SaaS Sözleşmelerinde Veri Sorumlusu – Veri İşleyen Ayrımı: Rolü Kim Belirler?

Bir SaaS sözleşmesinde veri işleyen sıfatının kime ait olduğu, çoğu zaman sözleşmenin tek bir cümlesiyle geçiştirilir: "Sağlayıcı, işbu sözleşme kapsamında veri işleyen sıfatıyla hareket eder." Bu cümle, tarafların rolünü belirlemez. Kişisel Verilerin Korunması Kanunu bakımından rol, sözleşmeye yazılan etiketle değil, verinin neden ve nasıl işleneceğine fiilen kimin karar verdiğiyle belirlenir. Yanlış etiketlenmiş bir ilişki, tarafları korumadığı gibi, aydınlatma metninden ihlal bildirimine kadar bütün uyum yapısını yanlış zemine oturtur.

Bu yazı, SaaS satın alan ve SaaS satan şirketler için rolün nasıl belirlendiğini, sözleşmede hangi hükümlerin aranması gerektiğini ve sunucuların yurt dışında olması hâlinde ortaya çıkan ek yükümlülükleri ele alıyor.

Rolü sözleşme değil, karar verme yetkisi belirler

Kanun, veri sorumlusunu kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişi olarak tanımlar. Veri işleyen ise, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir.

Kurum tarafından yayımlanan Veri Sorumlusu ve Veri İşleyen Rehberi, ayrımı pratik bir soruya indirger: verinin neden ve nasıl işleneceğine kim karar veriyor? Rehberde veri sorumlusu belirlenirken şu hususlara kimin karar verdiğine bakılacağı belirtilir:

• Kişisel verilerin toplanıp toplanmayacağı ve hangi yöntemle toplanacağı
• Hangi amaçla kullanılacağı
• Üçüncü kişilerle paylaşılıp paylaşılmayacağı
• Ne kadar süreyle saklanacağı

Veri işleyen ise teknik işlemi yürütür ve verilen talimatla sınırlıdır. Rehberde bulut hizmeti sağlayıcısı, yalnızca müşterisinin talimatına uygun olarak depolama yaptığı ölçüde veri işleyene örnek gösterilir. Buna karşılık mali müşavir, kendi mesleki ve yasal yükümlülükleri bulunduğu için veri sorumlusu olarak değerlendirilir — müşterisinden veri almasına rağmen.

Buradan çıkan sonuç, SaaS bağlamında şudur: bir sağlayıcının veri işleyen sayılabilmesi için, müşterisinin verisi üzerinde kendi başına amaç belirlememesi gerekir. Sağlayıcı veriyi ürününü geliştirmek, model eğitmek veya kendi analitik amaçları için kullanmaya başladığı anda, o faaliyet bakımından artık talimatla sınırlı hareket etmemektedir.

Dört soruluk test: sağlayıcınız hangi rolde?

Sözleşmeyi okumadan önce şu dört soru, rolün nerede durduğunu büyük ölçüde gösterir:

Dördüncü soru diğerlerinden ayrılır: burada cevap "evet" ise, sağlayıcının rolü tümüyle değişmez; yalnızca o belirli faaliyet bakımından veri sorumlusu hâline gelir. Bu da bizi ayrımın en çok karıştırılan noktasına götürür.

Aynı şirket aynı anda iki rolde olabilir

Rehber, bir gerçek veya tüzel kişinin aynı anda hem veri sorumlusu hem veri işleyen olabileceğini açıkça kabul eder. SaaS'ta bu, istisna değil olağan durumdur.

Tipik bir kurumsal yazılım sağlayıcısı, müşterisinin sisteme yüklediği son kullanıcı verileri bakımından veri işleyen; kendi platformuna kaydolan kullanıcı hesapları, faturalama bilgileri, destek talepleri ve ürün kullanım telemetrisi bakımından ise veri sorumlusudur. İki katman aynı üründe yan yana durur.

