MKB Juristen, özel hukuki belgeler hazırlamaktadır
Önemli sözleşmeleri, şartları ve diğer yasal belgeleri kendiniz bir araya getirmek veya kopyalamak en iyisi değildir. Bütçesi kısıtlı girişimcilere özel yasal çözümler, net maliyetler ve pratik açıklamalar sunuyoruz.
- Gümrük sözleşmeleri, şartlar ve koşullar ve yasal belgeler
- Bütçe dostu ve maliyetler konusunda baştan net bilgi veriyor
- Ücretsiz danışmanlık veya herhangi bir yükümlülük gerektirmeyen fiyat teklifi isteyin
Veri işleme sözleşmesi nedir? Kişisel verilerin işlenmesini sağlayan bir kuruluş ile bu işi onun adına yapan taraf arasında yapılan yazılı bir sözleşmedir. Terim, "işleyici" anlamına gelen eski Kişisel Verilerin Korunması Kanunu'ndan (WBP) kaynaklanmaktadır. 25 Mayıs 2018'den beri GDPR yürürlüktedir ve aynı sözleşme resmi olarak veri işleme sözleşmesi olarak adlandırılmaktadır. İçerik açısından aynı anlaşmayı kapsar: verilerle kimin ne yapmasına izin verilir, veriler nasıl güvence altına alınır ve işler ters giderse ne olur. Zorunlu içerik GDPR'nin 28. maddesinde belirtilmiştir. Aşağıda bir açıklama, pratik uygulama ve KOBİ'ler için sıklıkla sorun yaşanan noktalar yer almaktadır.
Kısa cevap
- Nedir: Kişisel verilerin işlenmesine ilişkin olarak veri sorumlusu ve veri işleyicisi arasında zorunlu bir sözleşme.
- Adı: "İşlemci sözleşmesi" eski bir WBP terimidir; GDPR kapsamında ise "işlemci sözleşmesi" olarak adlandırılır.
- Yasal dayanak: GDPR Madde 28, 3. paragrafın a ila h bentlerinde yer alan zorunlu içerik.
- Ne zaman: Bir hosting sağlayıcısı, bordro işlemcisi veya CRM tedarikçisi gibi harici bir taraf sizin adınıza kişisel verilerinizi işlemeye başladığı anda.
- Şekil: Yazılı olarak, elektronik olarak da mümkündür (GDPR Madde 28, paragraf 9).
- Risk: Anlaşma eksikse, her iki taraf da GDPR'ı ihlal eder ve Hollanda Veri Koruma Kurumu yaptırım uygulayabilir.
Veri işleme sözleşmesi tam olarak nedir?
Bir veri işleme sözleşmesi, harici bir tarafın kişisel verileri yalnızca sizin talimatlarınız doğrultusunda ve kendi amaçları için değil, işleyeceğini şart koşar. Örneğin, maaş bordrolarınızı yöneten bir muhasebe firmasını, sunucularınızı yöneten bir BT şirketini veya müşteri verilerinizi bulutta depolayan bir yazılım satıcısını düşünün. Böyle bir sözleşme olmadan, veri sızıntısı durumunda kimin neyden sorumlu olduğu bilinmez.
Anlaşma bir formalite değildir. GDPR bunu zorunlu kılmakta ve somut yükümlülükler getirmektedir: talimatlara uyma, gizlilik, güvenlik, sona erme üzerine iade veya imha ve inceleme izni. Madde 28'in ihlali durumunda, Hollanda Veri Koruma Kurumu 10 milyon euroya kadar veya dünya çapındaki yıllık cironun %2'sine kadar para cezası uygulayabilir (GDPR Madde 83(4)).
Veri İşleme Sözleşmesi mi, İşlemci Sözleşmesi mi?
Bu fark çok fazla kafa karışıklığına neden oluyor, bu yüzden açıklığa kavuşturalım. WBP kapsamında taraflar "veri sorumlusu" ve "veri işleyici" olarak adlandırılıyordu ve sözleşme bu nedenle bir veri işleyici sözleşmesiydi. GDPR bu terimleri "veri sorumlusu" ve "veri işleyici" ile değiştirdi. Bu nedenle, 2018'den beri doğru terim, veri işleme sözleşmesi veya DPA olarak da bilinen veri işleyici sözleşmesidir.
Birçok girişimci hala eski terimi kullanarak arama yapıyor ve bu bir sorun değil. Belge, içerik açısından GDPR'nin 28. maddesine uygun olduğu sürece, ilk sayfadaki isim yasal olarak belirleyici değildir. Bununla birlikte, yeni sözleşmelere "işlemci sözleşmesi" demek akıllıca olur. Hala eski WBP terminolojisini ve eski madde referanslarını kullanan bir belge genellikle içerik olarak da güncelliğini yitirmiştir ve GDPR tarafından öngörülen unsurlardan yoksundur.
Kontrolcü mü yoksa işlemci mi?
