Veri İşleme Sözleşmeleri, Gizlilik (NDA) ve Veri Aktarım Sözleşmeleri Rehberi (2026)
Veri koruma uyuşmazlıklarının büyüyen bölümü sözleşme masasında kaybedilir: bulut sağlayıcıyla, yazılım firmasıyla, çağrı merkeziyle veya ajansla veri paylaşan her veri sorumlusu, m.12 uyarınca işleyenlerle birlikte güvenlikten müştereken sorumludur ve bu sorumluluğun yönetilebilir tek aracı sözleşmedir. İyi kurulmuş bir veri işleme sözleşmesinin (DPA) asgari seti: işlemenin konusu, amacı ve süresi; veri kategorileri ve ilgili kişi grupları; işleyenin yalnızca talimatla işleme yükümü; teknik-idari güvenlik tedbirleri; alt işleyen yetkilendirme ve bildirim rejimi; ihlalin derhal bildirilmesi; denetim hakkı; sözleşme sonunda iade-imha ve ispat yükümlülükleri. Gizlilik sözleşmeleri (NDA) ticari sırrı korur; kişisel veri boyutu ancak KVKK yükümlülüklerine açık atıfla ve işleme sınırlarıyla korunur; salt NDA, veri koruma sözleşmesinin yerini tutmaz. Yurt dışı unsurlu ilişkilerde standart sözleşme ve bildirim rejimi ayrıca kurulur. Uyuşmazlık çıktığında ilk bakılan yer, tarafların veri sorumlusu-işleyen rol dağılımı ve tedbir taahhütleridir; cezai şart ve denetim hükümleri, kağıttaki taahhütleri gerçek yaptırıma çevirir.
Neden Sözleşme? m.12 Müşterek Sorumluluk
6698 sayılı Kanun m.12/2 kuralı nettir: verilerin işleyen tarafından işlenmesi halinde güvenlik tedbirlerinin alınması konusunda veri sorumlusu, işleyenle birlikte müştereken sorumludur. Bulut, yazılım, lojistik, çağrı merkezi ve ajans ilişkilerinin tamamı bu kuralın kapsamındadır; sorumluluğu yönetmenin tek aracı da sözleşmedir. Sözleşmesiz veri paylaşımı, ihlal gününde savunmasız yakalanmaktır; uyum programındaki yeri için KVKK uyum süreci ana rehberimize bakınız.
Rol Tespiti: Sorumlu mu, İşleyen mi, Ortak mı?
İlk Soru
Amacı ve araçları kim belirliyor?
Rol, unvanla değil fiili güçle belirlenir: işlemenin amaç ve vasıtalarını belirleyen veri sorumlusu, onun talimatıyla işleyen veri işleyendir; iki taraf amacı birlikte belirliyorsa her ikisi de sorumlu sıfatı taşır. Yanlış rol etiketi, sözleşmenin bütün dengesini bozar: kendini işleyen sanan bir platform, sorumlu yükümlülüklerinden (aydınlatma, başvuru yanıtlama, VERBİS) habersiz kalır. Rol analizi, sözleşme müzakeresinin sıfırıncı maddesidir.
Veri İşleme Sözleşmesinin (DPA) Asgari Seti
| Hüküm | Neyi Çözer? |
|---|---|
| Konu, amaç, süre, veri kategorileri | İşlemenin sınırlarını çizer; amaç aşımını aykırılık yapar |
| Yalnızca talimatla işleme | İşleyenin veriyi kendi amaçlarına kullanmasını keser |
| Teknik-idari tedbir taahhütleri | m.12 denetiminde tedbir ispatının zeminini kurar |
| İhlal bildirimi (saatli) | 72 saatlik Kurul takvimine yetişmeyi mümkün kılar |
| Alt işleyen rejimi ve denetim hakkı | Zincirin görünürlüğünü ve yönetimini sağlar |
| İade-imha ve belgeleme | İlişki sonrası hukuka aykırı elde tutmayı önler |
İhlal bildirim maddesinin 72 saatlik rejimle bağlantısı 72 saat veri ihlali bildirimi yazımızda; imha hükümlerinin politika ayağı veri saklama ve imha politikası rehberimizdedir.
Avukata Sor
Sözleşme Mimarisi Kurulumu ve benzeri uyuşmazlıklarda durumunuzu bir avukatla değerlendirin; her dosya kendi delil durumuna göre incelenir.
