Veri İşleme Sözleşmesi (DPA) Nedir, Ne Zaman Zorunludur?

Veri işleme sözleşmesi, bir veri sorumlusunun kişisel veriyi kendi adına işleyecek bir hizmet sağlayıcıyla imzalamak zorunda olduğu, GDPR m. 28(3)'te asgari içeriği belirlenmiş bağlayıcı bir hukuki metindir. Taraflar arasında veri sorumlusu ve veri işleyen ilişkisi kurulduğu her durumda zorunludur; tarafların tercihine bırakılmış bir belge değildir.

Sözleşmenin yazılı olması gerekir, ancak elektronik biçim de yazılı sayılır (m. 28(9)). Sözleşmenin varlığı yükümlülüğün yalnızca ilk yarısıdır; ikinci yarısı, sözleşme imzalanmadan önce hizmet sağlayıcının yeterliliğinin değerlendirilmiş olmasıdır.

Hangi durumda zorunlu, hangi durumda gereksiz?

Üç ilişki tipini birbirinden ayırmak gerekir. Uygulamadaki hataların çoğu bu ayrımın atlanmasından doğar.

Veri sorumlusu ile veri işleyen arasında: DPA zorunludur. Hizmet sağlayıcı verinin amacını belirlemiyor, yalnızca sizin talimatınızla işliyorsa m. 28(3) devreye girer. Bulut yazılım sağlayıcıları, bordro hizmeti veren firmalar, çağrı merkezleri ve pazarlama otomasyonu araçları tipik örneklerdir.

İki ortak veri sorumlusu arasında: DPA değil, m. 26 düzenlemesi gerekir. Taraflar amacı ve temel araçları birlikte belirliyorsa aralarındaki ilişki farklı bir hukuki rejime tabidir. Bu ilişkiye DPA imzalamak, yanlış yükümlülük dağılımı üretir ve tarafların gerçek konumunu gizlemez.

İki bağımsız veri sorumlusu arasında: DPA gerekmez. Her iki taraf da kendi amacını izliyorsa ortada bir işleyen ilişkisi yoktur. Bu tür aktarımlar için m. 28 değil, veri paylaşımına ilişkin ayrı bir sözleşmesel çerçeve ve her iki taraf için ayrı hukuki dayanaklar gerekir.

Bir dördüncü durum daha var ve sık karıştırılıyor: kendi çalışanınız veri işleyen değildir. Veri sorumlusunun yetkisi altında veriye erişen kişiler m. 29 kapsamındadır; onlarla DPA imzalanmaz, iş sözleşmesi ve iç politika yeterlidir.

Grup içi yapılarda dikkatli olmak gerekir. Bir bankanın şubelerinin üçüncü kişi sayılmayacağı yönünde eski bir Çalışma Grubu 29 değerlendirmesi bulunmakla birlikte, bu, ayrı tüzel kişiliğe sahip grup şirketlerine doğrudan genellenemez. Aynı grubun iki ayrı şirketi arasında da rol tespiti yapılmalı ve gerekiyorsa DPA imzalanmalıdır.

Sözleşmede bulunması zorunlu olan nedir?

Madde 28(3) iki katmanlı bir liste kurar. Birinci katman, işlemenin çerçevesini tanımlayan unsurlardır: işlemenin konusu, süresi, niteliği, amacı, işlenen kişisel veri türleri, ilgili kişi kategorileri ve veri sorumlusunun hak ve yükümlülükleri.

İkinci katman, veri işleyene yüklenen sekiz somut yükümlülüktür:

1. Veriyi yalnızca belgelenmiş talimatlar doğrultusunda işlemek, yurt dışı aktarımlar dâhil (m. 28(3)(a)).

2. Veriye erişen kişilerin gizlilik taahhüdü altında olmasını sağlamak.

3. m. 32 uyarınca gereken güvenlik tedbirlerini almak.