Herhangi bir şey imzalamadan önce, hangi role sahip olduğunuzu bilmelisiniz. GDPR'nin 4. maddesi bunu şu şekilde tanımlar:
- Veri Sorumlusu (Madde 4, alt madde 7): İşlemenin amacını ve yöntemlerini belirleyen taraf. Hangi müşteri verilerini toplayacağınıza ve neden toplayacağınıza siz karar verirsiniz.
- Veri İşleyici (Madde 4, alt madde 8): Veri sorumlusu adına verileri işleyen, ancak amaçlar ve araçlar üzerinde kontrolü bulunmayan taraf.
Rol, sözleşmedeki etiketten değil, gerçeklerden kaynaklanır. Tedarikçi amacı ve yöntemleri kendisi belirlerse, bu işlem için veri sorumlusu olarak nitelendirilir (GDPR Madde 28, paragraf 10) ve veri işleme sözleşmesi uygun bir araç değildir. İki taraf amacı birlikte belirlerse, ortak veri sorumlusu olurlar ve GDPR Madde 26'ya göre farklı bir düzenleme söz konusudur. Örneğin, yasal saklama yükümlülükleri olan bir muhasebeci, bu kısım için veri işleyicisi değildir.
Yasal olarak ne içermesi gerekiyor?
GDPR'nin 28(3) maddesi öncelikle işlemenin konusu ve süresi, niteliği ve amacı, kişisel veri türü ve veri sahiplerinin kategorilerinin tanımlanmasını öngörmektedir. Buna ek olarak, veri işleyicisinin aşağıdaki sekiz yükümlülüğünü de içermelidir:
- Alt madde a: İşlem, üçüncü bir ülkeye transfer durumu da dahil olmak üzere, yalnızca veri sorumlusunun belgelenmiş talimatları doğrultusunda gerçekleştirilir.
- Alt madde b: Verilere erişimi olan kişilerin gizlilik yükümlülüğüne tabi olmalarını sağlayın.
- Alt madde c: GDPR Madde 32 uyarınca uygun güvenlik önlemlerini alın.
- Alt madde d: Alt yüklenicilerle çalışma koşullarına uymak (Madde 28, paragraf 2 ve 4).
- Alt bölüm e: Veri sahiplerinin haklarını kullanma taleplerine yardımcı olmak.
- Alt madde f: Güvenlik, veri ihlalleri ve veri koruma etki değerlendirmeleri konusunda yardım sağlanması (Madde 32 ila 36).
- Alt madde g: Hizmetin sonunda, veri sorumlusunun tercihine bağlı olarak tüm veriler silinir veya iade edilir ve yasal olarak saklanması zorunlu olmadığı sürece kopyalar silinir.
- Alt madde h: Uyumluluğu göstermek ve denetimleri mümkün kılmak için tüm bilgileri erişilebilir hale getirin.
Alt yükleniciler, aktarım ve veri ihlalleri
Üç konu, standart sözleşmelerde genellikle yeterince ele alınmadığı için ekstra dikkat gerektiriyor.
Alt yükleniciler. Bir veri işleyici, ancak önceden alınmış özel veya genel yazılı onay ile başka bir tarafla iş birliği yapabilir (GDPR Madde 28, paragraf 2). Genel onay durumunda, veri işleyici, itiraz edebilmeniz için değişiklikler hakkında sizi bilgilendirmelidir. Alt yüklenici de aynı yükümlülüklere tabidir ve asıl veri işleyici size karşı tam olarak sorumludur (GDPR Madde 28, paragraf 4).
Avrupa Ekonomik Alanı dışına aktarım. Sunucular veya destek masası Avrupa Ekonomik Alanı dışında bulunuyorsa, GDPR'nin V. Bölümü uygulanır. Aktarım, yeterlilik kararına (örneğin, ABD'li onaylı taraflar için AB-ABD Veri Gizliliği Çerçevesi, Madde 45), Avrupa Komisyonu'nun Standart Sözleşme Maddeleri gibi uygun güvencelere (Madde 46) veya Madde 49'un sınırlı istisnalarından birine dayanarak yapılabilir. Verilerin nerede bulunduğunu ve hangi yasal dayanağın uygulandığını kaydedin.
Veri ihlalleri ve veri sahiplerinin hakları. Veri işleyicisi, ihlali gecikmeksizin veri sorumlusuna bildirmelidir (GDPR Madde 33(2)). Daha sonra, Veri Koruma Otoritesine bildirimde bulunmanın gerekli olup olmadığını değerlendirmek için 72 saatiniz vardır. Bu nedenle, örneğin 24 saat gibi belirli bir zaman dilimi üzerinde anlaşın ve veri işleyicisinin hangi bilgileri içerdiğini kaydedin. Erişim, düzeltme veya silme talepleri için de aynı durum geçerlidir: Veri işleyicisi bu konuda size yardımcı olmalı ve talebi kendisi yanıtlamak yerine iletmelidir.
