Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşme ve Denetim

Kapsam

Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşme ve Denetim yönünden kesin ve yürütülmesi zorunlu işlem, zorunlu idari başvuru, görev ve yetki, dava süresi, hukuka uygunluk denetimi, yürütmenin durdurulması ve kararın uygulanması birlikte ele alınır. Veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz. Sonuca giderken işlemin adı değil gerçek hukuki niteliği, tarafların sıfatı ve korunan menfaat belirleyicidir.

Bu çalışma, veri sorumlusu ile veri işleyen arasındaki sözleşme ve denetim konusunda 3 Ekim 2026 tarihi itibarıyla hazırlanmıştır. Kaynakça, Mevzuat Bilgi Sistemi ile resmî karar ve kurum sayfalarına yönelir. Doğrudan resmî tam metni bulunmayan bir kayıt belirli esas-karar numarasıyla emsal gibi sunulmamış; veri tabanı bağlantıları güncel içtihadın somut dosya üzerinden yeniden araştırılması için verilmiştir. Olay tarihinde yürürlükte bulunan metin ayrıca kontrol edilmelidir.

İdari İşlemin Hukukî Niteliği ve Denetim Sınırı

İncelemenin ilk ölçütü “veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz” kuralıdır. Sözleşmede tarafın veri işleyen diye adlandırılması tek başına rolü belirlemez; işleme amaç ve vasıtalarını kimin belirlediği, bağımsız kullanım, ortak sorumluluk, bulut ve destek erişimi, yurt dışı aktarım, alt işleyen, saklama, denetim hakkı ve olay müdahalesi ayrı incelenmelidir. Ayrıca “ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve racı matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” yaklaşımının somut olayda uygulanıp uygulanmayacağı, özel hüküm ve dosya belgeleri üzerinden sınanmalıdır.

Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşme ve Denetim bakımından maddi hukuk hakkın doğup doğmadığını; usul hukuku ise bu hakkın hangi merci önünde, hangi sürede ve hangi delille korunacağını belirler. Hakimin hukuku kendiliğinden uygulaması, tarafın vakıaları ve talep sonucunu açıkça ortaya koyma yükünü ortadan kaldırmaz. Bu nedenle olay kronolojisi, her çekişmeli vakıanın karşısında dayanak belge ve hukuki sonuç bulunacak şekilde hazırlanmalıdır.

Resmî Mevzuat Haritası

6698 Sayılı Kişisel Verilerin Korunması Kanunu: m.3-7, 9, 10, 12 ve 13

Veri sorumlusu ile veri işleyen arasındaki sözleşme ve denetim kapsamında m.3-7, 9, 10, 12 ve 13 hükümleri roller, işleme, aktarım, güvenlik ve başvuru bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Türk Borçlar Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

6098 Sayılı Türk Borçlar Kanunu: m.112-116 ve 502-514

Veri sorumlusu ile veri işleyen arasındaki sözleşme ve denetim kapsamında m.112-116 ve 502-514 hükümleri ifa, yardımcı kişi ve vekalet özeni bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Türk Ticaret Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

6102 Sayılı Türk Ticaret Kanunu: m.18 ve 64-82

Veri sorumlusu ile veri işleyen arasındaki sözleşme ve denetim kapsamında m.18 ve 64-82 hükümleri tacir özeni, kayıt ve saklama bakımından önem taşır. Hüküm, yürürlük tarihi ve geçiş kurallarıyla birlikte resmî güncel metinden okunmalıdır. Olayın hükmün varsayımına neden girdiği, yaptırımın hangi koşulda doğduğu ve Kişisel Verilerin Korunması Kanunu ile ilişkinin özel-genel norm mu yoksa tamamlayıcı uygulama mı olduğu dilekçede açıklanmalıdır.

Yetki, Şekil, Sebep, Konu ve Maksat Denetimi

Veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz.

Kişisel Verileri Koruma Kurulu veri sorumlusu sözleşme denetim resmî kayıtları yönünden veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz. Bu ölçüt özellikle ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri üzerinden sınanır. Her veri seti ve işlem faaliyeti için amaç ile temel araçları kimin belirlediğini çıkarıp sözleşmedeki rol, fiili sistem yetkisi ve alt işleyen zinciri arasındaki farkları kapatmak tamamlanmadan sonuca gidilmesi, veri işleme ekini genel gizlilik maddesine indirgemek veya hizmet sağlayıcının bağımsız amaçla kullanımını veri sorumlusunun denetiminden bütünüyle çıkarmak ihtimalini güçlendirebilir.