Bu ayrımın yapılmaması iki somut soruna yol açar. Birincisi, sağlayıcı tek bir aydınlatma metniyle her iki katmanı birden karşılamaya çalışır; oysa veri işleyen sıfatıyla işlediği veriler bakımından aydınlatma yükümlülüğü kural olarak müşterisine aittir. İkincisi, müşteri kendi veri işleme envanterinde sağlayıcıyı yalnızca "veri işleyen" olarak kaydeder ve sağlayıcının kendi amaçlarıyla işlediği veriyi hiç görmez.

Karar verme yetkisinin fiilen paylaşıldığı hâllerde ise taraflar birlikte veri sorumlusu konumunda olabilir. Bu, özellikle sağlayıcının ürün tasarımıyla hangi verinin toplanacağını tek taraflı belirlediği, müşterinin ise yalnızca hazır seçenekler arasından tercih yaptığı yapılandırmalarda gündeme gelir.

Veri işleyen olmak sorumluluktan kurtarmaz

Yaygın bir varsayım, veri işleyen sıfatının sorumluluğu müşteriye devrettiği yönündedir. İki düzenleme bunun aksini gösterir.

Birincisi, Kanun'un veri güvenliğine ilişkin maddesi, veri işleyenin de güvenlik tedbirlerinin alınmasından veri sorumlusuyla birlikte sorumlu olduğunu düzenler. Yani bir güvenlik açığı sağlayıcının altyapısından kaynaklanıyorsa, sağlayıcı "talimatla sınırlıydım" savunmasına dayanamaz.

İkincisi ve daha yenisi: 12 Mart 2024 tarihli ve 32487 sayılı Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile Kanun'un 18. maddesine eklenen fıkra uyarınca, idari para cezaları veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Düzenleme 1 Haziran 2024'te yürürlüğe girmiştir. Sağlayıcı, kendi yükümlülük alanındaki bir ihlal bakımından doğrudan idari para cezasının muhatabı olabilir. Güncel ceza tutarları ve bu cezaların nasıl belirlendiği için KVKK idari para cezaları 2026 yazımıza bakılabilir.

Bunun sözleşmeye yansıyan sonucu şudur: idari para cezası, sözleşmedeki sorumluluk sınırlaması veya tazmin hükümleriyle ortadan kaldırılamaz. Taraflar aralarındaki rücu ilişkisini sözleşmeyle düzenleyebilir; ancak bu, idari yaptırımın muhatabını değiştirmez.

Rol yanlış belirlenirse ne olur?

Ayrımın teorik görünen tarafı, uygulamada dört somut noktada karşımıza çıkar.

Aydınlatma yükümlülüğü yanlış tarafa yüklenir. Aydınlatma yükümlülüğü veri sorumlusuna aittir. Sağlayıcı kendini veri işleyen sayıp aydınlatma yapmaz, müşteri de sağlayıcının yaptığını varsayarsa, ilgili kişi hiç aydınlatılmamış olur. Kurul'un 30 Ocak 2020 tarihli ve 2020/71 sayılı kararı, veri sorumlusu ile veri işleyenin tespitinde gözetilecek hususları ve aydınlatma yükümlülüğünün kim tarafından yerine getirileceğini ayrıca ele almıştır.

İhlal bildiriminin muhatabı belirsizleşir. Bildirim yükümlülüğü veri sorumlusuna aittir; veri işleyenin görevi, ihlali öğrendiğinde veri sorumlusuna bildirmektir. Rol belirsizse, tarafların her biri diğerinin bildireceğini varsayabilir.

İlgili kişi başvuruları yanıtsız kalır. Başvurunun muhatabı veri sorumlusudur. Sağlayıcıya yapılan bir başvuru, sözleşmede yönlendirme mekanizması yoksa süresi içinde yanıtlanamaz.

Envanter ve VERBİS kaydı hatalı olur. Veri işleme envanteri ve varsa VERBİS kaydı, rol tanımına göre kurulur. Yanlış rol, doğrudan yanlış bir kayda dönüşür ve bu kayıt bir inceleme sırasında ilk bakılan belgelerdendir.