4. Alt işleyici kullanımına ilişkin koşullara uymak.

5. İlgili kişi taleplerinin karşılanmasında veri sorumlusuna teknik ve idari destek vermek.

6. m. 32 ilâ 36 arasındaki yükümlülüklerin yerine getirilmesinde destek vermek (güvenlik, ihlal bildirimi, DPIA, ön danışma).

7. Hizmet sona erdiğinde veriyi veri sorumlusunun tercihine göre silmek veya iade etmek, kopyaları imha etmek.

8. Uyumu kanıtlamak için gereken bilgiyi sağlamak ve denetimlere izin vermek, bunlara katkıda bulunmak.

Aynı fıkranın son cümlesi bir de karşı yükümlülük getirir: veri işleyen, bir talimatın Tüzüğü ihlal ettiği kanaatindeyse bunu derhâl veri sorumlusuna bildirmek zorundadır. Bu hüküm, veri işleyeni pasif bir uygulayıcı olmaktan çıkarır.

Bu liste bir asgaridir. Denetim otoritelerinin yerleşik yaklaşımına göre, m. 28(3)'ün metnini kopyalayıp yapıştırmakla yetinen bir sözleşme yükümlülüğü karşılamaz; her yükümlülüğün somut işleme ilişkisine göre içeriklendirilmesi beklenir. Örneğin "denetimlere izin verilir" ifadesi tek başına yeterli değildir; denetimin sıklığı, kapsamı, bildirimi ve masrafı belirlenmelidir.

Sözleşmeden önceki yükümlülük: yeterli güvenceler

Madde 28(1) çoğu zaman gözden kaçar ve aslında sözleşmeden daha önce gelir: veri sorumlusu yalnızca yeterli güvence sunan işleyenlerle çalışabilir. Gerekçe 81 bu güvenceyi üç unsurla açar: uzmanlık bilgisi, güvenilirlik ve kaynaklar.

Bunun pratik anlamı, tedarikçi seçiminin bir uyum işlemi olduğudur. Veri sorumlusundan beklenen üç şey vardır: güvenilir bir işleyen seçmek, ilişki boyunca kalite ve uyum kontrolünü sürdürmek, ve ilişkiyi gerekli hükümleri içeren bağlayıcı bir hukuki metinle çerçevelemek. Üçü birden yapılmamışsa, sözleşmenin varlığı tek başına savunma üretmez.

m. 28(5) burada pratik bir kolaylık sağlar: işleyenin onaylı bir davranış kuralına veya sertifikasyon mekanizmasına bağlılığı, yeterli güvencenin kanıtlanmasında bir unsur olarak kullanılabilir. Tek başına yeterli değildir, ancak dosyaya konulabilecek somut bir delildir.

Uygulamadaki üç yaygın hata

Birinci hata: alt işleyici zincirinin kesilmesi. m. 28(4), veri işleyenin bir alt işleyen kullanması hâlinde aynı yükümlülüklerin sözleşmeyle alt işleyene de yüklenmesini zorunlu kılar. Daha da önemlisi, alt işleyen yükümlülüğünü yerine getirmezse ilk işleyen veri sorumlusuna karşı tam sorumlu kalmaya devam eder. Zincirin herhangi bir halkasında koruma seviyesinin düşmesi, sorumluluğu yukarı doğru taşır.

Ayrıca alt işleyen kullanımı veri sorumlusunun önceden yazılı iznine bağlıdır (m. 28(2)). Genel izin verilmişse, işleyen alt işleyen değişikliklerini bildirmek ve veri sorumlusuna itiraz imkânı tanımak zorundadır. Bildirim yükümlülüğü olmayan bir genel izin hükmü, maddeye aykırıdır.

İkinci hata: iki farklı SCC'nin karıştırılması. Komisyon 4 Haziran 2021'de iki ayrı standart sözleşme hükümleri seti kabul etti. 2021/914 sayılı karar, üçüncü ülkelere yapılan aktarımlar için uygun güvence sağlar. 2021/915 sayılı karar ise m. 28 kapsamındaki veri sorumlusu-veri işleyen ilişkisi içindir ve aktarım güvencesi sağlamaz.

