Veri sorumlusu ve veri işleyen farkı: otel, yazılım firması, acente ve rezervasyon sitesi

Veri sorumlusu, kişisel verilerin neden ve nasıl işleneceğini belirleyen ve bundan sorumlu olan taraftır. Veri işleyen ise yalnızca veri sorumlusunun adına, onun talimatıyla işlem yapar. Otel genellikle veri sorumlusudur; yazılım firması, channel manager ya da acente genellikle veri işleyendir. Ama kararı sözleşme ve fiili durum verir, etiket değil.

Bir otel yeni bir channel manager sözleşmesi imzalar; satıcının standart sözleşmesinin dokuzuncu sayfasında satıcıyı "veri sorumlusu" olarak ilan eden bir cümle vardır. Toplantıdaki kimse bu cümlenin yanlış mı, zararsız mı yoksa pahalı mı olduğunu bilemediği için imzalar atılır. Oysa misafir "benim hakkımda neler biliyorsunuz" diye sorduğunda kimin yanıt vereceğini belirleyen de aynı cümledir. Bu yazının sonunda otelinizdeki her tarafı doğru role yerleştirebilir, fiili durumla çelişen sözleşmeleri görebilir ve otelden hiç çıkmayan yükümlülükleri bilirsiniz. Veri sorumlusu veri işleyen farkı, tam da bu cümlelerin ne anlama geldiğini netleştirir.

KVKK'ya göre veri sorumlusu ve veri işleyen ne demek?#

Veri sorumlusu, kişisel verilerin neden ve nasıl işleneceğini belirleyen ve bundan sorumlu taraftır; veri işleyen ise veri sorumlusunun adına, onun verdiği yetki çerçevesinde işlemi yürüten taraftır. Kişisel verilerin korunması kanunu (KVKK) her iki tanımı da 3. maddede verir. Kanun metnini Mevzuat Bilgi Sistemi'ndeki 6698 sayılı Kanun (yeni sekmede açılır) üzerinden okuyabilirsiniz (3. ve 12. maddeler).

Bir otelde veri kayıt sistemi soyut değil, somuttur: rezervasyon dosyası, misafir kartı, hesap, kart kayıt kütüğü ve kamera kaydedicisi. Bu sistemin kurulmasından ve yönetilmesinden sorumlu olan taraf veri sorumlusudur; normalde otelin kendisi.

Ayrım karar yetkisiyle ilgilidir; veriyi kimin tuttuğu, sunucuları kimin işlettiği ya da yönetici şifresinin kimde olduğuyla değil. Bir satıcı her şeyi barındırabilir ve yine veri işleyen kalabilir. Bu kelimeler dört pratik şeyi belirlediği için önemlidir: misafir aydınlatma metnini kim imzalar, misafirin talebini kim yanıtlar, kayıt yükümlülüğü geçerliyse VERBİS'e kim kaydolur ve bir şey ters gittiğinde kim hesap verir.

Bir şirket aynı anda iki rolü de taşıyabilir. Bir yazılım firması, otelin misafir verileri için veri işleyen; kendi faturaları, destek kayıtları ve pazarlama listesi için veri sorumlusudur. İki rol de gerçek bir ilişkinin hukuki tanımlamasıdır. Sözleşmeye "veri işleyen" yazmak bu rolü yaratmaz; kelimeyi atmak da ortadan kaldırmaz.

Kim, neden ve nasıl işleneceğine karar veriyor: sorumluyu işleyenden nasıl ayırırsınız?#

İşlemenin temel unsurlarına çoğunlukla kim karar veriyorsa veri sorumlusu odur; talimat alıp yalnızca teknik ayrıntıya karar veren taraf veri işleyendir. Kişisel Verileri Koruma Kurulu, 30 Ocak 2020 tarihli ve 2020/71 sayılı kararında bu ayrımın ölçütlerini açıkladı; karar özeti kvkk.gov.tr'de yayımlandı (yeni sekmede açılır) (11 Şubat 2021). Güncel kararlar için Kurumun sitesini izleyin ya da danışmanınıza sorun.

Kurulun veri sorumlusu göstergeleri şunlardır: veriyi toplamak ve toplama yöntemini seçmek; hangi tür verinin, kimlerin verisinin toplanacağına karar vermek; verinin işlenip işlenmeyeceğine ve kimin işleyeceğine karar vermek; işlemenin temel unsurlarını belirlemek; verinin paylaşılıp paylaşılmayacağına ve kiminle paylaşılacağına karar vermek; talimat almadan üst düzeyde karar almak; ilgili kişilerle doğrudan muhatap olmak; veri işleyen atamak; işlemeden menfaat sağlamak. Veri işleyen göstergeleri bunun ayna görüntüsüdür: işlemek için talimat almak; toplama, amaç, ifşa, erişim ve saklama konusunda karar yetkisine sahip olmamak; işlemenin sonuçlarından sorumlu olmamak.