Alt İşleyen Zinciri ve Denetim Hakkı
Zincir Kuralı
Sırt sırta yükümlülük geçirme
İşleyenin alt işleyen kullanımı; ön onay veya onaylı liste modeliyle yönetilmeli, alt işleyenlere aynı yükümlülüklerin yazılı geçirilmesi şart koşulmalı ve zincirdeki lokasyonlar bildirilmelidir. Denetim hakkı; yerinde denetim, bağımsız denetim raporlarının paylaşımı veya soru setleriyle kullanılabilir; hiç kullanılmayan denetim hakkı, Kurul nezdinde kağıt üzerinde tedbir olarak okunabilir. Yurt dışı halkalar için aktarım mekanizması ayrıca kurulur.
NDA’ların Kişisel Veri Sınırı
Gizlilik sözleşmeleri; ticari sır, know-how ve müzakere bilgisi katmanında güçlüdür; kişisel veri katmanında ise tek başına yetersizdir: gizli tutma taahhüdü, hukuka aykırı işlemeyi, amaç aşımını ve imha yükümünü düzenlemez. Doğru teknik; NDA’ya kişisel veri maddesi eklemek (KVKK yükümlülüklerine atıf, işleme yasağı-sınırı, ihlal bildirimi) veya ilişki veri yoğunsa ayrı DPA kurmaktır.
İç Cephe
Çalışan taahhütleri de sözleşme mimarisinin parçasıdır
Veri sızıntılarının önemli bölümü içeriden gelir; iş sözleşmesi ekindeki gizlilik ve veri koruma taahhütleri, disiplin bağlantısı ve rücu zemini kurar. Taahhüt; erişim yetkisinin amaçla sınırlı kullanımını, işten ayrılırken veri iadesini ve ihlal halinde sorumluluğu açıkça içermelidir.
Çalışanlarla imzalanan gizlilik taahhütleri de aynı mantıkla veri koruma yükümlülükleriyle güçlendirilmelidir; işçi cephesindeki sınırlar için KVKK ve işçi verileri yazımıza bakınız.
Veri Aktarım Sözleşmeleri ve Yurt Dışı Boyut
Yurt içi sorumlu-sorumlu aktarımlarında; aktarımın hukuki sebebi, amaçla sınırlılık ve alıcının yükümlülükleri sözleşmeyle çerçevelenir. Yurt dışı unsur girdiğinde rejim değişir: Kurulca ilan edilen standart sözleşme değiştirilmeden imzalanır, beş iş günü içinde bildirilir ve ticari hükümler ayrı sözleşmede tutulur; mekanizma seçimi yurt dışına veri aktarımı ana yazımızda, uygulama adımları 2024 sonrası rehberimizde anlatılmıştır. Grup içi düzenli akışlarda BCR seçeneği masaya alınmalıdır.
Cezai Şart, Sorumluluk Paylaşımı ve Rücu
Kağıdı Yaptırıma Çevirmek
Cap müzakeresinin veri istisnası
Tedarikçi sözleşmelerinde sorumluluk üst sınırı (cap) standarttır; veri koruma ihlallerinin, en azından kast-ağır ihmal hallerinin cap dışına alınması güçlü pozisyonlarda hedeflenmelidir. Ölçülebilir aykırılıklara (geç ihlal bildirimi, talimat dışı işleme, imha ihlali) cezai şart bağlanması ispat yükünü kaldırır; Kurul cezası ve üçüncü kişi tazminatlarının rücu edilebilirliği açıkça yazılmalıdır. İhlal gününde bu hükümler, kriz bütçesinin kendisidir; kriz akışı için veri ihlali yaşadık, ne yapmalıyız rehberimize bakınız.
Uyuşmazlık Senaryoları ve Dava Pratiği
Üç Tipik Dosya
Sızıntı, amaç aşımı, ayrılık kavgası
Sahada üç kalıp öne çıkar: işleyen kaynaklı sızıntıda rücu ve cezai şart davaları; işleyenin veriyi kendi ürününde kullanması (amaç aşımı) halinde sözleşme ihlali ve haksız rekabet talepleri; ilişki biterken verilerin iade-imha kavgası ve geçiş sürecinde hizmetin rehin alınması. Üçünde de dosyanın kaderi sözleşme metnindedir; ilgili kişiler yönünden doğan tazminat cephesi ise maddi ve manevi tazminat ve ana dava rehberimizde işlenmiştir.