Bu iki belge birbirinin yerine geçmez. Avrupa Ekonomik Alanı içinde kalan bir işleyen ilişkisi için 2021/915 yeterlidir. İşleyen üçüncü ülkedeyse her ikisi de gerekir: m. 28 yükümlülükleri için biri, Bölüm V dayanağı için diğeri. Uygulamada en sık görülen hata, aktarım SCC'sinin imzalanıp m. 28 içeriğinin hiç kurulmamasıdır.

Üçüncü hata: sözleşmenin operasyondan kopması. DPA'da "belgelenmiş talimatlar" ifadesi geçer, ancak talimatların nerede belgelendiği çoğu ilişkide tanımsızdır. Talimat kayıt mekanizması kurulmamışsa, işleyenin talimat dışına çıkıp çıkmadığı sonradan ispat edilemez. Bu, uyuşmazlık hâlinde her iki tarafı da savunmasız bırakır.

DPA imzalanmazsa ne olur?

Madde 28 ihlali, GDPR m. 83(4) uyarınca 10 milyon avroya veya küresel yıllık cironun %2'sine kadar idari para cezasına tabidir. İki tutardan yüksek olanı uygulanır.

Bu, üst kademe değildir. Ancak DPA eksikliği çoğu zaman tek başına kalmaz: sözleşme yoksa işlemenin talimat çerçevesi de yoktur ve bu durum genellikle hukuka uygunluk ve şeffaflık ilkelerinin ihlaliyle birlikte tespit edilir. O noktada m. 83(5) kademesi devreye girer ve tavan 20 milyon avroya veya cironun %4'üne çıkar.

Sorumluluk her iki tarafa da düşer. m. 28 yükümlülüğü veri sorumlusuna aittir, ancak sözleşmesiz işleme yapan işleyen de kendi yükümlülüklerini ihlal etmiş olur. Talimat dışına çıkılması veya talimata uyulmaması sonucu zarar doğduğunda, yalnızca veri sorumlusu değil veri işleyen de sorumlu tutulabilir.

GDPR ile KVKK arasındaki fark

Bu konuda iki rejim arasındaki mesafe, diğer başlıklara göre daha büyüktür.

• KVKK'da m. 28 karşılığı bir hüküm yoktur. Kanun, veri sorumlusu ile veri işleyen arasında sözleşme yapılmasını açıkça zorunlu kılmaz ve asgari içerik listesi öngörmez. GDPR m. 28(3)'ün sekiz bentlik yapısının Türk hukukunda bir muadili bulunmamaktadır.

• Buna rağmen sözleşme fiilen zorunludur. KVKK m. 12(2), verinin kendi adına başka bir kişi tarafından işlenmesi hâlinde veri sorumlusunu güvenlik tedbirlerinin alınması bakımından o kişiyle müştereken sorumlu tutar. Bu sorumluluğu yönetmenin tek yolu sözleşmedir. Kurul'un veri güvenliğine ilişkin rehber ve kararları da yazılı bir düzenleme beklentisini ortaya koymaktadır.

• Gizlilik yükümlülüğü sözleşmeye değil kanuna dayanır. KVKK m. 12(4), veri sorumlusu ve veri işleyenin öğrendikleri kişisel verileri Kanun'a aykırı şekilde açıklayamayacağını ve işleme amacı dışında kullanamayacağını doğrudan düzenler; bu yükümlülük görevden ayrılmadan sonra da sürer. GDPR'da aynı sonuç m. 28(3)(b) üzerinden sözleşmeye yüklenerek elde edilir. Türk hukukunda bu hüküm sözleşmeden bağımsız olarak işler.

