Tedarikçinin Sebep Olduğu Veri İhlalinin Cezasını Kim Öder? Müşterek Sorumluluk, Veri İşleyen Sözleşmesi ve Rücu Davası

Kısa cevap: idari para cezası neredeyse her zaman size, yani veri sorumlusuna kesilir. 6698 sayılı Kanun'un 12. maddesinin ikinci fıkrası, kişisel verileriniz sizin adınıza başka bir gerçek veya tüzel kişi tarafından işleniyorsa güvenlik tedbirlerinin alınması bakımından o kişiyle müştereken sorumlu olduğunuzu söylüyor. Ama 18. maddenin ikinci fıkrası cezanın muhatabını ayrıca düzenliyor: aydınlatma, veri güvenliği, Kurul kararlarını yerine getirme ve Veri Sorumluları Siciline kayıt kalemlerindeki idari para cezaları veri sorumlusu hakkında uygulanıyor. Yani sunucusu ele geçirilen yazılım firmanıza Kurul bu kalemlerden doğrudan ceza kesemiyor. Tek istisna 2024'te eklenen (d) bendi; yurt dışına aktarımda standart sözleşmenin Kuruma bildirilmemesi hem veri sorumlusuna hem veri işleyene ceza olarak dönebiliyor. Geri kalan her şeyde ödeyen siz oluyorsunuz. Parayı tedarikçiden geri almanın yolu ise Kurul değil, mahkeme.

Somut bir dosya meseleyi iyi anlatıyor. Kurulun 7 Ekim 2021 tarihli ve 2021/1021 sayılı kararına konu olayda mağazacılık yapan bir şirket, e-ticaret sitesini yöneten entegrasyon firmasının sistemlerinden sızdığı anlaşılan verilerle ilgili Kuruma ihlal bildiriminde bulundu. Bir forum sitesinde 4.792 kişiye ait e-posta, parola, ad soyad, telefon, kimlik numarası ve sipariş bilgileri satışa çıkarılmıştı. Kurum aynı dönemde başka şirketlerin müşteri verilerinin de aynı forumda satıldığını, o şirketlerin de aynı firmadan hizmet aldığını tespit etti. Kaynağın tedarikçinin altyapısı olduğu kabul edildi. Ceza yine de mağazacılık şirketine kesildi: ihlalden önce sızma testi yaptırmadığı, testlerde çıkan zafiyetleri gidermek için gayret göstermediği ve hizmet aldığı veri işleyeni denetlemediği gerekçesiyle, 18. maddenin birinci fıkrasının (b) bendi uyarınca 450 bin TL. Kurul, veri işleyen ve etkilenen diğer şirketler hakkında ayrıca inceleme başlattı.

Hikayenin ikinci yarısı asıl dersi veriyor. Cezayı ödeyen şirket tedarikçisine rücu davası açtı ve İstanbul 4. Asliye Ticaret Mahkemesi 14 Haziran 2023 tarihli, 2022/100 esas ve 2023/534 karar sayılı ilamıyla uyuşmazlığı çözdü. Mahkemenin altını çizdiği ilk şey taraflar arasındaki hizmet sözleşmesiydi: kısa ve detaysızdı, güvenlik tedbirlerini kimin hangi kapsamda alacağına dair tek bir hüküm içermiyordu. Boşluğu mahkeme işin niteliğine bakarak doldurdu. E-ticaret entegrasyonu teknik bir hizmet olduğu için, sistemlerde hukuka aykırı işlemeyi ve yetkisiz erişimi önleme sorumluluğunu veri işleyene de yükledi; sızma testlerinin belirli aralıklarla yapılıp raporlanmasını da iki tarafın ortak yükümlülüğü saydı. Veri sorumlusu testi talep ve takip etmemişti, veri işleyen de uygulayıp raporlamamıştı. Kusur yüzde elli yüzde elli paylaştırıldı ve idari para cezasının yarısı veri işleyenden rücuen tahsil edildi. Sözleşmenizdeki eksik madde, aşağı yukarı bu oranda paraya dönüşüyor.

Buraya gelmeden önce cevaplanması gereken bir soru var: karşınızdaki firma gerçekten veri işleyen mi? Kurumun kendi yayınındaki örnekler, sözleşmeye yazılan etiketin belirleyici olmadığını gösteriyor. Bir kamu kuruluşunun verilerini yalnızca onun talimatlarına göre saklayan, kendi amaçları için kullanamayan bulut sağlayıcısı veri işleyen sayılıyor. Buna karşılık banka adına müşteri memnuniyeti anketi yapan ve hangi müşterilere hangi yöntemle sorulacağına kendisi karar veren pazar araştırması şirketi veri sorumlusu kabul ediliyor. İnternetten satış yapan bir kişinin anlaştığı ödeme hizmeti şirketi de satıcının veri işleyeni değil; hangi verinin toplanacağına kendisi karar verdiği, müşteriye uyguladığı kendi hüküm ve koşulları ve kendi hukuki yükümlülükleri bulunduğu için ayrı bir veri sorumlusu. Muhasebeciler ve avukatlar da mesleki yükümlülükleri müşterinin talimatının önüne geçtiği ölçüde veri sorumlusu statüsünde. Hastaların sağlık raporlarını taşıyan ama içeriğine erişemeyen kurye şirketi ise ne veri sorumlusu ne veri işleyen; yalnızca taşıdığı fiziksel eşyanın güvenliğinden sorumlu.

