GDPR İlgili Dibaceler 2 dibace
Recital 79
The protection of the rights and freedoms of data subjects as well as the responsibility and liability of controllers and processors, also in relation to the monitoring by and measures of supervisory authorities, requires a clear allocation of the responsibilities under this Regulation, including where a controller determines the purposes and means of the processing jointly with other controllers or where a processing operation is carried out on behalf of a controller.
Recital 81
To ensure compliance with the requirements of this Regulation in respect of the processing to be carried out by the processor on behalf of the controller, when entrusting a processor with processing activities, the controller should use only processors providing sufficient guarantees, in particular in terms of expert knowledge, reliability and resources, to implement technical and organisational measures which will meet the requirements of this Regulation, including for the security of processing. The adherence of the processor to an approved code of conduct or an approved certification mechanism may be used as an element to demonstrate compliance with the obligations of the controller. The carrying-out of processing by a processor should be governed by a contract or other legal act under Union or Member State law, binding the processor to the controller, setting out the subject-matter and duration of the processing, the nature and purposes of the processing, the type of personal data and categories of data subjects, taking into account the specific tasks and responsibilities of the processor in the context of the processing to be carried out and the risk to the rights and freedoms of the data subject. The controller and processor may choose to use an individual contract or standard contractual clauses which are adopted either directly by the Commission or by a supervisory authority in accordance with the consistency mechanism and then adopted by the Commission. After the completion of the processing on behalf of the controller, the processor should, at the choice of the controller, return or delete the personal data, unless there is a requirement to store the personal data under Union or Member State law to which the processor is subject.
Dibace 79
Veri işleme faaliyetinin amaç ve yollarının veri sorumlusu tarafından diğer veri sorumlularıyla birlikte belirlendiği veya işleme faaliyetinin bir veri sorumlusu adına yapıldığı haller de dâhil olmak üzere, veri öznelerinin hak ve özgürlükleri ile denetim makamlarının izleme faaliyetleri ve tedbirlerine ilişkin veri sorumlusu ve veri işleyenlerin sorumluluk ve yükümlülüklerinin korunması, bu Tüzük kapsamındaki sorumlulukların açık bir şekilde dağıtılmasını gerektirir.
Dibace 81
Veri sorumlusu adına veri işleyen tarafından gerçekleştirilecek işleme faaliyeti ile ilgili olarak bu Tüzük'ün gerekliliklerine uyum sağlanması amacıyla, bir veri işleyene işleme faaliyetlerini devrederken veri sorumlusu, işleme faaliyetinin güvenliği de dâhil, bu Tüzük'ün gerekliliklerini yerine getirecek teknik ve kurumsal tedbirleri uygulamak için özellikle uzman bilgisi, güvenilirlik ve kaynaklar bağlamında yalnızca yeterli güvenceleri sağlayan veri işleyenleri kullanmalıdır. Veri işleyenin onaylı davranış kurallarına veya bir onaylı belgelendirme mekanizmasına riayeti, veri sorumlusunun yükümlülüklerine uyumunu kanıtlamak için bir unsur olarak kullanılabilir. İşleme faaliyetinin bir veri işleyen tarafından yürütülmesi, Birlik veya Üye Devlet hukuku çerçevesinde düzenlenen, veri işleyeni veri sorumlusuna bağlayan ve yürütülecek işleme faaliyeti ve veri öznesinin hak ve özgürlüklerine yönelik riskler bağlamında veri işleyenin spesifik görev ve sorumlulukları dikkate alınmak suretiyle işleme faaliyetinin konusunun ve süresinin, işleme faaliyetinin mahiyetinin ve amaçlarının, kişisel verilerin türünün ve veri öznelerinin kategorilerinin belirlendiği bir sözleşme veya başka bir hukuki tasarruf ile düzenlenmelidir. Veri sorumlusu ve veri işleyen, münferit bir sözleşmeyi veya doğrudan Komisyon tarafından kabul edilen standart sözleşme hükümlerini ya da tutarlılık mekanizmasına uygun olarak bir denetim makamı ve takiben Komisyon tarafından kabul edilen standart sözleşme hükümlerini kullanmayı tercih edebilir. Veri sorumlusu adına işlemenin tamamlanmasının ardından, Birlik hukuku veya veri işleyenin tabi olduğu Üye Devlet hukuku uyarınca kişisel verilerin depolanmasına ilişkin bir gereklilik olmadığı müddetçe, veri işleyen, veri sorumlusunun seçimine bağlı olarak kişisel verileri iade etmeli veya silmelidir.
