Kişisel Veri İşleme Sözleşmesinin Yapısı ve Tarafların Yükümlülükleri

Kişisel veri işleme sözleşmesi, uygulamada veri sorumlusu ile veri işleyen arasında kurulan, verilerin güvenliğini ve hukuka uygun işlenmesini sağlayan en temel araçlardan biridir. Kanunda özel olarak tanımlanmamış olması sebebiyle isimsiz (atipik) sözleşme niteliği taşıyan bu sözleşme, irade serbestisi ilkesi çerçevesinde şekillenir. Sözleşmenin kurulabilmesi için tarafların karşılıklı ve birbirine uygun irade beyanları yeterli olup, bu durum sözleşmenin rızai bir hukuki işlem olduğunu gösterir. Bünyesinde vekâlet ve eser sözleşmelerine ait edimleri barındırması nedeniyle karma tipli bir sözleşme olarak kabul edilir. İmzalanan bu sözleşme ile taraflar arasında güçlü bir güven ilişkisi kurulurken, veri işleyene veri sorumlusu adına sürekli edim içeren bir iş görme borcu yüklenir. Ayrıca kişisel verilerin işlenmesi eylemi salt bir faaliyet değil, aynı zamanda hedeflenen veri güvenliği ve aktarımı gibi hususları barındırdığından taraflara bir sonuç borcu yüklemektedir.

Veri İşleyenin Sözleşmesel Yükümlülükleri

Veri işleyenin temel yükümlülükleri, sözleşme ile kurulan güven ilişkisinin merkezinde yer alır. Veri işleyen, kural olarak kendisine verilen veri işleme görevini şahsen ifa etmekle yükümlüdür. Çünkü veri sorumlusu, bu yetkiyi verirken doğrudan veri işleyenin yetkinliklerini ve teknik kapasitesini dikkate alarak özel bir seçim yapar. Ayrıca veri işleyen taraf, veri sorumlusunun menfaatleri doğrultusunda hareket etmek, onun aleyhine olabilecek faaliyetlerden kaçınmak ve kendisine emanet edilen verilerin gizliliğini korumak adına sadakat ve sır saklama yükümlülüğüne tabidir. İşleme faaliyeti sırasında veri işleyen, her türlü idari ve teknik tedbiri alarak gerekli özeni gösterme borcunu eksiksiz şekilde yerine getirmeli, aynı zamanda veri sorumlusunun kendisine verdiği talimatlara kati surette uygun davranmalıdır. Talimatlara aykırılık veya yetki aşımı halinde doğacak zararlardan bizzat kendisi sorumludur.

Aydınlatma ve Hesap Verme Yükümlülüğü

Veri işleyenin sorumlulukları sadece veri işleme eylemiyle sınırlı kalmayıp, ilgili kişilere karşı da birtakım hukuki borçları ihtiva eder. Aydınlatma yükümlülüğü, veri işleme faaliyetinin hukuka uygun kabul edilebilmesi için mutlaka yerine getirilmesi gereken asıl şartlardan biridir. Veri işleyen, verilerin toplanması esnasında ilgili kişilere şeffaf bir süreç sunmalıdır. Bununla birlikte, yeni risklerin önlenmesi ve veri güvenliğinin sağlanması adına ifa edilen hesap verme yükümlülüğü de oldukça mühimdir. Veri işleyen, gerçekleştirdiği işlemlerin hukuka uygunluğunu denetlenebilir kılmalı, sözleşme süresince veya bitiminde veri sorumlusuna mutlaka hesap vermelidir. Aynı şekilde, ilgili kişilerden gelen düzeltme, silme taleplerini karşılamak adına verileri sahibine iade etme yükümlülüğü de sözleşmenin doğasından kaynaklanan ve yerine getirilmesi zorunlu olan bir borçtur.

Veri Sorumlusunun Sözleşme Kapsamındaki Borçları

Kişisel veri işleme sözleşmesi, kural olarak her iki tarafa borç yükleyen bir hukuki işlem olduğundan, veri sorumlusunun da ifa etmesi gereken yükümlülükleri bulunur. Bunların başında, veri işleyenin sunmuş olduğu iş görme edimine karşılık olarak bir ücret ödeme borcu gelir. Vekâlet sözleşmelerinde ücret kural olarak zorunlu olmasa da, bu nitelikteki işlemlerde aksine bir anlaşma bulunmadığı sürece ücret ödenmesi esastır. Veri sorumlusu ayrıca, işleyenin veri işleme faaliyeti sırasında sözleşmenin gereği olarak yapmış olduğu zorunlu harcamaları ve giderleri faiziyle birlikte ödemek, işin yürütülmesi için avans vermekle yükümlüdür. Öte yandan veri sorumlusu, sözleşmenin kapsamı ve sınırları hakkında veri işleyeni bilgilendirme yükümlülüğü altındadır. İşleyenin talimatlara uygun hareketi neticesinde uğradığı zararları giderme ve onu üstlendiği borçlardan kurtarma yükümlülüğü de veri sorumlusunun hukuki mesuliyetleri arasındadır.