GDPR ve profesyonel mesajlaşma

Düşündüğünüzden daha uzağa seyahat eden belge

Gündelik bir durum: bir mali müşavir mesajlaşma yoluyla müşteri verilerini içeren bir belge alıyor. Bir satış temsilcisi sohbet üzerinden bir meslektaşına bir teklif iletiyor. Bir doktor aynı yolla bir meslektaşıyla bir klinik rapor paylaşıyor. Kimse üzerinde iki kez düşünmüyor. Normaldir. Uygundur. Avrupa'nın her şehrindeki her ofiste her gün yapılan şeydir.

Ancak bu belge, çoğu durumda, ABD'deki bir sunucuya seyahat etmiştir. Hem profesyonelin hem de müşterisinin kontrol etmediği bir bulutta, geçici de olsa ve "beklemede şifrelenmiş" olsa da saklanmıştır. Teknik olarak içerikle ilişkili meta verileri indeksleyebilen sistemlerden geçmiştir. Ve Avrupa Genel Veri Koruma Yönetmeliği'nin (GDPR) bu konuda söyleyecek oldukça net bir şeyi var.

Normun gerektirdikleri

GDPR –ve dolayısıyla Avrupa Birliği Adalet Divanı'nın içtihatları (özellikle 2020 tarihli Schrems II kararı, C-311/18)– Avrupalı vatandaşların kişisel verilerinin uygun şekilde korunması gerektiğini belirler. Bu veriler Avrupa Ekonomik Alanı dışına çıkarsa, veri sorumlusu alıcının Avrupa'dakine "esasen eşdeğer" bir koruma düzeyi sunduğunu garanti etmelidir. Uygulamada bu, müşteri verilerinin sunucuları ABD yargı yetkisine tabi olan servisler aracılığıyla gönderilmesinin, bir etki değerlendirmesi yapılmadan ve ek güvenceler –standart sözleşme maddeleri, doğrulanabilir şifreleme gibi ek teknik önlemler vb.– uygulanmadan yönetmeliğin ihlali anlamına gelebileceği anlamına gelir. Şimdiye kadar kimse bir şey dememiş olsa bile.

Ve mesele sadece mesajların içeriği değildir. Meta veriler, yani kimin kime neyi, ne zaman, ne sıklıkla ve nereden gönderdiği de, Avrupa Veri Koruma Kurulu'nun yinelenen yorumuna göre mevzuat kapsamında kişisel veridir. Bir kullanıcının profesyonel iletişimlerinden meta veri toplayan bir hizmet, bu kullanıcıların müşterilerinin kişisel verilerini, onların haberi olmadan ve bu işleme için herhangi bir onay vermeden işlemektedir.

Yaygın düşünce şeması –"uygulamayı sadece yazmak için kullanıyorum; uygulama müşterimin veri sağlayıcısı değil"– hukuken yanlıştır. Eğer müşterinin verileri üçüncü bir tarafın altyapısından geçiyorsa, o üçüncü taraf bu verileri işliyor demektir. Ve eğer bunları işliyorsa, yasal bir dayanak, bir veri işleme sözleşmesi ve uygun güvenceler olmalıdır.

Kim sorumlu?

Hukuki sorumluluğu kimin taşıdığı sorusu akademik değildir. GDPR, veri sorumlusu (hangi verilerin hangi amaçla işleneceğine karar veren) ile veri işleyen (bunu maddi olarak sorumlunun adına yapan) arasında ayrım yapar. Müşteri belgelerini gönderen profesyonel veri sorumlusudur. Mesajlaşma uygulaması sağlayıcısı birçok durumda fiili veri işleyendir. Bir veri işleme sözleşmesi olmadan –ve böyle bir sözleşmenin içermesi gereken maddelerin çoğu olmadan– sorumlu yükümlülüğünü yerine getirmemiştir.

İyi niyetli yorum: "çoğu profesyonel bunu bilmiyor" der. Sert yorum: "kanunu bilmemek mazeret sayılmaz" der. Ve bu konuda görüşüne başvurulan herhangi bir uzman veri koruma avukatının yorumu genellikle sert olandır.

Bunun somut olarak kimin için önemli olduğu

Üçüncü şahısların kişisel bilgileriyle ara sıra bile olsa işlem yapan her profesyonel veya şirket için:

• Müşteri belgeleri alan avukatlar (sözleşmeler, davalar, beyanlar, varlık raporları).
• Sağlık verilerini paylaşan doktorlar ve diğer sağlık profesyonelleri –ki bunlar GDPR 9. maddeye göre güçlendirilmiş bir koruma rejimine sahip özel nitelikli veriler olarak kabul edilir–.
• Kimlik, vergi ve banka verileriyle işlem yapan mali müşavirler ve idari yöneticiler.
• Çalışanların iş ve kişisel belgelerini yöneten İnsan Kaynakları departmanları.
• Potansiyel ve mevcut müşterilerden iletişim bilgilerini ve genellikle hassas ticari bilgileri alan ticari temsilciler.

Her durumda bilgiler GDPR ile korunmaktadır. Her durumda, alışılagelmiş uygulamada bu bilgiler, yargı yetkisi ek güvenceler olmadan Avrupa çerçevesine "esas itibarıyla eşdeğer" beyan edilmesine izin vermeyen kanallar üzerinden akmaktadır. Kötü niyetten değil. Alışkanlıktan. Ve on beş yıl boyunca kolaylığı uyumluluğun önüne koyan teknolojik bir altyapı nedeniyle.