Seçim ve yeterli güvenceler
Veri sorumlusu, kendi adına yapılacak işleme için yalnız yeterli güvence sunan veri işleyeni kullanabilir. Aranan güvence, veri işleyenin Tüzüğe uygun işleme yapmasını sağlayacak teknik ve kurumsal tedbirleri uygulayabilecek durumda olmasını ve ilgili kişi haklarını koruyabilmesini kapsar.1
Seçim yapılırken veri işleyenin uzmanlığı, güvenilirliği, kaynakları ve somut işleme için önerdiği tedbirler dikkate alınabilir. Onaylı davranış kurallarına veya sertifika düzenine uyum da yeterli güvencelerin gösterilmesinde kullanılabilir. Bunlardan birine sahip olmak, veri sorumlusunun somut hizmet ve risk bakımından yapacağı değerlendirmeyi ortadan kaldıramaz.2
Yeterli güvence yalnız sözleşmenin kurulduğu tarihte aranmaz. Hizmetin kapsamı, kullanılan sistem veya risk değiştiğinde veri sorumlusunun seçimini dayandırdığı şartlar yeniden incelenmelidir. Bu incelemenin kapsamı, işleme faaliyetinin niteliğine ve ortaya çıkabilecek zararın ağırlığına göre belirlenecektir.3
Sözleşmenin kapsamı
Veri işleyenin faaliyeti, kendisini veri sorumlusuna karşı bağlayan bir sözleşmeye veya Birlik ya da üye devlet hukukuna dayanan başka bir hukuki işleme tabi olmalıdır. Bu metinde işlemenin konusu ve süresi, niteliği ve amacı, kişisel veri türleri, ilgili kişi kategorileri ile veri sorumlusunun yükümlülük ve hakları gösterilmelidir.1
Sözleşme veya hukuki işlem yazılı olmalıdır. Elektronik biçim bu şartı karşılayabilir. Taraflar kendi metinlerini hazırlayabilecekleri gibi m.28/6 ila 8 uyarınca kabul edilen standart sözleşme hükümlerini de kullanabilir. Standart bir metnin seçilmesi, gerçek hizmetin konusu ile veri akışının sözleşmede doğru gösterilmesi gereğini ortadan kaldıramaz.2
Sözleşme, tarafların hangi işi nasıl yürüteceğini ve birbirlerine karşı yükümlülüklerini belirler. Bununla birlikte veri sorumlusu, kendi adına işleme yaptırdığı için GDPR kapsamında kendisine yönelen yükümlülükleri sözleşmeyle veri işleyene devredemez. Veri işleyenin GDPR m.32 gibi doğrudan yükümlülükleri de yalnız sözleşmeden doğmuş sayılmaz.3
Talimat ve kanuni zorunluluk
Veri işleyen, üçüncü ülkeye veya uluslararası kuruluşa aktarım dahil olmak üzere kişisel verileri yalnız veri sorumlusunun belgelendirilmiş talimatları doğrultusunda işleyebilir. Talimat, sözleşmede genel olarak veya hizmet sürerken belirli bir işlem için verilebilir. Her iki durumda da hangi işlemenin veri sorumlusunun iradesine dayandığı sonradan gösterilebilmelidir.1
Birlik veya üye devlet hukuku veri işleyeni belirli bir işlemeyi yapmaya zorluyorsa veri sorumlusunun talimatı aranmaz. Veri işleyen, kamu yararına dayanan bir kanuni yasak bulunmadıkça bu zorunluluğu işlemeden önce veri sorumlusuna bildirmelidir.2
Veri işleyen, aldığı talimatın GDPR'a veya diğer Birlik ya da üye devlet veri koruma hükümlerine aykırı olduğu görüşündeyse veri sorumlusunu gecikmeksizin bilgilendirir.3 Veri sorumlusu bu bildirimin ardından talimatı sürdürüp sürdürmeyeceğini yeniden değerlendirmelidir. Veri işleyenin aykırı gördüğü talimatı uygulayıp uygulayamayacağı sözleşme ve uygulanabilir hukuk çerçevesinde belirlenecektir.4
Yardım ve hizmet sonrasındaki yükümlülükler
Sözleşme, kişisel verileri işleme yetkisi verilen kişilerin gizlilik yükümlülüğü altında olmasını ve veri işleyenin GDPR m.32'deki bütün tedbirleri almasını sağlamalıdır.1 Veri işleyen ayrıca işlemenin niteliğini gözeterek ilgili kişi taleplerinin cevaplanmasında veri sorumlusuna uygun teknik ve kurumsal tedbirlerle yardım eder. Bu yardım, teknik olarak olanaklı olduğu ölçüde sağlanacaktır.2
Güvenlik, kişisel veri ihlali bildirimi, veri koruma etki değerlendirmesi ve ön danışma yükümlülüklerinde yardımın kapsamı daha geniştir. Burada işlemenin niteliği ile veri işleyenin elindeki bilgiler dikkate alınır. Veri işleyen, veri sorumlusunun yükümlülüklerini onun yerine üstlenmiş olmaz. Ancak yalnız kendi sisteminde bulunan bir bilgiyi saklayarak veri sorumlusunun Tüzüğe uyumunu olanaksız hale getiremez.3
