GDPR kapsamında veri sorumlusu veya veri işleyicisi: Kimin kim olduğunu nasıl anlayabiliriz?

Veri sorumlusu, kişisel verilerin neden ve nasıl işleneceğine karar verir; veri işleyicisi ise kişisel verileri yalnızca veri sorumlusunun belgelenmiş talimatları doğrultusunda işler (GDPR Madde 4(7) ve (8)). Sizin rolünüz, sözleşmedeki etikete değil, gerçeklere dayanır ve kimin yasal dayanağa ihtiyacı olduğunu, veri sahibi taleplerine kimin cevap vereceğini, ihlali kimin bildireceğini ve bir sorun çıkması durumunda kimin sorumlu olacağını belirler.

Bir kontrolcüyü bir işlemciden nasıl ayırt edersiniz?

Verilerin neden ve nasıl işlendiğine kimin karar verdiğini sorun. Veri sorumlusu, işlemenin amacını ve temel araçlarını belirler; veri işleyicisi ise yalnızca veri sorumlusunun belgelenmiş talimatları doğrultusunda hareket eder ve verileri kendi amaçları için kullanmaz.

Tipik veri işleyiciler: bir hosting sağlayıcısı, tamamen talimatlar doğrultusunda hareket eden bir bordro bürosu, bir e-posta dağıtım hizmeti. Tipik denetleyiciler, başka bir tarafça görevlendirilmiş olsalar bile: yasal denetim yapan bir muhasebeci, bir dava yürüten bir avukat, kendi mesleki görevlerini yerine getiren bir iş sağlığı hizmeti (arbodienst).

Sözleşme sizin rolünüzü mü belirliyor?

Hayır. Sözleşmede kendinizi veri işleyici olarak adlandırmanız sizi veri işleyici yapmaz. Bir tedarikçi verileri kendi amaçları için kullanıyorsa, örneğin ürününü iyileştirmek, profiller oluşturmak veya ilgili kişilere pazarlama yapmak gibi, bu işlem için veri sorumlusudur. GDPR Madde 28(10) bunu açıkça belirtir: amaçları ve araçları belirleyen bir veri işleyici, veri sorumlusu olarak kabul edilir.

Peki ya siz ve diğer taraf amaçlara birlikte karar verirseniz?

Bu durumda, GDPR Madde 26 uyarınca ortak veri sorumlusu konumundasınız. Özellikle veri sahibi hakları ve Madde 13 ve 14'teki bilgilendirme yükümlülükleri açısından sorumluluklarınızı bir anlaşma ile belirlemeli ve bu anlaşmanın özünü ilgili kişilere sunmalısınız.

Ortak kontrol, kuruluşların beklediğinden daha sık ortaya çıkar. Avrupa Birliği Adalet Divanı, Wirtschaftsakademie davasında (C-210/16, 5 Haziran 2018), bir Facebook hayran sayfasının yöneticisini Facebook ile ortak veri sorumlusu olarak değerlendirmiştir. GDPR Madde 26(3) uyarınca, veri sahibi, kurum içinde ne kararlaştırmış olursanız olun, haklarını her iki ortak veri sorumlusuna karşı da kullanabilir.

Bir işleme sözleşmesi neleri içermelidir?

Bir veri işleyicisiyle anlaşmanız durumunda, GDPR Madde 28(3) ve (9) uyarınca yazılı bir sözleşme zorunludur ve içeriği belirlenmiştir. Bu sözleşme, işlemenin konusunu ve süresini, niteliğini ve amacını, veri türlerini ve veri sahibi kategorilerini ve veri sorumlusu olarak talimatlarınızı kapsamalıdır.

Ayrıca gizlilik, Madde 32 kapsamındaki güvenlik önlemleri, alt yüklenicilerle çalışma koşulları, veri sahibi taleplerine ve veri ihlali bildirimine ilişkin yardım, verilerin sonunda iadesi veya silinmesi ve denetim haklarınız da kapsanmalıdır.

Anlaşmazlıklar genellikle nereden başlar?

İki madde en çok soruna neden olur. Alt işleme konusunda, GDPR Madde 28(2) genel yazılı yetkilendirmeye izin verir, ancak veri işleyenin planlanan değişiklikler hakkında sizi bilgilendirmesi ve itiraz etme fırsatı vermesi gerekir. İade veya silme konusunda, ilişkinin sona ermesinden önce, bir anlaşmazlık sırasında değil, hangisinin geçerli olacağı ve hangi formatta olacağı konusunda anlaşmaya varılmalıdır.