"Herkes yapıyor" argümanı

En yaygın itirazı öngörmek akıllıca olacaktır: "eğer herkes yapıyorsa, bu gerçek bir sorun olamaz". Bu tamamen anlaşılabilir bir argümandır ve hukuken hiçbir gücü yoktur. Bir uygulamanın yaygın olması, onu yönetmeliğe uygun kılmaz. Veri koruma yetkilileri son yıllarda, denetim anına kadar zararsız görünen mesajlaşma kullanım biçimleri nedeniyle birkaç şirketi tam olarak cezalandırmıştır.

Mevcut operasyonel gerçeklik, riskin olasılık açısından düşük olmasıdır — AEPD'nin orta ölçekli bir ofisin belirli mesajlaşma araçlarını denetlemesi çok nadirdir — ancak gerçekleşmesi durumunda etki açısından yüksektir. Çoğu kişinin aldığını bilmeden aldığı bir risktir. Diğer bir deyişle, kullanılan aracın veri sorumlusunun hukuki sorumluluğuyla uyumlu olup olmadığını değerlendirmeden.

Dijital izler geriye dönüktür

Öngörülmesi gereken, öncekine neredeyse simetrik ikinci bir argüman daha vardır: "eğer bu ciddi bir sorun olsaydı, idare bunu zaten denetlemeye başlardı". Mevcut gözlemlenen gerçeklik ona yüzeysel olarak hak veriyor. Küçük şirketlerde ve özellikle kendi hesabına çalışanlarda hatalı mesajlaşma kullanımı nedeniyle yapılan denetimler bugün neredeyse yok denecek kadar azdır –bu davranışa izin verildiği için değil, Türkiye ve AB'nin büyük bölümündeki idarenin milyonlarca yükümlüyü denetlemek için gereken insan kaynağından yoksun olması nedeniyle.

Bugünün gözlemlenen pratiği bunu düşündürüyor. Ancak gelecek on yılın düşündürdüğü şey bu değil. İki vektör, nispeten kısa süreler içinde dengeyi değiştirmek için birleşiyor.

Birincisi: dijital izler geriye dönüktür. Merkezi bir sunucuya sahip bir uygulama üzerinden gönderilen her mesaj, en azından meta verilerde, kalıcı bir altyapıda kayıtlı kalır. Altı ay önce gönderilen şey bugün teknik olarak hala denetlenebilir durumdadır. Bugün gönderilen şey beş yıl sonra da denetlenebilir olacaktır. Mevcut bir denetimin olmaması, gelecekte bir denetim olmayacağının garantisi değildir. Bu, değerlendirmenin ertelenmesidir, muafiyet değil.

İkincisi: idari denetim kapasitesi hızlanarak artacaktır. Yapay zeka araçlarının denetim süreçlerine dahil edilmesi, şimdiye kadar –hukuken değil fiilen– küçük şirketleri ve serbest meslek sahiplerini koruyan insani darboğazı ortadan kaldırıyor. Devasa meta veri yığınlarını, vergi beyannamelerini, ticaret sicillerini ve güvenlik ihlali bildirim yükümlülüklerini çapraz kontrol edebilen bir sistemin müfettişlere ihtiyacı yoktur: erişime ihtiyacı vardır. Ve mevcut normatif çerçeve altında AB'de yasal varlığı olan sağlayıcılara yönelik talepler yoluyla erişim tamamen mümkündür.

Buna daha az teknik ama bir o kadar belirleyici bir faktör daha ekleniyor: Avrupa devletleri sürekli artan bir borçlanma sürecindedir ve neredeyse istisnasız olarak vergi tabanlarını genişletmeleri gerekmektedir. GDPR'a uyulmamasından kaynaklanan idari yaptırım, saf mali terimlerle büyüyen ve siyasi olarak elverişli bir gelir kaynağıdır. Bu bir varsayım değil: Avrupa veri koruma yetkililerinin yıllık raporlarında gözlemlenebilir bir eğilimdir ve burada toplam ceza hacmi birkaç mali yıldır üst üste artmaktadır.

Veri sorumlusu için operatif sonuç alarmist değil, ayık bir sonuçtur: bugün müşteriyle iletişimin nasıl yönetildiğine dair karar, bugünkü değil, denetimin geldiği yılın denetim kapasitesine göre değerlendirilir. Ve bu kapasite, makul bir süre içinde bugünkünden önemli ölçüde farklı olacaktır. Bugün işleri doğru yapmaya başlayan kişi sadece bugünden itibaren düzgün olmayacak: bu andan itibaren oluşturulan iz norma uygun olacak ve bu, gelecek süreci geriye dönük olarak koruyacaktır. Şimdiye kadar olduğu gibi devam eden kişi, uyumluluğu gelecek yılların standartlarına –ve kaynaklarına– göre değerlendirilecek olan denetlenebilir bir iz biriktirecektir.

Farklı bir mimariyle ne değişir?

Verilerin üçüncü şahıs altyapısında depolanmadığı, bunun yerine doğrudan göndericinin cihazından alıcının cihazına seyahat ettiği teknik alternatifler mevcuttur. Bu mimaride, uluslararası aktarımlar açısından GDPR'a uyum; standart sözleşme maddelerine, sağlayıcının iyi niyetine veya gelecekteki denetimlere bağlı değildir. Aktarımın olmamasına bağlıdır. Ve var olmayanı ihlal edemezsiniz.

Bu tek çözüm değildir ve mümkün olan tek çözüm de değildir. Ancak yapısal olarak farklıdır ve normatif uyum bir prosedürel ek olmaktan çıkıp tasarımın doğrudan bir sonucu haline gelir. Sorumluluğunu ciddiye alan bir profesyonel için bu fark bir fark yaratır.

---

Cuadernos'un bir sonraki sayısı, Schrems II kararını ve ABD bulut servislerine bağımlı küçük ve orta ölçekli şirketler için yayınlanmasından beş yıl sonraki pratik etkilerini ayrıntılı olarak analiz edecektir.