Hizmet sona erdiğinde veri işleyen, veri sorumlusunun seçimine göre bütün kişisel verileri iade eder veya siler ve mevcut kopyaları da kaldırır. Birlik ya da üye devlet hukukunun saklamayı zorunlu kıldığı veriler bu kuralın dışındadır.4 Veri işleyen, m.28'e uyduğunu göstermek için gereken bilgileri sunmalı ve veri sorumlusunun ya da onun görevlendirdiği denetçinin yaptığı denetimlere katkı sağlamalıdır.5
Alt veri işleyen
Veri işleyen, veri sorumlusunun önceden verdiği özel veya genel yazılı yetki olmadan başka bir veri işleyeni görevlendiremez. Genel yetki verilmişse eklenecek veya değiştirilecek alt veri işleyenler veri sorumlusuna bildirilmelidir. Böylece veri sorumlusu değişikliğe itiraz etme olanağı bulur.1
Alt veri işleyenle kurulacak sözleşme veya diğer hukuki işlem, ilk veri işleyenin sözleşmesindeki veri koruma yükümlülüklerini alt veri işleyene de yöneltmelidir. Özellikle uygun teknik ve kurumsal tedbirler için yeterli güvence aranır.2
Alt veri işleyen kendi yükümlülüklerini yerine getirmezse ilk veri işleyen, bu yükümlülüklerin ifasından veri sorumlusuna karşı tamamen sorumlu kalır. Bu düzenleme, alt veri işleyenin Tüzükten doğabilecek sorumluluğunu ortadan kaldırdığı biçiminde yorumlanamaz.3
Amaç ve araçların belirlenmesi
Veri işleyen, veri sorumlusunun talimatları içinde onun adına hareket eder. İşlemenin amaç ve araçlarını kendisi belirlemeye başlarsa GDPR m.28/10 uyarınca yalnız bu işleme bakımından veri sorumlusu sayılır.1 Tarafların sözleşmede kullandığı ad, fiilen kimin karar verdiğine ilişkin incelemenin yerine geçemez.2
Bu sonuç, hizmet ilişkisindeki bütün işlemelerin tek seferde yeniden nitelendirilmesini gerektirmez. Aynı kuruluş, bazı işlemleri veri sorumlusunun talimatıyla veri işleyen olarak yürütürken kendi belirlediği ayrı bir işleme bakımından veri sorumlusu olabilir. Hangi sıfatın geçerli olduğu her işleme faaliyeti için amaç ve araçlar üzerindeki gerçek karar yetkisine göre belirlenecektir.3
Sıfat değişikliği, veri işleyenin talimat dışına çıkmasının sözleşmeye aykırı olup olmadığı sorusundan ayrıdır. GDPR m.28/10, Tüzüğün veri sorumlusuna yönelttiği yükümlülüklerin belirlenen amaç ve araçlar üzerindeki fiili yetki nedeniyle ilgili işlemeye uygulanmasını sağlar.4
KVKK ile karşılaştırma
6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), veri işleyeni veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi olarak tanımlar.1 Veri sorumlusu, kendi adına başka bir kişi veri işlediğinde güvenlik tedbirlerinin alınması bakımından bu kişiyle birlikte sorumludur. Veri sorumlusu gerekli denetimleri yapmak veya yaptırmak zorundadır. Veri sorumlusu ile veri işleyen, öğrendikleri kişisel verileri kanuna aykırı biçimde açıklayamaz ve işleme amacı dışında kullanamaz.2
GDPR m.28, bu genel ilişkiden daha ayrıntılı bir sözleşme düzeni kurar. Veri işleyenin seçimi, belgelendirilmiş talimat, alt veri işleyene önceden yazılı yetki, ilgili kişi haklarına yardım, hizmet sonunda iade veya silme ve denetim başlıkları asgari sözleşme içeriğine dahil edilmiştir. KVKK'nin kanun metninde aynı ayrıntıda bir sözleşme kataloğu bulunmaz.3
Bu fark, KVKK kapsamındaki veri sorumlusu ile veri işleyen ilişkisinin sözleşmesiz kurulabileceği anlamına gelmez. Sözleşmenin gerekliliği ve içeriği, somut işleme, KVKK m.12'deki güvenlik ve denetim yükümlülükleri ile uygulanabilir diğer düzenlemeler birlikte değerlendirilerek belirlenecektir. GDPR m.28'deki katalog Türk hukukuna aynen taşınamaz, ancak sorumlulukların ve denetim olanaklarının açıkça belirlenmesinde karşılaştırmalı bir ölçü sunabilir.4