Veri işleme sözleşmesinde aranacak hükümler

Kanun, kişisel verilerin veri işleyen aracılığıyla işlendiği hâllerde tarafların ilişkisinin yazılı olarak kurulmasını öngören bir çerçeve çizer. Uygulamada bu, ana hizmet sözleşmesinin eki olan bir veri işleme sözleşmesiyle (DPA) karşılanır. İçeriğinde aranması gereken başlıklar:

1. Talimatla sınırlı işleme. Sağlayıcının veriyi yalnızca müşterinin yazılı talimatı doğrultusunda işleyeceği; talimat dışına çıkılan hâllerin tanımlanması.
2. İşleme konusu ve kapsamı. Hangi veri kategorileri, hangi ilgili kişi grupları, hangi amaç ve süre — belirsiz bırakılmaması.
3. Gizlilik. Veriye erişen personelin gizlilik yükümlülüğü altında olması.
4. Teknik ve idari tedbirler. Genel bir taahhüt yerine somut tedbirlerin listelenmesi; şifreleme, erişim yetkilendirmesi, log kaydı, yedekleme ve sızma testi gibi.
5. Alt veri işleyen rejimi. Alt tedarikçi kullanımının izne mi bağlı olduğu yoksa bildirimle mi yetinileceği; değişiklik hâlinde itiraz hakkı.
6. İhlal bildirimi. Sağlayıcının ihlali öğrendiğinde müşteriye bildirim süresinin saat olarak belirlenmesi. Müşterinin kendi bildirim yükümlülüğünü zamanında yerine getirebilmesi buna bağlıdır.
7. İlgili kişi başvurularında destek. Müşteriye ulaşan erişim, düzeltme veya silme taleplerinin karşılanmasında sağlayıcının yükümlülüğü ve süresi.
8. Denetim hakkı. Yerinde denetim mi, bağımsız denetim raporu paylaşımı mı; sıklığı ve masrafları.
9. Sözleşmenin sona ermesi. Verinin iade mi edileceği yoksa imha mı edileceği, süresi ve imhanın belgelenmesi.
10. Veri lokasyonu. Verinin hangi ülkede barındırılacağı ve lokasyonun değiştirilmesinin müşteri onayına bağlı olup olmadığı.

Son madde, çoğu SaaS ilişkisinde en kritik olanıdır.

Sunucular yurt dışındaysa: 2024 sonrası aktarım rejimi

Yurt dışında barındırılan bir SaaS ürününün kullanılması, kişisel verinin yurt dışına aktarılması sonucunu doğurur. Bu alan 7499 sayılı Kanun ile yeniden düzenlenmiş, ayrıntıları ise 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te belirlenmiştir.

Yeni rejim üç kademelidir:

Birinci kademe — yeterlilik kararı. Kurul, aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş bakımından yeterlilik kararı verirse aktarım bu karara dayanarak yapılabilir. Karar en geç dört yılda bir değerlendirilir.

İkinci kademe — uygun güvenceler. Yeterlilik kararı bulunmadığında, tarafların uygun güvencelerden birini sağlaması gerekir: Kurul tarafından onaylanan bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşme, kamu kurumları arasındaki uluslararası anlaşma hükümleri veya Kurul izniyle yazılı taahhütname. Bağlayıcı şirket kuralları için Kurula onay başvurusu yapılması gerekir; standart sözleşme ise onay değil, bildirim usulüne tabidir.

Üçüncü kademe — arızi hâller. Yeterlilik kararı da uygun güvence de yoksa aktarım, ancak arızi olmak kaydıyla ve Kanun'da sayılan sınırlı hâllerde yapılabilir. Bu yol süreklilik arz eden bir SaaS kullanımı için elverişli değildir; adı üstünde arızidir.

