Veri işleyen–veri sorumlusu sözleşmesi (DPA) hangi unsurları taşımalı?

Süreci bir bakışta görün

1. 1Veri envanterini ve işleme amaçlarını çıkarın

   Olayın ilgili belgelerini, taraflarını ve tarihlerini bir araya getirin; işlem ve başvuru koşullarını somut dosya ile güncel resmî metinden ayrıca doğrulayın.

2. 2Taraf rollerini test edin

   Olayın ilgili belgelerini, taraflarını ve tarihlerini bir araya getirin; işlem ve başvuru koşullarını somut dosya ile güncel resmî metinden ayrıca doğrulayın.

3. 3DPA eklerine güvenlik/SLA ve ihlal akışı koyun

   Olayın ilgili belgelerini, taraflarını ve tarihlerini bir araya getirin; işlem ve başvuru koşullarını somut dosya ile güncel resmî metinden ayrıca doğrulayın.

4. 4Sözleşme bitince iade/silme kanıtını alın

   Belgenin tüm sayfalarını, tarihini, kaynağını ve eklerini aynı dosyada koruyun; eksik veya doğrulanmamış noktaları ayrıca işaretleyin.

Birbirine karıştırılmaması gerekenler

Kısa cevap: Veri işleyen–veri sorumlusu sözleşmesi (DPA) hangi unsurları taşımalı?

DPA, hizmet sağlayıcının hangi kişisel veriyi, kimin talimatıyla, ne amaçla ve ne kadar süre işleyeceğini somutlaştırmalıdır. İşleme eki, güvenlik önlemleri, alt işleyenler, ihlal bildirimi, denetim ve sözleşme bitiminde iade/silme planı birlikte kurulmalıdır. DPA imzalamak veri işlemeye veya yurt dışına aktarmaya tek başına hukuki dayanak yaratmaz.

Kapsamı ve benzer işlemlerden ayrımı

Önce uygulanacak hukuk ve tarafların fiilî rolünü belirleyin. KVKK’da sorumlu/işleyen sıfatı sözleşmedeki etiketten değil amaç ve araçlara ilişkin gerçek karar yetkisinden doğar. GDPR uygulanıyorsa m. 28’in sözleşme gerekleri ayrıca incelenir; bu madde Türk hukukunda bütün ilişkiler için aynı başlıkla zorunlu bir form varmış gibi sunulamaz. Aydınlatma, açık rıza, gizlilik taahhüdü ve DPA farklı işlevler görür.

Şartlar ve kontrol kriterleri

İşleme ekine hizmetin konusu, amacı, niteliği ve süresi; ilgili kişi grupları; veri kategorileri; varsa özel nitelikli veriler; erişim yetkileri ve işleme yerleri yazılmalıdır. “Gerekli bütün veriler” yerine örneğin müşteri destek hizmetinde ad/iletişim/sipariş bilgisi gibi gerçek akış tarif edilmelidir. Veri işleyenin kendi amacı için kullanımına ilişkin bir hüküm varsa taraf rolleri yeniden incelenir.

Adım adım ne yapmalısınız?

Önce veri akışını ve talimat verecek kişileri çıkarın. Sonra güvenlik ekini doldurun: erişim sınırı, kimlik doğrulama, şifreleme gereken alanlar, loglama, yedekleme, silme ve olay müdahalesi. Alt işleyenin kimliği, görevi, bulunduğu ülke, yeni alt işleyen ekleme/bildirim veya onay usulü ve aynı korumaların zincire yansıtılması düzenlensin. İlgili kişi başvuruları, denetim ve bilgi sağlama yükümlülükleri için gerçek muhatap belirleyin.

Süreler ve kritik tarihler

Veri işleyen nezdindeki ihlal veri sorumlusuna gecikmeksizin bildirilmelidir. Kurulun 2019/10 kararında, veri sorumlusunun ihlali öğrendiğinden itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirimi; etkilenen kişilere ise belirlenmelerinin ardından makul en kısa sürede bildirim düzenlenir. Veri işleyene 72 saat bekleme hakkı tanımayın. Bilgiler tamamlanmamışsa aşamalı bildirim imkânı değerlendirilir; tüm araştırmanın bitmesini beklemek genel mazeret değildir.

Somut senaryo ile düşünün

Türkiye’deki müşteri verisini işleyen bulut tedarikçisi yurt dışındaki alt sağlayıcıya erişim açıyorsa, yalnız “alt işleyen kullanılabilir” cümlesi yeterli değildir. Rol, ülke ve aktarım akışı ile KVKK 9’daki uygun yol ayrı kurulmalıdır. Kurulun ilan ettiği yurt dışı aktarım standart sözleşmesi kullanılıyorsa imzadan itibaren beş iş günü içinde Kuruma bildirim kuralı vardır. Genel DPA ile bu standart sözleşme aynı belge değildir.

Hangi belgeleri hazırlamalısınız?

Ana hizmet sözleşmesi, veri akış şeması, işleme eki, güvenlik eki, alt işleyen/ülke listesi, olay iletişim planı, denetim kayıtları ve iade/silme planını bir araya getirin. Sona ermede hangi verinin iade edileceği, hangisinin silineceği, yedeklerin ne zaman döngüden çıkacağı ve kanuni saklama zorunluluklarının nasıl ayrılacağı yazılmalıdır. Silme tamamlandı iddiası kayıtla desteklenmelidir.

En sık yapılan hatalar

Boş ekli şablon imzalamak; hizmet seviyesi hedefini veri güvenliği garantisi saymak; DPA’yı açık rıza yerine koymak; veri sorumlusunun bütün kanuni sorumluluğunu sözleşmeyle devrettiğini sanmak önemli hatalardır. KVKK 12’deki güvenlik tedbirleri yönünden birlikte sorumluluk, taraflar arasındaki tazmin/rücu maddesinden ayrıdır.

Sonraki adım ve sorumluluk reddi

İmzadan önce her kişisel veri akışı için taraf, amaç, veri grubu, yer, süre, alt işleyen ve güvenlik önlemi alanlarını doldurun. Ekler gerçek sistemi anlatmıyorsa sözleşme incelemesi tamamlanmış sayılmaz. Bu rehber genel kontrol çerçevesidir; sektör, özel nitelikli veri, aktarım ve yabancı hukuk koşulları ayrıca değerlendirilir.