Madde 28

Veri sorumlusu, kendi adına yapılacak işleme için yalnız yeterli güvence sunan veri işleyeni kullanabilir. Aranan güvence, veri işleyenin Tüzüğe uygun işleme yapmasını sağlayacak teknik ve kurumsal tedbirleri uygulayabilecek durumda olmasını ve ilgili kişi haklarını koruyabilmesini kapsar.1

Seçim yapılırken veri işleyenin uzmanlığı, güvenilirliği, kaynakları ve somut işleme için önerdiği tedbirler dikkate alınabilir. Onaylı davranış kurallarına veya sertifika düzenine uyum da yeterli güvencelerin gösterilmesinde kullanılabilir. Bunlardan birine sahip olmak, veri sorumlusunun somut hizmet ve risk bakımından yapacağı değerlendirmeyi ortadan kaldıramaz.2

Yeterli güvence yalnız sözleşmenin kurulduğu tarihte aranmaz. Hizmetin kapsamı, kullanılan sistem veya risk değiştiğinde veri sorumlusunun seçimini dayandırdığı şartlar yeniden incelenmelidir. Bu incelemenin kapsamı, işleme faaliyetinin niteliğine ve ortaya çıkabilecek zararın ağırlığına göre belirlenecektir.3

Veri işleyenin faaliyeti, kendisini veri sorumlusuna karşı bağlayan bir sözleşmeye veya Birlik ya da üye devlet hukukuna dayanan başka bir hukuki işleme tabi olmalıdır. Bu metinde işlemenin konusu ve süresi, niteliği ve amacı, kişisel veri türleri, ilgili kişi kategorileri ile veri sorumlusunun yükümlülük ve hakları gösterilmelidir.1

Sözleşme veya hukuki işlem yazılı olmalıdır. Elektronik biçim bu şartı karşılayabilir. Taraflar kendi metinlerini hazırlayabilecekleri gibi m.28/6 ila 8 uyarınca kabul edilen standart sözleşme hükümlerini de kullanabilir. Standart bir metnin seçilmesi, gerçek hizmetin konusu ile veri akışının sözleşmede doğru gösterilmesi gereğini ortadan kaldıramaz.2

Sözleşme, tarafların hangi işi nasıl yürüteceğini ve birbirlerine karşı yükümlülüklerini belirler. Bununla birlikte veri sorumlusu, kendi adına işleme yaptırdığı için GDPR kapsamında kendisine yönelen yükümlülükleri sözleşmeyle veri işleyene devredemez. Veri işleyenin GDPR m.32 gibi doğrudan yükümlülükleri de yalnız sözleşmeden doğmuş sayılmaz.3

Veri işleyen, üçüncü ülkeye veya uluslararası kuruluşa aktarım dahil olmak üzere kişisel verileri yalnız veri sorumlusunun belgelendirilmiş talimatları doğrultusunda işleyebilir. Talimat, sözleşmede genel olarak veya hizmet sürerken belirli bir işlem için verilebilir. Her iki durumda da hangi işlemenin veri sorumlusunun iradesine dayandığı sonradan gösterilebilmelidir.1

Birlik veya üye devlet hukuku veri işleyeni belirli bir işlemeyi yapmaya zorluyorsa veri sorumlusunun talimatı aranmaz. Veri işleyen, kamu yararına dayanan bir kanuni yasak bulunmadıkça bu zorunluluğu işlemeden önce veri sorumlusuna bildirmelidir.2

Veri işleyen, aldığı talimatın GDPR'a veya diğer Birlik ya da üye devlet veri koruma hükümlerine aykırı olduğu görüşündeyse veri sorumlusunu gecikmeksizin bilgilendirir.3 Veri sorumlusu bu bildirimin ardından talimatı sürdürüp sürdürmeyeceğini yeniden değerlendirmelidir. Veri işleyenin aykırı gördüğü talimatı uygulayıp uygulayamayacağı sözleşme ve uygulanabilir hukuk çerçevesinde belirlenecektir.4

Sözleşme, kişisel verileri işleme yetkisi verilen kişilerin gizlilik yükümlülüğü altında olmasını ve veri işleyenin GDPR m.32'deki bütün tedbirleri almasını sağlamalıdır.1 Veri işleyen ayrıca işlemenin niteliğini gözeterek ilgili kişi taleplerinin cevaplanmasında veri sorumlusuna uygun teknik ve kurumsal tedbirlerle yardım eder. Bu yardım, teknik olarak olanaklı olduğu ölçüde sağlanacaktır.2