Özerk olmak rolü değiştirmez. Veri sorumlusunun yetkisiyle veri işleyen, temel olmayan unsurlara karar verebilir: örneğin hangi bilişim sistemlerinin kullanılacağı, saklama ve güvenlik yöntemleri, aktarım ve silme yöntemleri. Kendi veritabanı motorunu seçen bir satıcı bu yüzden veri sorumlusu olmaz.

Neredeyse her otel tedarikçisi için üç soruluk bir test işe yarar: bu alanın toplanmasına kim karar verdi, ne kadar saklanacağına kim karar veriyor, veriyi kimin alacağına kim karar veriyor. Üçüne de otel yanıtıyorsa, tedarikçi veri işleyendir.

Her yanıtı "otel", "iş ortağı" ya da "ikisi de" olarak işaretleyin. Gri alan yeniden kullanımdır. Misafir verilerini kendi ürün geliştirmesi, kıyaslama çalışmaları ya da pazarlaması için kullanan bir satıcı yetkisinin dışına çıkmıştır; o faaliyetin kendi hukuki dayanağı gerekir.

Otelin iş ortakları arasında kim, kimdir?#

Tipik kurulumda otel veri sorumlusudur ve tedarikçileri veri işleyendir; ama bazı ortaklar kendi işlemleri için bağımsız veri sorumlusudur, bazıları ise aynı anda iki roldedir.

Bu tablo tipik kurulumların örneğidir, hüküm değildir; her vakayı sözleşme ve fiili durum belirler. Adı geçen bir rezervasyon sitesinin nasıl davrandığını varsaymayın: sitesinin aydınlatma metnini ve sözleşmesini okuyun. Pratik ölçüt şudur: bir taraf otelin talimatından ne kadar uzak, kendi ticari amacına ne kadar yakınsa, veri sorumlusu olma olasılığı o kadar yüksektir. Bir otel yazılımı çok sayıda oteli tek sistemden hizmet veriyorsa, çok kiracılı otel yazılımında her otelin verisinin nasıl ayrı tutulduğunu okumak yerinde olur; çünkü oteller arasındaki ayrım bir güvenlik tedbiridir, rol değişikliği değil.

Kendi tarafımızda AI Otel'in otel işletim sistemi her otelin verisini veritabanı seviyesinde ayrı tutar. Bu, otelin 12. madde yükümlülüğünü destekleyen teknik bir tedbirdir; veri sorumlusunun kim olduğunu değiştirmez ve AI Otel otelin uyum yükümlülüklerini devralmaz.

İki taraf ne zaman birlikte sorumlu olur?#

Burada iki farklı şey birbirine karışır: iki tarafın amacı birlikte belirlediği ortak veri sorumluluğu ile 12. madde kapsamında veri sorumlusunun, kendi adına veri işleyenle güvenlik tedbirlerinden birlikte sorumlu tutulması.

1. madde, veri sorumlusundan kişisel verilerin hukuka aykırı işlenmesini ve bu verilere hukuka aykırı erişilmesini önlemek, verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini sağlayacak her türlü teknik ve idari tedbiri almasını ister. Aynı madde, veriler kendi adına başkası eliyle işleniyorsa, bu tedbirlerin alınmasından o kişiyle birlikte müştereken sorumlu olunmasını öngörür. Satıcının zayıf erişim kontrolü bu yüzden otelin de sorunudur.

Ortak veri sorumluluğu başka bir durumdur: iki taraf, işlemenin amaç ve vasıtalarını birlikte, bağımsız olarak belirler. Örneğin bir grup ve oteli, tek bir misafir veritabanı üzerinde ortak bir sadakat programı yürütüyorsa bu durum ortaya çıkabilir. Kurulun göstergeleri burada da geçerlidir: temel unsurlara kim karar veriyor, misafirle kim muhatap oluyor, işlemeden kim menfaat sağlıyor. Pratik sonuç belgelemedir: kimin ne yaptığını yazılı hale getirin ki bir misafir talebi otel ile satıcı arasında haftalarca gezinmesin. Yapay zekâ asistanları devredeyse aynı rol soruları yine ortaya çıkar; yapay zekâ ve misafir verisi yazısı, danışmanınıza sorulacak soruları listeler.

Bir veri işleyen sözleşmesi ne içermelidir?#

Veri işleyen sözleşmesi, konuyu, süreyi, amacı, kapsamı ve talimatları yazılı olarak sabitlemeli; güvenlik, alt işleyenler, silme ve denetimin nasıl yürütüleceğini belirtmelidir. Diğer her şey talimat maddesine bağlıdır; çünkü veri işleyeni veri işleyen yapan şey talimattır.

En kritik nokta çekirdek yasağıdır: veri işleyen, verileri kendi amaçları için işleyemez ve talimat olmadan üçüncü taraflara aktaramaz. Güvenlik yükümlülükleri 12. maddeyle uyumlu olmalı; ayrıca bir olay durumunda veri sorumlusunu gecikmeden bilgilendirme ödevi eklenmelidir. Ödevi tanımlayın, saat sayısı uydurmayın. Alt işleyenler adıyla ya da kategorisiyle tanımlanmalı, veri sorumlusunun onayıyla atanmalı ve aynı yükümlülükler yazılı olarak onlara da geçirilmelidir.

