Veri sorumlusu sizsiniz
Bir ajan hata yaptığında ilk refleks “tedarikçinin sorunu” demektir. Bu ders, o refleksi bitirir: KVKK'da sorumluluğun kimde olduğunu, veri sorumlusu ile veri işleyen ayrımını ve ajanı konuşlandıran şirketin neden birincil muhatap olduğunu öğreneceksiniz.
“Kullanıcıyız” diye bir savunma yok
Pilot programın altıncı haftasında bir destek ajanı, “geçen ayın bordro raporunu gönderir misiniz?” talebini cevaplarken isim benzerliği yüzünden başka bir müşterinin bordro raporunu ekledi — dört yüz kişinin kimlik numarası ve maaşı. Şirketin ilk tepkisi kararlıydı: “Yazılım firmasını arayın, onların ajanı, onların hatası.” Avukatın cevabı bu refleksi bitirdi: “Kimin ajanı olduğunun önemi yok. O verileri işleme kararını siz verdiniz. Kuruma karşı masada oturacak olan sizsiniz.”
Veri sorumlusu kimdir, neden sizsiniz?
KVKK iki temel rol tanır. Veri sorumlusu, kişisel verinin neden ve nasıl işleneceğine karar verendir. Veri işleyen, onun adına, verdiği yetkiye dayanarak işleyendir. Benzetme: veri sorumlusu ev sahibi, veri işleyen temizlik şirketidir. Temizlikçi vazoyu kırarsa aranızdaki sözleşmeye göre tazmin edersiniz — ama komşunun tavanına akan su için muhatap ev sahibidir. Ajanı hangi amaçla ve hangi veriyle çalıştıracağınıza siz karar verdiğiniz an, veri sorumlusu olursunuz; ajanın kodunu kimin yazdığı bu sıfatı değiştirmez.
Zincirde kim var? Etkileyen çok, sorumlu tek
Bir ajanın arkasında tipik olarak üç aktör durur: modelin beynini üreten model sağlayıcı, ürünün teknik sınırlarını çizen platform tedarikçisi ve sistemi araçlarınıza bağlayan entegratör. Üçü de davranışı etkiler; ama birincil hesap verebilirlik, ajanı işine konuşlandıran şirkettedir — çünkü yetkileri o tanımlar, amaçları o onaylar.
İkili şapka ve üç sahiplik
Müşterileriniz adına veri tutuyorsanız (SaaS, muhasebe bürosu, ajans...), kendi verinizde veri sorumlusu, müşterinizin verisinde onun adına işlem yapan veri işleyen olursunuz. Ve “şirket sorumludur” cümlesi doğru ama işlevsizdir; olgun yönetişimde her ajan için üç sahiplik isimle atanır: davranışı kim izliyor, yüksek etkili işlemleri kim onaylıyor, ters giderse kim durdurup araştırıyor.
- Ajanı konuşlandıran şirket veri sorumlusudur; sorumluluk devredilemez.
- Zincirde çok aktör vardır ama birincil muhatap sizsiniz.
- “Sistem karmaşıktı” bir savunma değil, bir itiraftır.
- Her ajan için üç sahip atayın: izleme, onay, müdahale.