Sözleşmede tarafın veri işleyen diye adlandırılması tek başına rolü belirlemez; işleme amaç ve vasıtalarını kimin belirlediği, bağımsız kullanım, ortak sorumluluk, bulut ve destek erişimi, yurt dışı aktarım, alt işleyen, saklama, denetim hakkı ve olay müdahalesi ayrı incelenmelidir.

Bu kuralın olayda karşılık bulması için bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu ile maddi vakıa arasında açık bağ kurulmalıdır. “Anayasa Mahkemesi veri sorumlusu sözleşme denetim emsal taraması yönünden sözleşmede tarafın veri işleyen diye adlandırılması tek başına rolü belirlemez; işleme amaç ve vasıtalarını kimin belirlediği, bağımsız kullanım, ortak sorumluluk, bulut ve destek erişimi, yurt dışı aktarım, alt işleyen, saklama, denetim hakkı ve olay müdahalesi ayrı incelenmelidir” değerlendirmesi, ilgili usul adımındaki kayıtlarla doğrulanmadıkça soyut kabul olarak bırakılamaz.

Ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır.

“Resmî Gazete veri sorumlusu sözleşme denetim yürürlük denetimi yönünden ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri hukuki sonuca bağlanmadan önce kaynağı, tarihi, kapsamı ve karşı kayıtlarla uyumu bakımından doğrulanmalıdır” ölçütünün değerlendirilmesinde belirleyici nokta, taraf anlatısından çok zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları ile ortaya çıkan fiilî durumdur. Usul planı kurulurken kuralın istisnası ve maddi vakıa, hukuki nitelendirme, delil ve talep sonucunu aynı belirsiz anlatım içinde bırakmak savunması da ayrıca incelenmelidir.

İşlem Dosyası ve Teknik İspat

Ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri.

“Kişisel Verileri Koruma Kurulu veri sorumlusu sözleşme denetim resmî kayıtları yönünden ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri” kaydı, “Veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz” ölçütünün ispat alanına girer. Kaydın kişi, işlem ve tarih bağlantısı kurulmalı; özgünlük ve bütünlük karşı kayıtlarla sınanmalıdır.

Bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu.

Bu delil öncelikle “sözleşmede tarafın veri işleyen diye adlandırılması tek başına rolü belirlemez; işleme amaç ve vasıtalarını kimin belirlediği, bağımsız kullanım, ortak sorumluluk, bulut ve destek erişimi, yurt dışı aktarım, alt işleyen, saklama, denetim hakkı ve olay müdahalesi ayrı incelenmelidir” iddiasını sınamak için kullanılır. “Anayasa Mahkemesi veri sorumlusu sözleşme denetim emsal taraması yönünden bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu” tek başına bütün uyuşmazlığı değil, bağlı olduğu çekişmeli vakıayı kanıtlayabilir.

Zorunlu İdari Başvuru, İtiraz ve Cevap Belgeleri ile Elektronik Başvuru Alındıları.

“Resmî Gazete veri sorumlusu sözleşme denetim yürürlük denetimi yönünden zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları” değerlendirilirken kaydın kim tarafından, hangi amaçla ve ne zaman oluşturulduğu açıklanmalıdır. İlgili usul adımı yürütülürken zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları ile çelişen kayıtlar da dosyaya getirtilmelidir.

İdari Başvurudan Yargısal Denetime

Her veri seti ve işlem faaliyeti için amaç ile temel araçları kimin belirlediğini çıkarıp sözleşmedeki rol, fiili sistem yetkisi ve alt işleyen zinciri arasındaki farkları kapatmak.

“Kişisel Verileri Koruma Kurulu veri sorumlusu sözleşme denetim resmî kayıtları yönünden her veri seti ve işlem faaliyeti için amaç ile temel araçları kimin belirlediğini çıkarıp sözleşmedeki rol, fiili sistem yetkisi ve alt işleyen zinciri arasındaki farkları kapatmak” işlemi, idari denetimin ayrı bir aşamasıdır. Ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri dosyaya alınmalı; kesin işlem, zorunlu idari başvuru, görevli yargı yeri ve dava süresi belirlenmelidir.

Kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması.

Bu aşamada bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu ile işlemin yetki, şekil, sebep, konu ve maksat unsurları arasındaki bağ incelenir. “Anayasa Mahkemesi veri sorumlusu sözleşme denetim emsal taraması yönünden kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması” adımından sonra yürütmenin durdurulması ve esas kararın uygulanma takvimi ayrıca tutulmalıdır.

İşlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi.

“Resmî Gazete veri sorumlusu sözleşme denetim yürürlük denetimi yönünden işlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi” işlemi yürütülürken tebliğ, husumet, kesin işlem ve varsa ön karar başvurusu birlikte denetlenir. Eksik zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları, telafisi güç veya imkânsız zarar ile açık hukuka aykırılık birlikte gösterilebiliyorsa yürütmenin durdurulması isteminin dinlenebilirliğini etkileyebilir.

Tebliğ, İdari Başvuru ve Dava Süresi

Sözleşme işleme başlamadan kurulmalı; rol, amaç veya alt işleyen değişiklikleri önceden yönetilmeli, ihlal bildirimi ve ilgili kişi başvurusu sürelerini karşılayacak iç bildirim takvimi uygulanmalıdır.

Kişisel Verileri Koruma Kurulu veri sorumlusu sözleşme denetim resmî kayıtları yönünden sözleşme işleme başlamadan kurulmalı; rol, amaç veya alt işleyen değişiklikleri önceden yönetilmeli, ihlal bildirimi ve ilgili kişi başvurusu sürelerini karşılayacak iç bildirim takvimi uygulanmalıdır. Başlangıç anı varsayımla değil tebligat, öğrenme, ödeme veya işlem kaydıyla belirlenir; sürenin hukukî niteliği ayrıca gösterilir.

Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

“Anayasa Mahkemesi veri sorumlusu sözleşme denetim emsal taraması yönünden tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır” takvim kuralında önce süreyi başlatan belge tespit edilmelidir. Kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması yapılırken zamanaşımı, hak düşürücü süre ve usul süresi birbirine karıştırılmamalıdır.

İptal, Tam Yargı ve Yürütmenin Durdurulması

Rol ve talimatların düzeltilmesi, denetim ve kayıt ibrazı, erişimin sınırlandırılması, alt işleyen onayı, verinin iadesi-silinmesi, ihlal bildirimi, sözleşmesel tazmin ve Kurul başvurusuna cevap.

“Kişisel Verileri Koruma Kurulu veri sorumlusu sözleşme denetim resmî kayıtları yönünden rol ve talimatların düzeltilmesi, denetim ve kayıt ibrazı, erişimin sınırlandırılması, alt işleyen onayı, verinin iadesi-silinmesi, ihlal bildirimi, sözleşmesel tazmin ve Kurul başvurusuna cevap” istemi, “Veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz” koşuluyla ve ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri ile ilişkilendirilmelidir. İptal, tam yargı ve yürütmenin durdurulması sonuçları ayrı kurulmalıdır.

Bu idari uyuşmazlık konusu işlemin hukuka aykırı kısmının iptali ve gerekli ise sonuçlarının idarece giderilmesi.

“Anayasa Mahkemesi veri sorumlusu sözleşme denetim emsal taraması yönünden bu idari uyuşmazlık konusu işlemin hukuka aykırı kısmının iptali ve gerekli ise sonuçlarının idarece giderilmesi” sonucu isteniyorsa kararın idarece nasıl uygulanacağı işlem, kişi ve dönem bakımından açık olmalıdır. Dayanak kayıt bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu, temel ölçüt ise “sözleşmede tarafın veri işleyen diye adlandırılması tek başına rolü belirlemez; işleme amaç ve vasıtalarını kimin belirlediği, bağımsız kullanım, ortak sorumluluk, bulut ve destek erişimi, yurt dışı aktarım, alt işleyen, saklama, denetim hakkı ve olay müdahalesi ayrı incelenmelidir” olacaktır.

Telafisi güç veya imkânsız zarar ile açık hukuka aykırılık birlikte gösterilebiliyorsa yürütmenin durdurulması.