Erişim kontrolü ve kayıt tutma, "bu misafirin kaydına kim baktı" sorusuna otelin yanıt verebilmesi için kendi maddesini hak eder. Sözleşmenin sona ermesinde silme ya da iade, yedeklere ne olacağını da söylemeli; veri işleyen misafir taleplerinde otelle işbirliği yapmalıdır. Küçük bir otel için bu, kimsenin okumadığı ayrı bir belge değil, ana sözleşmeye ek iki sayfalık bir ek olabilir.

Veri işleyen devredeyken hangi ödevler otelde kalır?#

Otel, veri sorumlusuna ait ödevleri korur: misafirleri aydınlatmak, taleplerini yanıtlamak, saklama süresine karar vermek, gerektiğinde kaydolmak ve güvenlikten hesap vermek.

Aydınlatma yükümlülüğü veri sorumlusuna aittir. Kurulun 2020/71 sayılı karar özeti, veri işleyenin bu yükümlülüğü veri sorumlusunun talimatıyla yerine getirebileceğini kabul eder; ama metinden ve metnin doğruluğundan sorumluluk otelde kalır. Hak talepleri satıcıya değil, otele gelir. Bu yüzden iç bir yol belirleyin: talebi kim alıyor, kim kaydediyor, veri işleyene kim talimat veriyor, kim yanıtlıyor ve ne zamana kadar.

Saklama süresi veri sorumlusunun kararıdır. Satıcının varsayılan ayarı ya da silmenin zahmetli olması bir saklama politikası değildir. Kayıt yükümlülüğü oteli kapsıyorsa VERBİS kaydı da veri sorumlusunun ödevidir ve yazılım firmasına geçmez; otellerin VERBİS'e ne zaman kaydolmak zorunda olduğunu anlatan yazı kayıt ve istisnaları ele alır. 12. madde kapsamındaki güvenlik tedbirleri de otelde kalır: ortak şifreler, personel erişimi, ayrılırken hesabı açık kalan çalışanlar ve olay kayıtları.

Evrakları saklayın: imzalı sözleşmeler, yazılı talimatlar, alt işleyen listeleri ve olay kayıtları. Bir uyuşmazlıkta bunları ortaya koyabilen otel, koyamayan otelden farklı bir konumdadır. Aydınlatma, açık rıza ve personel erişiminin geniş resmi için otellerde KVKK yazısına bakın.

Elinizdeki sözleşmeleri nasıl gözden geçirirsiniz?#

Misafir verisine dokunan her tarafı listeleyin, her birinin fiilen ne yaptığını tek cümleyle yazın ve o cümleyi sözleşmenin verdiği rolle karşılaştırın.

Listeyle başlayın: PMS, channel manager, rezervasyon siteleri, seyahat acenteleri, ödeme kuruluşu, kapı kilidi sistemi, misafir mesajlaşması, muhasebeci, OSGB. Çoğu otel unuttuğu iki üç taraf bulur. Her taraf için dört şey yazın: hangi veri, hangi amaçla, amaca kim karar verdi, ne kadar saklanıyor. Tedarikçi başına dört satır yeterlidir.

Sözleşmenin etiketiyle karşılaştırın. Etiket fiili durumla çelişiyorsa, çoğunlukla fiili durum kazanır ve etiketin düzeltilmesi gerekir. Yanlış kelimelerden çok eksik maddeleri arayın: yazılı talimat, alt işleyen listesi, çıkışta silme, olay bildirimi, denetim hakkı. Her satıcıdan alt işleyen listesini ve verileri nerede barındırdığını isteyin. Barındırma yeri, rolden ayrı bir sorudur; bir satıcı herhangi bir ülkede veri işleyen olabilir ve bu, danışmanınız için kendi aktarım sorularını doğurur.

En büyük boşluğu önce doldurun. Çoğu otelde bu, tanımın ifadesi değil, eksik yazılı talimat ve eksik silme maddesidir. Sonra biten listeyi hukuk danışmanınıza götürün. Bu yazı soruların bir haritasıdır; sözleşmeleriniz hakkında hüküm değildir.

Şimdi ne yapmalı#

Bu hafta tek sayfalık listeyi çıkarın: misafir verisine dokunan her tedarikçi, fiilen ne yaptığı ve sözleşmenin ona verdiği rol. İkisi çeliştiğinde kararı fiili durum verir ve sözleşme düzeltilir. Tanımlar, Kurulun göstergeleri ve 12. madde güvenlik ödevi aynı yöne işaret eder: misafire karşı hesap veren taraf oteldir, veri işleyen ise otele karşı hesap verir. Teknik tarafın bizde nasıl ele alındığını görmek isterseniz görüşme talep edebilirsiniz.