Uygulamada en sık kullanılan yol standart sözleşmedir ve burada gözden kaçan bir yükümlülük vardır: standart sözleşme, imzaların tamamlanmasından itibaren beş iş günü içinde Kuruma bildirilmelidir. Bildirim yapılmaması başlı başına bir kabahat oluşturur ve idari para cezası gerektirir.

Bu, sözleşme sürecine bir takvim maddesi eklemeyi gerektirir: imza tarihiyle bildirim tarihi arasındaki beş iş günü, hukuk ve satın alma birimleri arasında sorumluluğu belirlenmiş bir adım olarak tanımlanmadığında kolaylıkla kaçırılır.

Alt veri işleyen zinciri

SaaS sağlayıcıları nadiren tek başına çalışır. Altyapı için bir bulut sağlayıcı, e-posta gönderimi için bir servis, hata izleme için bir araç, müşteri desteği için ayrı bir platform kullanılır. Bunların her biri alt veri işleyendir ve zincirin ucundaki risk müşteriye kadar uzanır.

Sözleşmede alt veri işleyen listesinin nerede yayımlandığı, listenin değiştirilmesi hâlinde müşteriye ne kadar önce bildirim yapılacağı ve müşterinin itiraz hakkının bulunup bulunmadığı belirlenmelidir. "Sağlayıcı alt tedarikçilerini dilediği zaman değiştirebilir" şeklindeki bir hüküm, müşterinin kendi veri işleme envanterini güncel tutmasını fiilen imkânsız hâle getirir.

Zincirdeki halkalardan birinin yurt dışında bulunması, aktarım rejimini yeniden gündeme getirir. Sağlayıcının Türkiye'de sunucusu olması, alt tedarikçisinin yurt dışında olmadığı anlamına gelmez.

Sözleşme müzakeresinde sık karşılaşılan altı hüküm

Aşağıdaki hükümler, standart SaaS sözleşmelerinde sıkça yer alır ve müşteri tarafında ayrıca değerlendirilmeyi gerektirir:

1. "Sağlayıcı, hizmeti geliştirmek amacıyla veriyi kullanabilir." Bu hüküm, sağlayıcıyı o faaliyet bakımından veri sorumlusu konumuna taşır ve müşterinin aydınlatma metniyle uyumsuzluk doğurabilir.
2. Alt tedarikçi listesini tek taraflı değiştirme hakkı. Bildirim ve itiraz mekanizması bulunmadığında envanterin güncelliği kaybolur.
3. İhlal bildiriminde "makul süre" ifadesi. Müşterinin kendi yükümlülüğü belirli bir süreye bağlıyken, tedarikçinin bildirimi belirsiz bırakılmış olur.
4. Denetim hakkının rapora indirgenmesi. Yalnızca bağımsız denetim raporu paylaşımı öngörülüyorsa, raporun kapsamı ve tarihi ayrıca değerlendirilmelidir.
5. Sözleşme sonunda imha taahhüdünün bulunmaması. Verinin ne kadar süre sağlayıcıda kalacağı belirsiz kalır.
6. Sorumluluk sınırlamasının idari para cezalarını da kapsadığı varsayımı. İdari yaptırımın muhatabı sözleşmeyle değiştirilemez; hüküm ancak taraflar arasındaki rücu ilişkisini düzenleyebilir.

Tedarikçi kaynaklı hataların hukuki sorumluluk boyutu için yazılım hatalarında hukuki sorumluluk, kurum içinde onaysız kullanılan araçların yarattığı risk için gölge yapay zekâ riski ve yönetim stratejileri yazılarımıza bakılabilir.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu — mevzuat.gov.tr
• Rehberler — Kişisel Verileri Koruma Kurumu
• Veri sorumlusu kimdir? — Kişisel Verileri Koruma Kurumu
• Kurul'un 30.01.2020 tarihli ve 2020/71 sayılı karar özeti
• Yurt dışına aktarım — Kişisel Verileri Koruma Kurumu
• Standart sözleşme bildirim modülü — Kişisel Verileri Koruma Kurumu

Sık sorulan sorular