Rol veri işleyen olarak belirlendiyse, sözleşmenin içeriği için Kurumun Kişisel Veri Güvenliği Rehberi net bir çerçeve veriyor. Sözleşme yazılı olacak. Veri işleyenin yalnızca veri sorumlusunun talimatları doğrultusunda, sözleşmede belirtilen işleme amaç ve kapsamına uygun ve kişisel verilerin korunması mevzuatıyla uyumlu hareket edeceği yazacak; metin sizin saklama ve imha politikanızla uyumlu olacak. Veri işleyenin işlediği kişisel verilere ilişkin süresiz sır saklama yükümlülüğü altında olacağı ayrıca yer alacak. Bu yükümlülüğün kanuni dayanağı da var: 12. maddenin dördüncü fıkrası, veri sorumluları ile veri işleyenlerin öğrendikleri kişisel verileri açıklayamayacağını ve işleme amacı dışında kullanamayacağını söylüyor, üstelik bu yasak görevden ayrıldıktan sonra da sürüyor. Rehberin istediği bir madde daha var: sözleşmenin niteliği elveriyorsa, veri işleyene aktarılan kişisel veri kategori ve türleri ayrı bir maddede sayılmalı. Sıkıcı bir madde gibi durur. Tedarikçiye hangi veriyi verdiğinizi yazılı gösteremiyorsanız, bir ihlalde kapsamı da gösteremezsiniz.

İmza atmakla iş bitmiyor. Kanun'un 12. maddesinin üçüncü fıkrası veri sorumlusuna, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapma veya yaptırma yükümlülüğü getiriyor. Güvenlik Rehberi bunu tedarikçi tarafına da taşıyor ve veri sorumlusunun kişisel veri içeren sistem üzerinde denetim yapabileceğini, denetim raporlarını ve hizmet sağlayıcıyı yerinde inceleyebileceğini söylüyor. Rehberin koyduğu ölçü ise şu: hizmet alırken, veri işleyenin kişisel veriler konusunda en az sizin sağladığınız güvenlik seviyesini sağladığından emin olmanız gerekiyor. Uygulamada bunun karşılığı ağır bir denetim ekibi değil, cevaplanmış bir soru listesi olabilir: son sızma testi raporu, veriye erişim yetkisi olan personel sayısı, alt yüklenici listesi, log saklama süresi, şifreleme yöntemi, yedeklerin nerede tutulduğu. Yukarıdaki dosyada cezanın gerekçelerinden biri tam olarak bu denetimin hiç yapılmamış olmasıydı.

İhlal anında saat işlemeye başlıyor ve saati tutan taraf sizsiniz. Kurulun 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı zinciri şöyle kuruyor: veri işleyen nezdinde bulunan kişisel veriler kanuni olmayan yollarla başkaları tarafından elde edilirse, veri işleyen bu konuda herhangi bir gecikmeye yer vermeksizin veri sorumlusuna bildirimde bulunur; veri sorumlusu da ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç 72 saat içinde Kurula bildirir. Tedarikçiniz size üç gün sonra haber verirse, Kurul karşısında geciken taraf siz olursunuz. Bu yüzden sözleşmeye sadece derhal yazmak yetmiyor, saat cinsinden bir süre yazmak gerekiyor. Yirmi dört saat makul bir başlangıç. Aynı maddeye ihlal anında hangi kayıtların, hangi formatta ve kime teslim edileceğini de ekleyin. Etkilenen kişi sayısını ve veri kategorilerini çıkaramazsanız, ilgili kişilere yapacağınız bildirim de eksik kalır.

Sözleşmenin bittiği gün genellikle kimsenin aklına gelmiyor. Oysa az önceki dosyada sızıntı, hizmet ilişkisi sona erdikten sonra ortaya çıktı. Mahkeme iki tarafı da burada kusurlu buldu: veri işleyen sözleşme bitince verileri kendiliğinden silmemişti ve dosyaya bir imha raporu sunamadı, veri sorumlusu da silinip silinmediğini kontrol etmemişti. Çıkış maddesi bu nedenle sözleşmenin en değerli maddelerinden biri. Hizmet bitince verinin hangi sürede ve hangi yöntemle imha edileceğini, imha tutanağının kaç gün içinde size teslim edileceğini, yedeklerin ve test ortamındaki kopyaların da kapsama dahil olduğunu yazın. Bulut hizmeti alıyorsanız Güvenlik Rehberi bir ayrıntıyı daha hatırlatıyor: bulut bilişim hizmet ilişkisi sona erdiğinde, kişisel verileri kullanılır hale getirmeye yarayabilecek şifreleme anahtarlarının tüm kopyalarının da yok edilmesi gerekiyor.