“Resmî Gazete veri sorumlusu sözleşme denetim yürürlük denetimi yönünden telafisi güç veya imkânsız zarar ile açık hukuka aykırılık birlikte gösterilebiliyorsa yürütmenin durdurulması” isteminin işlemin hangi kısmına ve hangi hukuka aykırılık nedenine dayandığı açıklanmalıdır. Zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları bulunmadığında talep varsayımla genişletilmemelidir.

Resmî Karar ve Kurum Uygulaması

Kişisel Verileri Koruma Kurulu — Veri Sorumlusu Sözleşme Denetim Resmî Kayıtları

Resmî karar veya kurum veri tabanı üzerindeki “veri sorumlusu sözleşme denetim resmî kayıtları” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: bu idari uyuşmazlık bakımından veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz yaklaşımı; görev, süre, ispat ve uygulanabilir sonuçla birlikte sınanmalıdır.

Anayasa Mahkemesi — Veri Sorumlusu Sözleşme Denetim Emsal Taraması

Resmî karar veya kurum veri tabanı üzerindeki “veri sorumlusu sözleşme denetim emsal taraması” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: bu idari uyuşmazlık içtihat araştırmasında lehe kararlarla yetinilmemeli; sözleşmede tarafın veri işleyen diye adlandırılması tek başına rolü belirlemez; işleme amaç ve vasıtalarını kimin belirlediği, bağımsız kullanım, ortak sorumluluk, bulut ve destek erişimi, yurt dışı aktarım, alt işleyen, saklama, denetim hakkı ve olay müdahalesi ayrı incelenmelidir savunmasının kabul edildiği maddi olaylar da karşılaştırılmalıdır.

Resmî Gazete — Veri Sorumlusu Sözleşme Denetim Yürürlük Denetimi

Resmî karar veya kurum veri tabanı üzerindeki “veri sorumlusu sözleşme denetim yürürlük denetimi” taraması konuya ilişkin güncel içtihat araştırmasının başlangıç noktasıdır. Belirli bir karar tam metni açılmadan künye veya birebir alıntı kullanılmaz. Araştırma ölçütü şöyledir: bu idari uyuşmazlık için olay tarihinde ve son hukuki kontrol tarihinde yürürlükte bulunan metinler ile geçiş hükümleri ayrı ayrı kontrol edilmelidir.

Kesin İşlem, Süre ve Husumet Riskleri

Veri işleme ekini genel gizlilik maddesine indirgemek veya hizmet sağlayıcının bağımsız amaçla kullanımını veri sorumlusunun denetiminden bütünüyle çıkarmak.

“Kişisel Verileri Koruma Kurulu veri sorumlusu sözleşme denetim resmî kayıtları yönünden veri işleme ekini genel gizlilik maddesine indirgemek veya hizmet sağlayıcının bağımsız amaçla kullanımını veri sorumlusunun denetiminden bütünüyle çıkarmak” riski hem maddi hakkı hem başvurunun dinlenebilirliğini zayıflatabilir. Her veri seti ve işlem faaliyeti için amaç ile temel araçları kimin belirlediğini çıkarıp sözleşmedeki rol, fiili sistem yetkisi ve alt işleyen zinciri arasındaki farkları kapatmak aşamasında ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri kontrol edilmeli; eksiklik giderilemiyorsa iddianın kapsamı daraltılmalıdır.

Somut Uyuşmazlıkta Olay Tarihindeki Metin Yerine Yalnız Güncel veya İkincil Bir Özete Dayanmak.

Bu risk, karşı tarafın en güçlü savunmalarından biri olarak ele alınmalıdır: “Anayasa Mahkemesi veri sorumlusu sözleşme denetim emsal taraması yönünden somut uyuşmazlıkta olay tarihindeki metin yerine yalnız güncel veya ikincil bir özete dayanmak”. Bu savunmaya verilecek cevap, bu idari uyuşmazlık konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu delili ve “Sözleşmede tarafın veri işleyen diye adlandırılması tek başına rolü belirlemez; işleme amaç ve vasıtalarını kimin belirlediği, bağımsız kullanım, ortak sorumluluk, bulut ve destek erişimi, yurt dışı aktarım, alt işleyen, saklama, denetim hakkı ve olay müdahalesi ayrı incelenmelidir” ölçütü üzerinden somutlaştırılmalıdır.