• Alt işleyici zinciri düzenlenmemiştir. GDPR m. 28(2) ve 28(4)'ün karşılığı Kanun'da yoktur. Alt işleyici kullanımının izne bağlanması, yükümlülüklerin zincire aktarılması ve ilk işleyenin tam sorumlu kalmaya devam etmesi kuralları Türk hukukunda sözleşmeyle kurulmak zorundadır.

• Ceza muhatabı farklıdır. KVKK m. 18(2) uyarınca m. 12'deki veri güvenliği yükümlülüğüne aykırılık cezası yalnızca veri sorumlusuna uygulanır. GDPR m. 83'te ise veri işleyen doğrudan ceza muhatabı olabilir. Türkiye'de hizmet veren bir işleyen açısından bu, GDPR kapsamına girdiği anda risk profilinin niteliksel olarak değiştiği anlamına gelir.

Pratik sonuç şudur: GDPR m. 28 standardında hazırlanmış tek bir sözleşme her iki rejimi de karşılar. Tersi geçerli değildir. İki rejime tabi şirketler için metnin GDPR standardında kurulması, iki ayrı belge yönetmekten hem daha güvenli hem daha ucuzdur.

Sıkça Sorulan Sorular

1. Tedarikçinin standart DPA'sını imzalamak yeterli mi? Hukuken geçerli olabilir, ancak yeterli olduğu anlamına gelmez. Büyük hizmet sağlayıcıların standart metinleri m. 28(3) unsurlarını genellikle karşılar, fakat denetim hakkı, alt işleyici itiraz süresi ve ihlal bildirim süresi gibi noktalarda veri sorumlusu aleyhine daraltılmış olabilir. En az bu üç başlık okunmalıdır.

2. DPA geriye dönük imzalanabilir mi? İmzalanabilir, ancak imza tarihinden önceki işleme sözleşmesiz kalmış olur ve bu ihlal ortadan kalkmaz. Geriye dönük imza, ihlali sona erdirir; gerçekleşmiş olanı silmez.

3. Hizmet sağlayıcı denetim hakkını kabul etmiyorsa ne yapılmalı? m. 28(3)(h) denetime izin verilmesini zorunlu kılar, ancak denetimin biçimi müzakereye açıktır. Yerinde denetim yerine bağımsız denetçi raporu veya sertifikasyon kanıtı kabul edilebilir. Denetim hakkının tamamen reddedilmesi ise maddeye aykırıdır.

4. Sözleşme sona erdiğinde veri ne olur? Tercih veri sorumlusuna aittir: silme veya iade. m. 28(3)(g) bu tercihi veri sorumlusuna bırakır ve mevcut kopyaların da imhasını gerektirir. Yalnızca Birlik veya üye devlet hukuku saklamayı zorunlu kılıyorsa istisna doğar. Sözleşmede "sağlayıcı kendi politikası uyarınca siler" ifadesi bu hükme aykırıdır.

5. KVKK bakımından da benzer bir sözleşme gerekiyor mu? Türk hukukunda veri işleyenle ilişkiye dair GDPR m. 28 kadar ayrıntılı bir asgari içerik listesi bulunmamaktadır. Uygulamada GDPR standardında hazırlanan bir sözleşme her iki rejimi de karşılar; tersi geçerli değildir. Her iki rejime tâbi şirketler için tek bir metnin GDPR standardında kurulması pratik çözümdür.

KVK ve GDPR Uyum Serisi

Bu yazı serisi ile Avrupa’da faaliyet göstermek isteyen Türkiye’de kurulu firmalara GDPR ve uyum hakkında bilgi vermek amaçlanmıştır.

1) Veri Sorumlusu mu Veri İşleyen mi?
2) Yurt Dışına Veri Aktarımı Nasıl Yapılır?
3) Veri İşleme Sözleşmesi (DPA) Nedir, Ne Zaman Yapılır?
4) Standart Sözleşme Hükümleri (SCC) Nedir?

Sorularınız mı var?