Pratik örnek
On dört çalışanı olan bir kurulum şirketi, planlama ve zaman kaydı için bulut tabanlı bir paket kullanıyor. Tedarikçi, müşterilerin ve teknisyenlerin adlarını, adreslerini ve telefon numaralarını bu paket içinde işliyor. Şirket, tedarikçinin standart Veri Koruma Sözleşmesini (DPA) okumadan imzalıyor. Bir arıza durumunda, belgede bu konuda hiçbir şey belirtilmemesine rağmen, desteğin Avrupa Ekonomik Alanı (AEA) dışındaki bir ülkeden sağlandığı ortaya çıkıyor. Soruşturmaların ardından, tedarikçi daha sonra alt yüklenicilerin listesini ve standart sözleşme maddelerini sunuyor. Kısa bir ön kontrol bu anlaşmazlığı önleyebilirdi.
Dürüst tavsiye
Her zaman bir avukata ihtiyacınız olmayabilir. Güncel bir veri işleme sözleşmesi sunan, alt yüklenicilerin listesini ve veri ihlalleri için bildirim süresini içeren ve verilerin Avrupa Ekonomik Alanı (AEA) içinde kaldığı standart bir tedarikçiyle çalışıyorsanız, sözleşmeyi kendiniz kontrol edip imzalayabilirsiniz. Madde 28(3)'ün sekiz noktasını inceleyin ve eklerin aslında satın aldığınız şeye karşılık gelip gelmediğini kontrol edin.
Sağlık veya adli veriler gibi özel kişisel veriler, büyük veri hacimleri, Avrupa Ekonomik Alanı dışına yapılan transferler, rolünüz (veri işleyici veya ortak veri sorumlusu) konusunda şüphe duyduğunuzda ve kendiniz veri işleyicisi olup müşterilerinize kendi modelinizi sunmak istediğinizde denetim talep edin. Bu durumlarda, bir sorun yaşanması halinde riski kimin üstleneceğini metin belirler.
Ya kendiniz düzenleyin ya da okumaya devam edin: veri işleme sözleşmesi , veri işleme sözleşmesi taslağı oluşturma yoluyla kendiniz hazırlayın veya veri işleme sözleşmesini hazırlatma yoluyla dışarıdan hizmet alın .
Sıkça Sorulan Sorular
Kişisel verilerinin işlenmesini talep eden taraf ile onun adına bu işlemi gerçekleştiren taraf arasında yapılan sözleşmedir. Sözleşme, veri işleyicisinin yalnızca talimatlar doğrultusunda hareket edeceğini, verileri güvence altına alacağını ve işlem tamamlandıktan sonra verileri iade edeceğini veya sileceğini şart koşar. Zorunlu içerik, GDPR'nin 28. maddesinde belirtilmiştir.
Evet, içerik açısından. "İşlemci Sözleşmesi" terimi eski Kişisel Verilerin Korunması Kanunu'ndan geliyor. 2018'de GDPR yürürlüğe girdiğinden beri, belgeye işlemci sözleşmesi deniyor ve taraflara da veri sorumlusu ve veri işleyici deniyor. Birçok kişi hala eski terimi kullanarak arama yapıyor.
Harici bir taraf sizin adınıza kişisel verilerinizi işlemeye başladığı anda: barındırma, bulut yazılımı, bordro yönetimi, posta araçları, BT yönetimi veya çağrı merkezi gibi hizmetler söz konusu olduğunda, bu taraf amacını ve yöntemini kendisi belirlerse, veri işleyici olarak kabul edilmez ve farklı bir sözleşme türü gereklidir.
İşlemenin konusu, süresi, niteliği ve amacı, veri türü ve veri sahiplerinin kategorileri. Ayrıca, Madde 28(3)(a) ila (h)'deki sekiz yükümlülük: talimatlara uyma yükümlülüğü, gizlilik, güvenlik, alt işlemciler için kurallar, veri sahibi haklarına ilişkin yardım, veri ihlalleri ve DPIA'lara ilişkin yardım, iade veya imha ve denetimlerle işbirliği.
Yalnızca önceden verilmiş özel veya genel yazılı onay ile (GDPR Madde 28, paragraf 2). Genel onay durumunda, itiraz edebilmeniz için değişiklikleri bildirmek zorundadır. Alt yüklenici aynı yükümlülükleri üstlenir ve ana yüklenici size karşı tam olarak sorumludur.
Bu durumda, GDPR'nin V. Bölümündeki veri aktarım kuralları uygulanır. Yeterlilik kararına (Madde 45), Avrupa Komisyonu'nun Standart Sözleşme Maddeleri (Madde 46) gibi uygun güvencelere veya Madde 49 kapsamındaki bir istisnaya dayanarak izin verilir. Sözleşmede verilerin nerede bulunduğu ve hangi yasal dayanağın kullanıldığı belirtilmelidir.
Bu durumda, her iki taraf da GDPR'nin 28. maddesini ihlal etmiş olur. Hollanda Veri Koruma Kurumu bunun için 10 milyon euroya kadar veya yıllık küresel cironun %2'si oranında para cezası uygulayabilir. Ayrıca, güvenlik ve veri ihlalleri konusunda anlaşmaların olmaması, bir olay durumunda başvurabileceğiniz bir yol olmamasına neden olur.