Maddi Vakıa, Hukuki Nitelendirme, Delil ve Talep Sonucunu Aynı Belirsiz Anlatım İçinde Bırakmak.

“Resmî Gazete veri sorumlusu sözleşme denetim yürürlük denetimi yönünden maddi vakıa, hukuki nitelendirme, delil ve talep sonucunu aynı belirsiz anlatım içinde bırakmak” riski gerçekleşirse telafisi güç veya imkânsız zarar ile açık hukuka aykırılık birlikte gösterilebiliyorsa yürütmenin durdurulması talebi bütünüyle veya kısmen etkisiz kalabilir. Bu nedenle usul işlemleri yürütülürken olay kronolojisi ve karşı deliller birlikte incelenmelidir.

Avukat İçin Dosya Hazırlık Kontrol Listesi

• ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri
• Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşme ve Denetim konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu
• zorunlu idari başvuru, itiraz ve cevap belgeleri ile elektronik başvuru alındıları

• her veri seti ve işlem faaliyeti için amaç ile temel araçları kimin belirlediğini çıkarıp sözleşmedeki rol, fiili sistem yetkisi ve alt işleyen zinciri arasındaki farkları kapatmak
• kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması
• işlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi

• Süre çizelgesinde Sözleşme işleme başlamadan kurulmalı; rol, amaç veya alt işleyen değişiklikleri önceden yönetilmeli, ihlal bildirimi ve ilgili kişi başvurusu sürelerini karşılayacak iç bildirim takvimi uygulanmalıdır. Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

Sık Sorulan Uygulama Soruları

Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşme ve Denetim Bakımından İlk Usul Adımı Hangisidir?

Her veri seti ve işlem faaliyeti için amaç ile temel araçları kimin belirlediğini çıkarıp sözleşmedeki rol, fiili sistem yetkisi ve alt işleyen zinciri arasındaki farkları kapatmak; kesin ve yürütülmesi zorunlu işlemin, tebliğ tarihinin, zorunlu idari başvurunun ve görevli idari veya vergi yargı yerinin doğrulanması; işlemin yetki, şekil, sebep, konu ve maksat unsurları ile maddi olay ve teknik veriler arasındaki bağın incelenmesi. Kesin işlem, zorunlu idari başvuru, görevli yargı yeri, tebliğ ve dava süresi esas incelemesinden önce doğrulanmalıdır.

Veri sorumlusu ile veri işleyen arasındaki sözleşme ve denetim bakımından süre çizelgesi hangi tarihler esas alınarak hazırlanmalıdır?

Sözleşme işleme başlamadan kurulmalı; rol, amaç veya alt işleyen değişiklikleri önceden yönetilmeli, ihlal bildirimi ve ilgili kişi başvurusu sürelerini karşılayacak iç bildirim takvimi uygulanmalıdır. Tebliğ, öğrenme, ilan, ödeme ve elektronik erişim tarihlerinden hangisinin süreyi başlattığı ilgili özel hükümle eşleştirilmeli; hak düşürücü süre, zamanaşımı ve kanun yolu süresi birbirine karıştırılmamalıdır.

Rol ve talimatların düzeltilmesi, denetim ve kayıt ibrazı, erişimin sınırlandırılması, alt işleyen onayı, verinin iadesi-silinmesi, ihlal bildirimi, sözleşmesel tazmin ve Kurul başvurusuna cevap ile diğer istemler nasıl ayrılır?

Rol ve talimatların düzeltilmesi, denetim ve kayıt ibrazı, erişimin sınırlandırılması, alt işleyen onayı, verinin iadesi-silinmesi, ihlal bildirimi, sözleşmesel tazmin ve Kurul başvurusuna cevap, bu idari uyuşmazlık konusu işlemin hukuka aykırı kısmının iptali ve gerekli ise sonuçlarının idarece giderilmesi, telafisi güç veya imkânsız zarar ile açık hukuka aykırılık birlikte gösterilebiliyorsa yürütmenin durdurulması somut işlemin niteliğine göre gündeme gelebilir. İptal, tam yargı ve yürütmenin durdurulması koşulları ile uygulanma sonuçları ayrı açıklanmalıdır.

