka bir gerçek veya tüzel kişi tarafından işleniyorsa, bu tedbirler bakımından o kişiyle birlikte müştereken sorumlu olursunuz. Yani sağlayıcı seçimi zaten sizin yükümlülüğünüzün parçasıdır — ve uygun olmayan bir sağlayıcıyla yapılan sözleşme onu uygun hâle getirmez.

Burada bir şeyi açıkça söylemek gerekir: Kanun, bu sözleşmenin içinde nelerin bulunacağını madde madde saymaz. Zorunlu bir içerik listesi Türk hukukunda yoktur; Kişisel Verileri Koruma Kurumu'nun veri güvenliği rehberi yazılı bir sözleşmeyi tavsiye eder. Buna karşılık AB'de yerleşik bir sağlayıcı size zaten hazır bir metin verecektir ve o metnin içeriği bellidir: GDPR'nin 28. maddesinin üçüncü fıkrası sekiz noktayı sayar. Hangi hukuk sizi bağlıyor olursa olsun, elinizdeki en eksiksiz kontrol listesi budur — ve önünüze konan metinde zaten bunlar duracaktır:

1. işlemenin yalnızca belgelenmiş talimat üzerine yapılması, yurt dışına aktarım hâlinde de;
2. işi yapan kişilerin gizlilik yükümlülüğü altında olması;
3. uygun güvenlik tedbirlerinin uygulanması;
4. başka bir işleyen devreye alınacaksa bunun koşullarına uyulması;
5. ilgili kişilerin başvurularında — bilgi, düzeltme ve silme taleplerinde — size destek verilmesi;
6. güvenlik, ihlal bildirimi ve risk değerlendirmesi konularında size destek verilmesi;
7. hizmet sona erdiğinde bütün verilerin ve mevcut kopyalarının silinmesi ya da iade edilmesi;
8. uyumun kanıtlanması için gerekli bilgilerin verilmesi ve denetime imkân tanınması.

Günlük işte gerçekten işinize yarayacak olanlar beşinci ve yedinci maddelerdir. Biri hakkındaki verileri sorduğunda beşinci madde elinizdeki tek dayanaktır — ve otuz günlük süre Türk hukukunda uzatılamadığı için burada iyi niyet değil, yazılı bir madde işe yarar. Yedinci madde ise sağlayıcı değiştirdiğiniz gün devreye girer. İkisini de ihtiyaç duyduğunuz gün değil, imzadan önce okuyun.

Biçime gelince: sözleşmenin yazılı olması yeterlidir ve elektronik biçim de yazılıdır. Metinlerin sağlayıcıdan sağlayıcıya bu kadar benzemesinin nedeni de budur — çoğu, Avrupa Komisyonu'nun ya da bir denetim makamının belirlediği standart maddeler üzerine kuruludur.

En yaygın yanlış anlama buradadır. Bir veri işleyen sözleşmesi işlemeyi hukuka uygun hâle getirmez. Yalnızca sizinle sağlayıcı arasındaki ilişkiyi düzenler.

Hukuka uygunluk baştan sona m.5'ten — özel nitelikli veride m.6'dan — gelir ve size aittir. Dayanağı olmadan adres toplayan, sonra da bunları kusursuz sözleşmeli bir sağlayıcı üzerinden gönderen kişinin elinde, hukuka aykırı bir işlemeye ilişkin tertemiz bir sözleşme vardır. Sözleşme sorumluluğu da kaydırmaz: ilgili kişiler karşısında veri sorumlusu siz kalırsınız, ve güvenlik tedbirleri bakımından m.12/2'deki müşterek sorumluluk sürer.

Üç şeyi daha çözmez:

• Aydınlatma yükümlülüğünüzü ortadan kaldırmaz. Bir sağlayıcı kullandığınız bilgisi, m.10 uyarınca verdiğiniz aydınlatma metnine — aktarılan taraflar ve aktarımın amacı olarak — girer.
• Sağlayıcı seçiminizi ortadan kaldırmaz. Seçim, m.12'deki tedbir alma yükümlülüğünün bir parçasıdır ve imzadan önce gelir.
• Kendi envanterinizi ortadan kaldırmaz. Kişisel veri işleme envanteri sizden veri sorumlusu sıfatıyla istenir; sağlayıcının kendi kayıtları sizinkinin yerine geçmez.

Buna karşılık gerçekten sağladığı bir şey vardır: talep edebileceğiniz bir işbirliği. Bir veri ihlali yaşandığında bunu ilgili kişilere ve Kurul'a bildirmek zorunda olan sizsiniz — m.12/5 bunu veri sorumlusuna yükler ve Kurul süreyi yetmiş iki saat olarak somutlaştırmıştır. Ancak ihlal sağlayıcının tarafında yaşandıysa haberi ondan alırsınız. Sizi zamanında haberdar etme borcunu sözleşmeye yazdırmadıysanız, elinizde yalnızca iyi bir çalışma ilişkisi umudu kalır.

Neredeyse her sağlayıcı kendisi de hizmet alır: veri merkezi, yedekleme, SMS ya da e-posta gönderim yolu, destek aracı. Bunlar alt işleyenlerdir ve Türk hukuku burada da size hazır bir kural vermez; önceden onayınızı zorunlu kılan bir hüküm yoktur. O yüzden kuralı sözleşmeye kendiniz yazdırırsınız: bir liste olacak, liste erişilebilir olacak ve değişiklikler önceden duyurulacak. Bunu istemenizin nedeni biçimcilik değil, yine m.12/2'dir — bilmediğiniz bir alt işleyen, birlikte sorumlu olduğunuz bir alt işleyendir.

İkinci soru yerdir, ve Türkiye'de bu soru AB'deki okurun hiç karşılaşmadığı bir noktada başlar. Almanya'da ya da başka bir AB ülkesinde barındırılan bir uygulamayı kullanmak, Türkiye'deki bir veri sorumlusu için m.9 anlamında yurt dışına aktarımdır. AB içindeki bir işletme için sıradan olan şey, sizin için ayrı bir dayanak gerektiren bir işlemdir — ve bu, bulut yazılım kullanan hemen her küçük işletmeyi ilgilendirir.

2024'te 7499 sayılı Kanun'la değiştirilen m.9 bunun için sıralı bir yol kurar. Önce, ilgili ülke, sektör ya da uluslararası kuruluş hakkında bir yeterlilik kararı varsa aktarım ona dayanır. Yoksa uygun güvenceler devreye girer — standart sözleşme, taahhütname ya da bağlayıcı şirket kuralları gibi — ve bunların bir kısmı Kurul'un iznine, bir kısmı Kurum'a bildirime bağlıdır; bildirim süresi Kanun'da yazılıdır ve kısadır. Bu ikisi de yoksa geriye yalnızca Kanun'un ayrıca saydığı arızi hâller kalır. Hangi yola dayanıldığı sağlayıcıya sorulacak bir sorudur; yanıt belgeye geçer.

Açıkça söylenmesi gereken bir nokta daha var: sağlayıcının kendi işlemesinin GDPR'ye uygun olması, sizin 6698 sayılı Kanun'dan doğan yükümlülüklerinizi ortadan kaldırmaz. İkisi ayrı hukuk düzenidir ve biri diğerinin yerini almaz; Kurum da bunu duyurularında hatırlatmıştır. Ve sık atlanan bir ayrıntı: yurt dışından yapılan bir destek erişimi de aktarımdır. Sorunun kendisi tek cümledir — veriler nerede duruyor ve nereden erişilebiliyor? — ve yanıtı, kişisel veri işleme envanterinizde zaten bulunması gereken bilgidir.