Güvenlik, kişisel veri ihlali bildirimi, veri koruma etki değerlendirmesi ve ön danışma yükümlülüklerinde yardımın kapsamı daha geniştir. Burada işlemenin niteliği ile veri işleyenin elindeki bilgiler dikkate alınır. Veri işleyen, veri sorumlusunun yükümlülüklerini onun yerine üstlenmiş olmaz. Ancak yalnız kendi sisteminde bulunan bir bilgiyi saklayarak veri sorumlusunun Tüzüğe uyumunu olanaksız hale getiremez.3

Hizmet sona erdiğinde veri işleyen, veri sorumlusunun seçimine göre bütün kişisel verileri iade eder veya siler ve mevcut kopyaları da kaldırır. Birlik ya da üye devlet hukukunun saklamayı zorunlu kıldığı veriler bu kuralın dışındadır.4 Veri işleyen, m.28'e uyduğunu göstermek için gereken bilgileri sunmalı ve veri sorumlusunun ya da onun görevlendirdiği denetçinin yaptığı denetimlere katkı sağlamalıdır.5

Veri işleyen, veri sorumlusunun önceden verdiği özel veya genel yazılı yetki olmadan başka bir veri işleyeni görevlendiremez. Genel yetki verilmişse eklenecek veya değiştirilecek alt veri işleyenler veri sorumlusuna bildirilmelidir. Böylece veri sorumlusu değişikliğe itiraz etme olanağı bulur.1

Alt veri işleyenle kurulacak sözleşme veya diğer hukuki işlem, ilk veri işleyenin sözleşmesindeki veri koruma yükümlülüklerini alt veri işleyene de yöneltmelidir. Özellikle uygun teknik ve kurumsal tedbirler için yeterli güvence aranır.2

Alt veri işleyen kendi yükümlülüklerini yerine getirmezse ilk veri işleyen, bu yükümlülüklerin ifasından veri sorumlusuna karşı tamamen sorumlu kalır. Bu düzenleme, alt veri işleyenin Tüzükten doğabilecek sorumluluğunu ortadan kaldırdığı biçiminde yorumlanamaz.3

Veri işleyen, veri sorumlusunun talimatları içinde onun adına hareket eder. İşlemenin amaç ve araçlarını kendisi belirlemeye başlarsa GDPR m.28/10 uyarınca yalnız bu işleme bakımından veri sorumlusu sayılır.1 Tarafların sözleşmede kullandığı ad, fiilen kimin karar verdiğine ilişkin incelemenin yerine geçemez.2

Bu sonuç, hizmet ilişkisindeki bütün işlemelerin tek seferde yeniden nitelendirilmesini gerektirmez. Aynı kuruluş, bazı işlemleri veri sorumlusunun talimatıyla veri işleyen olarak yürütürken kendi belirlediği ayrı bir işleme bakımından veri sorumlusu olabilir. Hangi sıfatın geçerli olduğu her işleme faaliyeti için amaç ve araçlar üzerindeki gerçek karar yetkisine göre belirlenecektir.3

Sıfat değişikliği, veri işleyenin talimat dışına çıkmasının sözleşmeye aykırı olup olmadığı sorusundan ayrıdır. GDPR m.28/10, Tüzüğün veri sorumlusuna yönelttiği yükümlülüklerin belirlenen amaç ve araçlar üzerindeki fiili yetki nedeniyle ilgili işlemeye uygulanmasını sağlar.4

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), veri işleyeni veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi olarak tanımlar.1 Veri sorumlusu, kendi adına başka bir kişi veri işlediğinde güvenlik tedbirlerinin alınması bakımından bu kişiyle birlikte sorumludur. Veri sorumlusu gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumlusu ile veri işleyen, öğrendikleri kişisel verileri kanuna aykırı biçimde açıklayamaz ve işleme amacı dışında kullanamaz.2

GDPR m.28, bu genel ilişkiden daha ayrıntılı bir sözleşme düzeni kurar. Veri işleyenin seçimi, belgelendirilmiş talimat, alt veri işleyene önceden yazılı yetki, ilgili kişi haklarına yardım, hizmet sonunda iade veya silme ve denetim başlıkları asgari sözleşme içeriğine dahil edilmiştir. KVKK'nin kanun metninde aynı ayrıntıda bir sözleşme kataloğu bulunmaz.3

Bu fark, KVKK kapsamındaki veri sorumlusu ile veri işleyen ilişkisinin sözleşmesiz kurulabileceği anlamına gelmez. Sözleşmenin gerekliliği ve içeriği, somut işleme, KVKK m.12'deki güvenlik ve denetim yükümlülükleri ile uygulanabilir diğer düzenlemeler birlikte değerlendirilerek belirlenecektir. GDPR m.28'deki katalog Türk hukukuna aynen taşınamaz, ancak sorumlulukların ve denetim olanaklarının açıkça belirlenmesinde karşılaştırmalı bir ölçü sunabilir.4