Çoğu veri işleyen sözleşmesi, Madde 28(3)’ün zorunlu kıldığı sekiz maddeden en az birini atlar. Aşağıda, DPA’nızı her bir gereklilik karşısında puanlayabileceğiniz madde madde bir kontrol listesi indirebilirsiniz.
Kontrol listesini indirŞirketiniz kişisel veriyi bir tedarikçiye — bulut sağlayıcı, analitik SaaS, bordro bürosu, yapay zekâ sağlayıcısı — teslim ettiğinde, o tedarikçi veri işleyen olur; siz veri sorumlusu kalırsınız. GDPR Madde 28 bu ilişkiyi, sekiz belirli taahhüdü taşıyan yazılı bir sözleşmeye bağlar.
Sorun çoğu kez sözleşmenin yokluğu değildir. Var olan ama eksik bir sözleşmedir: denetim hakkını atlayan, alt işlemeyi serbest bırakan ya da silmeyi tek muğlak satıra sığdıran bir DPA. Bir denetimde kurum, DPA’yı Madde 28(3) karşısında madde madde okur; işleme fiilen nasıl yürümüş olursa olsun, eksik bir madde bir bulgudur.
M. 28(1): yalnızca yeterli güvence veren işleyenlerle çalışın. M. 28(2) ve (4): izin olmadan alt işleyen olmaz, aynı yükümlülükler sözleşmeyle aktarılır. M. 28(3): sözleşme işleyeni sekiz noktada, (a)’dan (h)’ye bağlar. M. 28(9): elektronik biçim dâhil yazılı olmalı.
| Hüküm | Gereklilik | DPA’nızda nelere bakılır |
|---|---|---|
| M. 28(3)(a) | Belgelenmiş talimat | Yalnızca sorumlunun belgelenmiş talimatıyla; aktarımlar dâhil |
| M. 28(3)(b) | Gizlilik | Yetkili kişiler gizlilikle bağlı (sözleşme veya yasa) |
| M. 28(3)(c) | Güvenlik | Madde 32 tedbirlerinin tamamı alınmış |
| M. 28(3)(d) | Alt işleyenler | 28(2)/(4) koşulları; aynı yükümlülükler aktarılmış |
| M. 28(3)(e) | İlgili kişi hakları | Bölüm III taleplerinde sorumluya yardım |
| M. 28(3)(f) | Güvenlik, ihlal, DPIA | Elindeki bilgiyle 32-36. maddelerde yardım |
| M. 28(3)(g) | İade veya silme | Sorumlunun tercihine göre; kopyalar silinir |
| M. 28(3)(h) | Denetim | Uyumu kanıtlayan bilgi; denetim ve incelemeye izin |
| M. 28(3) son | Hukuka aykırı talimat | Talimat hukuku ihlal ediyorsa işleyen sorumluyu uyarır |
Atıflar, sayfanın hazırlandığı tarihte (AB) 2016/679 metnini yansıtır. Yürürlükteki metinle teyit edin.
Veri işleme sözleşmenizi her Madde 28 gerekliliği karşısında puanlayın. Metni kopyalayın veya markdown indirin. Kayıt istemiyoruz.
# VERİ İŞLEME SÖZLEŞMESİ — GDPR MADDE 28 DEĞERLENDİRME KONTROL LİSTESİ
Belge kodu: DPA-28-CHK-01 · Sürüm 1.0 · Gizlilik: Şirket içi
Veri sorumlusu: .................... Veri işleyen: ....................
Sözleşme tarihi: ....../....../20.... İnceleyen: ....................
PUANLAMA: [E] var ve yeterli [K] kısmen / metin düzeltmeli [H] yok
BÖLÜM A — İLİŞKİ VE KAPSAM
[ ] A1 Taraflar ve rolleri (sorumlu / işleyen) tanımlı.
[ ] A2 İşlemenin konusu, süresi, niteliği ve amacı belirtilmiş.
[ ] A3 Kişisel veri türleri ve ilgili kişi kategorileri sayılmış.
[ ] A4 Sözleşme yazılı, elektronik biçim dâhil (m. 28(9)).
BÖLÜM B — SEKİZ ZORUNLU HÜKÜM (m. 28(3))
[ ] B1 (a) İşleme yalnızca sorumlunun belgelenmiş talimatlarıyla; üçüncü
ülkeye aktarımlar dâhil.
[ ] B2 (b) İşlemeye yetkili kişiler gizlilik yükümlülüğü altında.
[ ] B3 (c) Madde 32'deki tüm güvenlik tedbirleri alınıyor.
