Veri işleyen nedir?

Başkası adına işleme

Bir işletmenin müşteri verilerini onun talimatıyla saklayan veya belirlediği işlem için kullanan hizmet veren veri işleyen olabilir. Esas olan, faaliyetin veri sorumlusunun adına ve yetki sınırları içinde yapılmasıdır. Her hizmet ilişkisi bu sıfatı otomatik doğurmaz. Hizmet veren veriyi kendi bağımsız amaçları için kullanıyorsa o işlem ayrıca incelenir. Bilgisayara erişim olanağı veya yazılım sağlamak tek başına bütün soruları cevaplamaz; kimlerin verisinin neden ve nasıl işlendiği somut biçimde ortaya konmalıdır.

Talimatın kapsamı

Veri sorumlusu hangi verinin hangi amaçla, kimler için ve ne kadar süre kullanılacağını belirler. Talimat belirsizse hizmet verenin yetkisinin sınırları da tartışmalı hale gelebilir. Sözlü alışkanlıklara bırakılan veri aktarımı, sonradan kimin hangi kararı verdiğini göstermeyi zorlaştırır. Talimat hukuka uygun olmalıdır; sözleşme başka kişilerin haklarını yok sayma izni vermez. Hizmet verenin teknik uygulama seçeneklerini belirlemesi mümkün olsa da temel amacın değiştirilmesi farklıdır. Yeni veri grubu veya alıcı eklendiğinde rol analizi güncellenmelidir.

Veri sorumlusundan ayrımı

Veri sorumlusu işlemin neden yapıldığını ve temel araçlarını belirlerken veri işleyen verilen görevi onun adına yerine getirir. Kurulun 2020/71 sayılı kararı teknik ayrıntılarda belirli özerkliğin mümkün olduğunu açıklar. Ancak bu, verinin hizmet verenin kendi pazarlama listesine alınmasını sıradan teknik tercih haline getirmez. Sıfat her işlem için farklılaşabilir. Bir firma müşterisinin sistemini işletirken veri işleyen, kendi çalışanlarının verilerini işlerken veri sorumlusu olabilir. Bütün şirket için değişmez tek etiket koymak gerçek faaliyeti gizleyebilir.

Çalışan ile dış hizmet veren

Veri sorumlusunun organizasyonunda onun yetkisiyle çalışan personel ile ayrı tüzel kişi olarak dış hizmet sunan şirket aynı ilişki değildir. Yetkilendirilmiş çalışanın her birini bağımsız veri işleyen ilan etmek doğru olmayabilir. Dış sağlayıcının da personeline ve alt yüklenicisine ilişkin erişim sınırları önemlidir. İşletme, veriye gerçekten kimlerin eriştiğini bilmelidir. Personel değiştiğinde yetkiler kapatılmalı; görev gerektirmeyen kopyalar ve kişisel cihazlara aktarım kontrol edilmelidir. Sözleşmedeki kurumsal ilişki, fiilî erişim düzeniyle tutarlı yürütülmelidir.

İşleme sözleşmesinin içeriği

Hizmetin konusu, veri türleri, ilgili kişiler, amaç, süre ve yetkiler açık düzenlenmelidir. Güvenlik tedbirleri, alt hizmet kullanımı, ihlal halinde bilgi verme ve denetim koşulları önem taşır. Sözleşme sonunda iade veya silme ile kanuni saklama gereklilikleri ayrılır. Her risk için aynı standart cümleyi kullanmak yeterli olmayabilir. Örneğin hassas sağlık dosyası saklayan sistemle sınırlı teslimat listesi kullanan hizmet aynı önlemleri gerektirmeyebilir. Taraflar uygulayamayacakları soyut taahhütler yerine gerçek ve denetlenebilir yükümlülükler belirlemelidir.

Güvenlikte müşterek sorumluluk

6698 madde 12, verilerin veri sorumlusu adına başka kişi tarafından işlenmesi halinde güvenlik tedbirleri bakımından kanuni müşterek sorumluluk öngörür. Bu düzen, veri sorumlusunun dış hizmetle bütün yükümlülükten kurtulmasını önler. Aynı zamanda veri işleyenin de güvenliği yalnız müşterinin meselesi sayamayacağını gösterir. Yetki kontrolü, kayıtların izlenmesi, yedek güvenliği ve olay müdahalesi faaliyetle uyumlu kurulmalıdır. Bir güvenlik sertifikası her somut ihlal iddiasını kendiliğinden cevaplamaz. Tedbirlerin gerçekten uygulanıp uygulanmadığı belge ve teknik kayıtla incelenebilir.