Veri ihlali bildirimi üçüncü bir baskı noktasıdır. Veri işleyicisi sizi gereksiz gecikme olmaksızın bilgilendirmelidir (Madde 33(2)); daha sonra Madde 33(1) uyarınca Hollanda Veri Koruma Kurumu'na (Autoriteit Persoonsgegevens) bildirimde bulunmak için 72 saatiniz vardır. Veri işleyicisi için kısa bir iç süre belirleyin, örneğin 24 veya 48 saat.

İşlemde bir sorun çıkarsa sorumluluk kimdedir?

GDPR Madde 82(2) uyarınca, GDPR'yi ihlal eden işlemenin neden olduğu zararlardan veri sorumlusu olarak siz sorumlusunuz. Bir veri işleyicisi, ancak GDPR'nin veri işleyicilerine özel olarak yüklediği yükümlülükleri yerine getirmemişse veya yasal talimatlarınızın dışında veya bunlara aykırı hareket etmişse sorumludur.

Her ikiniz de aynı işleme dahil olduğunuz ve zarardan sorumlu olduğunuz durumlarda, her biriniz bireye karşı tüm zarardan sorumlu tutulabilirsiniz (Madde 82(4)). Ödeme yapan taraf, diğer tarafın payını daha sonra geri alabilir (Madde 82(5)), bu nedenle bir işleme sözleşmesindeki tazminat maddesinin dikkatlice müzakere edilmesi önemlidir.

Bir denetleyici olarak neleri kontrol etmelisiniz?

• Sizin için kişisel verileri işleyen her tedarikçinin Madde 28(3)'e uygun bir işleme sözleşmesi imzalayıp imzalamadığı.
• Tedarikçilerden herhangi birinin verileri kendi amaçları için kullanıp kullanmadığı, onu veri sorumlusu haline getirir.
• Alt işlemcilerin bir listesine ve değişikliklere itiraz etmek için bir prosedüre sahip olup olmadığınız.
• İşlemcinin ihlalleri size belirli bir süre içinde bildirmesi gerekip gerekmediği.
• Ortak platformlar veya kampanyalar için ortak veri sorumlusu düzenlemeleriniz olup olmadığı.

Bir işlemci olarak neleri kontrol etmelisiniz?

• Müşteri verilerini yalnızca belgelenmiş talimatlar doğrultusunda kullanıp kendi ürününüz veya analizleriniz için kullanmamanız fark etmeksizin.
• Alt yüklenicilerinizin de sizinle aynı yükümlülüklere tabi olup olmadığı.
• Sözleşme sonunda kararlaştırılan formatta verileri iade edip edemeyeceğiniz veya silip silemeyeceğiniz.
• Sorumluluk üst sınırınız ve tazminatınızın Madde 82(2) kapsamındaki sınırlı sorumluluğu yansıtıp yansıtmadığı.

Denetleyici ve işlemci rolleriyle sizin için neler yapabiliriz?

Bilişim hukuku alanındaki uzmanlığımız sayesinde size örneğin şu konularda yardımcı olabiliriz:

• Veri zincirinizdeki her bir tarafın rollerini, işlem aktivitesine göre haritalandırıyoruz.
• Veri işleme sözleşmeleri ve ortak veri sorumlusu düzenlemeleri hazırlıyor ve inceliyoruz.
• Alt işleme, ihlal bildirimi ve sorumluluk maddeleri konusunda görüşmeler yapıyoruz.
• Veri ihlali sonrasında taraflar arasındaki sorumluluk ve tazminat yolları konusunda danışmanlık hizmeti veriyoruz.
• Autoriteit Persoonsgegevens'in sorularına yanıtınızı hazırlıyoruz.

ÖZET

• Sizin rolünüz, sözleşmenizdeki etikete değil, gerçeklere bağlıdır: amacı ve temel araçları belirleyen kişi denetleyici konumundadır.
• Amaçları başka bir tarafla birlikte ortaklaşa belirlerseniz, ortak veri sorumlusu sayılırsınız ve sorumluluk paylaşımınızı kaydetmeniz gerekir (GDPR Madde 26).
• Veri işleyicisi kullandığınız her durumda, GDPR Madde 28(3) içeriğine sahip yazılı bir veri işleme sözleşmesi zorunludur.
• Veri işleme kuruluşu, veri ihlalini size gecikmeksizin bildirir; siz de 72 saat içinde Autoriteit Persoonsgegevens'e bildirimde bulunursunuz.
• Her iki taraf da bireye karşı oluşan zararın tamamından sorumlu olabilir, bu nedenle imzalamadan önce tazminat maddesini görüşün.

Sık Sorulan Sorular