Sonuç

Bu idari uyuşmazlık bakımından güvenilir sonuç, tek belgeye veya soyut bir karar özetine dayanmaz. “Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşme ve Denetim bakımından hak kaybını önlemek için hangi tarihler, usul işlemleri ve talep sonuçları dosyanın başında netleştirilmelidir” sorusu, 6698 Sayılı Kişisel Verilerin Korunması Kanunu, 6098 Sayılı Türk Borçlar Kanunu, 6102 Sayılı Türk Ticaret Kanunu ile olay tarihindeki resmî uygulama birlikte değerlendirilerek cevaplanır. Veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz.

Dosyanın ilk önceliği her veri seti ve işlem faaliyeti için amaç ile temel araçları kimin belirlediğini çıkarıp sözleşmedeki rol, fiili sistem yetkisi ve alt işleyen zinciri arasındaki farkları kapatmak, delil omurgası ise ana hizmet ve veri işleme sözleşmesi, veri envanteri, rol ve RACI matrisi, talimat kayıtları, sistem mimarisi ve erişim logları, alt yüklenici listesi, güvenlik testleri ve sertifikalar, aktarım mekanizması, ihlal kayıtları, denetim raporları, silme-iade tutanakları ve çalışan gizlilik taahhütleri ile Veri Sorumlusu ile Veri İşleyen Arasındaki Sözleşme ve Denetim konusu işlemin tam metni, tebliğ evrakı, işlem dosyası ve dayanak inceleme veya denetim raporu arasındaki doğrulamadır. Takvimdeki ilk uyarı şudur: Sözleşme işleme başlamadan kurulmalı; rol, amaç veya alt işleyen değişiklikleri önceden yönetilmeli, ihlal bildirimi ve ilgili kişi başvurusu sürelerini karşılayacak iç bildirim takvimi uygulanmalıdır. Rol ve talimatların düzeltilmesi, denetim ve kayıt ibrazı, erişimin sınırlandırılması, alt işleyen onayı, verinin iadesi-silinmesi, ihlal bildirimi, sözleşmesel tazmin ve Kurul başvurusuna cevap talebi açık ve uygulanabilir kurulmalı; veri işleme ekini genel gizlilik maddesine indirgemek veya hizmet sağlayıcının bağımsız amaçla kullanımını veri sorumlusunun denetiminden bütünüyle çıkarmak riski başvuru yapılmadan önce giderilmelidir.

Kaynakça ve Karar Doğrulaması

• Kişisel Verileri Koruma Kurulu — veri sorumlusu sözleşme denetim resmî kayıtları — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: bu idari uyuşmazlık bakımından veri sorumlusu kişisel verileri kendi adına işleyen hizmet sağlayıcıyla amaç, talimat, güvenlik, alt yüklenici, ihlal bildirimi, iade-silme ve denetim hükümlerini somutlaştırmalı; işleyene devredilen operasyon sorumlunun gözetim yükümlülüğünü ortadan kaldırmaz yaklaşımı; görev, süre, ispat ve uygulanabilir sonuçla birlikte sınanmalıdır.
• Anayasa Mahkemesi — veri sorumlusu sözleşme denetim emsal taraması — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: bu idari uyuşmazlık içtihat araştırmasında lehe kararlarla yetinilmemeli; sözleşmede tarafın veri işleyen diye adlandırılması tek başına rolü belirlemez; işleme amaç ve vasıtalarını kimin belirlediği, bağımsız kullanım, ortak sorumluluk, bulut ve destek erişimi, yurt dışı aktarım, alt işleyen, saklama, denetim hakkı ve olay müdahalesi ayrı incelenmelidir savunmasının kabul edildiği maddi olaylar da karşılaştırılmalıdır.
• Resmî Gazete — veri sorumlusu sözleşme denetim yürürlük denetimi — resmî veri tabanında güncel karar araştırma kaynağı; araştırma ölçütü: bu idari uyuşmazlık için olay tarihinde ve son hukuki kontrol tarihinde yürürlükte bulunan metinler ile geçiş hükümleri ayrı ayrı kontrol edilmelidir.
• 6698 Sayılı Kişisel Verilerin Korunması Kanunu — m.3-7, 9, 10, 12 ve 13
• 6098 Sayılı Türk Borçlar Kanunu — m.112-116 ve 502-514
• 6102 Sayılı Türk Ticaret Kanunu — m.18 ve 64-82