Bu yazıda atıf yapılan kanunun güncel ve resmi metnine mevzuat.gov.tr üzerinden ulaşabilirsiniz.
Sözleşme Mimarisi Kurulumu ve Avukat Desteği
Tedarikçi ve iş ortağı sözleşmelerinizin veri koruma eklerinin hazırlanması, müzakere edilmesi ve uyuşmazlıkların yönetimi için birlikte çalışalım.
Sık Sorulan Sorular
Tedarikçimle NDA imzaladık; veri işleme sözleşmesine gerek var mı?
Var. NDA, bilginin gizli tutulmasını taahhüt eder; oysa kişisel veri ilişkisinde asıl ihtiyaç işlemenin sınırlanmasıdır: hangi veri, hangi amaçla, ne kadar süre, hangi tedbirlerle işlenecek, alt işleyen kullanılabilecek mi, ihlal kaç saatte bildirilecek, iş bitince veriler nasıl imha edilecek? Bu sorulara cevap vermeyen NDA, m.12/2’deki müşterek sorumluluk karşısında sizi korumaz. Doğru kurgu; NDA’nın ticari sır katmanı ile veri işleme sözleşmesinin (veya ekinin) KVKK katmanını birlikte kurmaktır.
Veri işleyen kusuruyla ihlal olursa sorumluluk kimde?
Dışa karşı (ilgili kişiler ve Kurul nezdinde) veri sorumlusu sorumluluktan kurtulamaz: m.12/2 güvenliği birlikte sağlama yükümü kurar ve Kurul, sorumlunun işleyeni sözleşme ve denetimle yönetip yönetmediğine bakar. İç ilişkide ise fatura sözleşmeye göre kesilir: talimat dışına çıkan, taahhüt ettiği tedbiri almayan veya ihlali geç bildiren işleyene rücu edilir. Bu yüzden sözleşmedeki tedbir taahhütleri, bildirim saatleri ve sorumluluk hükümleri; ihlal gününün asıl bilançosunu belirler.
Alt işleyen kullanımına nasıl sınır koymalıyım?
Üç katmanlı hüküm önerilir: alt işleyen kullanımı ya yazılı ön onaya bağlanır ya da onaylı liste + değişiklikte itiraz hakkı modeliyle yönetilir; işleyen, alt işleyenlere kendi yükümlülüklerinin aynısını sırt sırta geçirmekle yükümlü kılınır; zincirdeki her halkanın lokasyonu bildirilir ki yurt dışı aktarım mekanizması kurulabilsin. Alt işleyen körlüğü, ihlal incelemelerinde en sık çıkan zafiyettir: verinizin, hiç duymadığınız bir dördüncü şirkette sızması, sözleşmesiz zincirin faturasıdır.
Sözleşmeye cezai şart koymak gerçekten işe yarar mı?
Yarar; çünkü veri ihlalinde gerçek zararın (itibar, müşteri kaybı, Kurul cezasının nedensellik payı) ispatı zordur ve cezai şart bu ispat yükünü kaldırır: ihlal bildiriminin geciktirilmesi, talimat dışı işleme ve imha yükümünün ihlali gibi ölçülebilir aykırılıklara tutar bağlanır. Denge notu: fahiş şartlar TBK uyarınca indirime tabidir ve müzakerede karşı tarafın sorumluluk üst sınırı (cap) talebiyle birlikte ele alınır; kişisel veri ihlallerinin cap dışına alınması, güçlü pazarlık pozisyonlarında standart talebimizdir.
İş bitti; tedarikçideki verilerimizin silindiğinden nasıl emin olurum?
Sözleşmedeki iade-imha maddesi üç unsur içermelidir: sürenin sonunda verilerin iadesi veya imhası seçimlik hakkının veri sorumlusunda olması; imhanın yedekler dahil kapsaması ve makul takvime bağlanması; imhanın tutanak veya sertifikayla belgelenip sunulması. Uygulamada imha sertifikası talep edilmeli, kritik ilişkilerde denetim hakkı kullanılmalıdır. Belgelenmeyen imha, iki risk taşır: veriniz eski tedarikçide sızarsa sorumluluk tartışması size döner ve saklama süreleri yönünden hukuka aykırı elde tutma tablosu doğar.
