Veri İşleme Sözleşmesi

Veri işleme sözleşmesi, veri sorumlusunun kişisel verileri kendi adına işleyecek veri işleyenle yaptığı ve veri işlemenin çerçevesini belirleyen sözleşmedir. Uygulamada İngilizce kısaltmasıyla DPA (data processing agreement) olarak da anılır.

KVKK’da Zorunlu mu?

KVKK, GDPR’ın 28. maddesindeki gibi asgari içeriği sayılmış bir sözleşme şekli öngörmez. Ancak KVKK’nın 12. maddesine göre veri sorumlusu, verilerin kendi adına başkası tarafından işlenmesi hâlinde veri güvenliği tedbirlerinin alınmasından veri işleyenle birlikte müştereken sorumludur. Bu sorumluluğu yönetmenin ve olası bir Kurul incelemesinde hizmet sağlayıcıya hangi talimatların verildiğini göstermenin pratikteki tek yolu yazılı bir sözleşmedir.

Sözleşmede Bulunması Gerekenler

• İşlemenin konusu, süresi, niteliği ve amacı; işlenen veri kategorileri ve ilgili kişi grupları,
• Veri işleyenin yalnızca veri sorumlusunun yazılı talimatlarıyla hareket edeceği,
• Veri işleyenin çalışanlarının gizlilik yükümlülüğü,
• Alınacak teknik ve idari tedbirler,
• Alt veri işleyen kullanılmasının veri sorumlusunun iznine bağlanması ve aynı yükümlülüklerin alt işleyene de yüklenmesi,
• İlgili kişi başvurularına cevap verilmesinde destek,
• Veri ihlallerinin gecikmeksizin ve belirli bir süre içinde bildirilmesi; veri sorumlusunun Kurul’a 72 saat içinde bildirim yapabilmesi için bu süre kısa tutulmalıdır,
• Veri sorumlusunun denetim hakkı,
• Hizmetin sona ermesinde verilerin iadesi veya silinmesi.

Yurt Dışındaki Veri İşleyenler

Veri işleyen yurt dışındaysa veya verileri yurt dışındaki sunucularda tutuyorsa, veri işleme sözleşmesi tek başına yeterli değildir. Yurt dışına veri aktarımı kuralları uygulanır ve çoğu durumda Kurul’un ilan ettiği standart sözleşme imzalanıp beş iş günü içinde Kurum’a bildirilmelidir. Ticari ve teknik konular ayrı bir sözleşmede düzenlenebilir, ancak bu hükümler standart sözleşmeyle çelişmemelidir.