[ ] B4 (d) Alt işleyenler: izin olmadan (genel veya özel) çalıştırılmıyor; aynı
yükümlülükler sözleşmeyle aktarılıyor; işleyen alt işleyeninden tam sorumlu.
[ ] B5 (e) İşleyen, ilgili kişi taleplerinde (Bölüm III) sorumluya yardımcı oluyor.
[ ] B6 (f) İşleyen, 32-36. maddelerde (güvenlik, ihlal bildirimi, DPIA, ön
danışma) elindeki bilgi ölçüsünde yardımcı oluyor.
[ ] B7 (g) Sona ermede veri, sorumlunun tercihine göre siliniyor veya iade
ediliyor; hukuken saklama gerekmedikçe kopyalar siliniyor.
[ ] B8 (h) İşleyen, uyumu kanıtlamak için gereken tüm bilgiyi sağlıyor; denetim
ve incelemelere izin veriyor ve katkı sunuyor.
[ ] B9 İşleyen, bir talimatın GDPR'ı veya ilgili veri koruma hukukunu ihlal
ettiğini düşünürse sorumluyu bilgilendiriyor.
BÖLÜM C — ALT İŞLEYENLER (m. 28(2) & (4))
[ ] C1 İzin modeli belirtilmiş (önceden bildirimli genel veya özel).
[ ] C2 Güncel bir alt işleyen listesi / eki var.
[ ] C3 Değişiklik bildirimi ve itiraz mekanizması tanımlı.
[ ] C4 Her alt işleyene aynı veri koruma yükümlülükleri yansıtılıyor.
BÖLÜM D — YURT DIŞINA AKTARIM (m. 44 vd.)
[ ] D1 Aktarım konumları (işleyen ve alt işleyenler) belirli.
[ ] D2 Geçerli bir aktarım aracı var (yeterlilik / SCC / BCR).
[ ] D3 Kullanılıyorsa Standart Sözleşme Hükümleri ekli ve doldurulmuş.
[ ] D4 Gerekli olduğunda aktarım etki değerlendirmesi mevcut.
BÖLÜM E — GÜVENLİK, İHLAL, KAYIT
[ ] E1 Teknik ve idari tedbirler yalnızca atıfla değil, tarif edilerek yazılmış.
[ ] E2 Sorumluya ihlal bildirimi "gecikmeksizin" ve bir süreyle tanımlı.
[ ] E3 İşleyen, sorumlu adına işleme kayıtlarını tutuyor (m. 30(2)).
[ ] E4 Denetim sıklığı, maliyeti ve yöntemi uygulanabilir, göstermelik değil.
SONUÇ
[H] / [K] madde sayısı: .... Öncelikli eksikler: ........................
Giderme sorumlusu: .............. Hedef tarih: ....../....../20....
Bu kontrol listesi genel niteliktedir ve hukuki danışmanlık oluşturmaz.
Bir DPA imzalı, antetli olabilir ve yine de Madde 28’e takılabilir. Tekrarlayan boşluklar:
Hayır. İmza sözleşmenin varlığını gösterir; uygunluk, 28(3)(a)-(h)’deki sekiz hükmün var ve yeterli olup olmadığına, alt işlemenin denetlenip denetlenmediğine, silme ve denetim haklarının gerçek olup olmadığına bağlıdır. İmzalı ama eksik bir DPA yine bir bulgudur.
Bazen sağlayıcı, kabul ettiğiniz ayrı bir DPA yayımlar ve bu nitelik kazanabilir. Genel hizmet koşulları çoğu kez saymaz; çünkü Madde 28’in istediği sorumluya özgü talimatlar, alt işleyen denetimleri ve denetim haklarını içermez. Ayrı bir DPA belgesinin dâhil edilip edilmediğini kontrol edin.
Evet. SCC, Bölüm V kapsamında bir aktarım mekanizmasıdır; DPA ise Madde 28 işleyen sözleşmesidir. Örtüşürler ama birbirinin yerine geçmezler. Yeni SCC modülleri Madde 28 hükümleri taşır; yine de tüm hüküm kümesinin ilişkinize uygulandığını teyit edersiniz.
İkisi de sorumlu olabilir; ancak birincil hesap verebilirlik yükümlülüğü sorumludadır (m. 5(2), 24). Eksik bir DPA önce sorumlunun konumunu zayıflatır; değerlendirmenin sorumlu tarafından yürütülmesinin nedeni budur.
Türk hukuku (6698 sayılı Kanun) sorumlu / veri işleyen ayrımını taşır ve yazılı talimat ile güvenlik gerektirir; ancak Madde 28(3) listesini madde madde birebir yansıtmaz. Birleşik bir görünüm için KVKK + GDPR eksiklik raporunu kullanın.