Tedarikçi yurt dışındaysa ikinci bir katman devreye giriyor. Kanun'un 9. maddesi önce yeterlilik kararına bakıyor; yeterlilik kararı yoksa uygun güvencelerden biri kuruluyor ve en yaygın yol Kurul tarafından ilan edilen standart sözleşme. Kurum dört ayrı standart sözleşme metni yayımladı, bunlar tarafların sıfatına göre ayrışıyor: veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene, veri işleyenden veri işleyene, veri işleyenden veri sorumlusuna. Yani rolü yanlış belirlerseniz imzaladığınız metin de yanlış oluyor. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmek zorunda; usul ve esaslar 10 Temmuz 2024 tarihli ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik'te düzenlendi. Bu bildirimin yapılmaması, 18. madde kapsamında veri işleyene de doğrudan idari para cezası kesilebilen tek kalem.

Zincirin bir de üçüncü halkası var: tedarikçinizin kendi tedarikçisi. Kurulun 3 Şubat 2021 tarihli ve 2021/84 sayılı kararı yetki aşımının nereye vardığını gösteriyor. Olayda bir hastane, hastalarına mesaj gönderilmesi için telefon numaralarını sabit telefon hizmeti sunan bir işletmeciyle paylaştı. İşletmeci numaraları ikinci bir sağlayıcıya aktardı ve hastanenin onaylamadığı içerikte, başka bir hastane ile oradan ayrılmış bir doktorun tanıtımını yapan mesajlar gönderildi. Kurul, kendisine verilen amacın dışına çıkan işletmecinin o faaliyet bakımından artık veri işleyen değil veri sorumlusu sıfatı taşıdığını değerlendirdi ve 125 bin TL idari para cezası uyguladı. Ders açık: sözleşmenize alt yüklenici kullanımını yazılı izne bağlayan bir madde koymazsanız, verinizin kaç el değiştirdiğini ancak ihlal günü öğrenirsiniz.

İki küçük ayrım da uygulamada sık karışıyor. Birincisi sicil. VERBİS, adının söylediği gibi veri sorumluları için tutuluyor ve kayıt ile bildirim yükümlülüğüne aykırılığın idari para cezası 18. maddenin ikinci fıkrası gereği veri sorumlusu hakkında uygulanıyor. Tedarikçiniz kendi çalışanlarının verileri bakımından veri sorumlusu olduğundan onun da ayrı bir kayıt yükümlülüğü doğabilir, ama sizin adınıza işlediği veriler onun beyanına değil sizinkine yazılır. İkincisi başvurular. Kanun'un 13. maddesi ilgili kişinin taleplerini veri sorumlusuna ileteceğini söylüyor ve otuz günlük cevap süresi size işliyor. Çağrı merkezinize ya da bayi panelinize düşen bir silme talebinin kaç saat içinde size iletileceğini sözleşmeye yazmadıysanız, süreyi kaçırma riski yine sizde kalıyor.

Rakamlar bu işi neden ciddiye almak gerektiğini gösteriyor. 2026 yılında veri güvenliğine ilişkin yükümlülüklerin ihlali 256.357 TL ile 17.092.242 TL arasında idari para cezası gerektiriyor ve bu tutar, ihlale tedarikçiniz sebep olmuş olsa bile önce sizin kasanızdan çıkıyor. Hızlı bir yoklama yapın: kaç tedarikçiniz kişisel veriye dokunuyor, kaçıyla yazılı bir veri işleyen sözleşmeniz var, o sözleşmelerde süresiz sır saklama, saat bazlı ihlal bildirimi, alt yüklenici izni, denetim hakkı ve sözleşme bitince imha maddeleri duruyor mu, son bir yılda hangi tedarikçinizden güvenlik raporu istediniz, yurt dışındaki hizmetler için doğru sıfata uyan standart sözleşme ve beş iş günlük bildirim tamam mı. Bu soruların birkaçında cevabınız net değilse, KVKK Danışman'ın ücretsiz ön değerlendirmesinde tedarikçi listenizi ve mevcut sözleşmelerinizi birlikte gözden geçirip hangi maddelerin eksik olduğunu, hangi ilişkinin aslında veri işleyen değil ayrı veri sorumlusu ilişkisi olduğunu çıkarabiliriz.

Randevu Al