Veri ihlali ve haber verme

Hizmet veren yetkisiz erişim veya veri kaybı fark ettiğinde olayın niteliğini ve müşteriye bilgi verme yükümlülüğünü geciktirmeden değerlendirmelidir. Veri sorumlusunun Kurula ve ilgili kişilere yönelik kanuni bildirim sorumlulukları ayrı önem taşır. Kurulun 2019/10 yaklaşımında Kurula bildirim bakımından yetmiş iki saat ölçütü bulunur; ilgili kişilere bildirim aynı biçimde otomatik yetmiş iki saat diye genellenmemelidir. Olay zaman çizelgesi, etkilenen veri ve alınan önlemler kaydedilir. Eksik bilgi var diye olayın tamamen saklanması uygun çözüm değildir.

Yurt dışı ve alt işleyen

Bulut sisteminin yurt dışında olması veya dış şirketin başka ülkedeki destek ekibine erişim vermesi aktarım koşullarını gündeme getirebilir. Veri işleyen etiketi, yurt dışına aktarım rejimini bertaraf etmez. Güncel madde 9 kapsamındaki uygun dayanak ve güvenceler incelenir. Alt hizmet verenin kimliği, hangi veriye erişeceği ve görev bitiminde ne yapacağı belirlenmelidir. Tarafların sadece ana sunucu ülkesini söylemesi bütün erişim coğrafyasını göstermeyebilir. Destek, yedek ve analiz hizmetleri gerçek teknik mimari üzerinden ele alınmalıdır.

İlgili kişinin talepleri

Kişisel verisi işlenen kişi kanuni haklarını veri sorumlusuna yöneltir. Veri işleyen başvuruyu fark ettiğinde sözleşmedeki iş birliği ve yönlendirme düzenini uygulamalıdır. Yetkisi yokken kendi başına bütün müşteri verilerini başvurana göndermesi güvenlik ihlali yaratabilir. Buna karşılık talebi kaybetmek veya kimsenin cevap vermemesine yol açmak da sorunu büyütür. Kimlik doğrulama, ilgili kayıtların bulunması ve düzeltme veya silme uygulanması koordinasyon gerektirebilir. Başvurunun otuz günlük cevap takvimi hizmet zincirinde belirsiz biçimde uzatılamaz; görevler önceden belirlenmelidir.

Hizmet sona erdiğinde

Sözleşmenin bitmesi verilerin kime ve hangi yöntemle iade edileceği sorusunu doğurur. Aktif kopyalar, yedekler ve erişim yetkileri ayrı ele alınmalıdır. Her veriyi hemen ve geri dönüşsüz yok etmek kanuni saklama yükümlülüğüyle çatışabilir; buna karşılık süresiz arşivlemek de gerekçesizdir. İade veya imha işlemi kayıt altına alınabilir. Hizmet verenin müşterinin verisini ileride portföy göstermek veya başka ürün geliştirmek amacıyla kullanması yeni hukuki değerlendirme gerektirir. Önceki teknik erişim hakkı sözleşmeden sonra sınırsız kullanım yetkisine dönüşmez.

Temsili örnek ve gider planı

Bir çevrim içi mağaza sipariş listesini yalnız teslimat organizasyonu için başka şirkete vermiş olsun. Şirket listeyi talimata uygun işlerken rol ayrımı korunabilir. Aynı şirket müşterilere kendi kampanyasını göndermeye başlarsa yeni amacın sorumluluğu ayrıca araştırılır. Mağaza bunu sözleşmedeki tek cümleyle görünmez kılamaz. Uyum ve uyuşmazlık giderleri sistem, veri ve inceleme kapsamına göre değişir. İlk adım gerçek veri akışını, talimatları ve yetkileri çıkarmaktır; ardından sözleşme, teknik önlem ve başvuru düzeni bu akışla eşleştirilmelidir.

Sık sorulan sorular