GDPR ve Çeviri: Avrupa’daki Düzenleyici Çerçeve

Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR), 2018’de yürürlüğe girdiğinden bu yana çeviri sektöründe somut izler bıraktı. Bu izler yalnızca sözleşme metinlerinde değil, çeviri yazılımlarının arayüzlerinde de görünür durumda.

İçindekiler

Yazılıma kadar inen bir düzenleme

Bir düzenlemenin sektöre gerçekten yerleştiğinin en iyi göstergesi, ürünlerin tasarımını değiştirmesidir. Çeviri araçlarından memoQ, harici bir makine çevirisi motoru tanımlandığında kullanıcıya doğrudan GDPR’a atıf yapan bir uyarı gösterir:

Kaynak metin harici bir sağlayıcıya gönderilecektir. Metin kişisel veri içeriyorsa, GDPR ve ulusal veri koruma mevzuatı uyarınca bunu göndermenize izin verilmiyor olabilir. Lütfen sağlayıcının Gizlilik Politikası ve Veri İşleme Sözleşmesi’ni kontrol edin.
memoQ uyarı diyaloğu, aktaran Pietrzak & Kornacki (2021), s. 25

Bu uyarı iki şeyi aynı anda yapar: kullanıcıyı bilgilendirir ve sorumluluğu ona devreder. Yazılım üreticisi, aracın nasıl kullanılacağını denetleyemeyeceği için kararı kullanıcıya bırakır.

Roller: sorumlu ve işleyen

GDPR’ın çeviri sürecine bakan en önemli ayrımı rol ayrımıdır:

Veri sorumlusu (controller): Verinin neden ve nasıl işleneceğine karar veren taraf — belgeyi çeviriye gönderen şirket.
Veri işleyen (processor): Veriyi sorumlunun talimatıyla işleyen taraf — çeviri bürosu.

	Veri sorumlusu	Veri işleyen
Çeviri ilişkisinde kim	Belgeyi gönderen şirket	Çeviri bürosu
Neye karar verir	İşlemenin amacı ve yöntemi	Yalnızca teknik uygulama
Hukuki sorumluluk	Ağırlıklı olarak burada	Sözleşmeyle sınırlı
İhlal bildirimi	Otoriteye bildirir	Sorumluya bildirir
Alt işleyen	Onay verir	Onay ister

İki taraf arasında yazılı bir veri işleme sözleşmesi bulunması gerekir. Bu sözleşme, işlemenin konusunu, süresini, amacını, veri kategorilerini ve alt işleyen kullanımının koşullarını tanımlar. Çeviri sektöründe kademeli taşeronluk yaygın olduğu için alt işleyen maddesi özellikle önemlidir.

Çeviri belleği: unutulan veri tabanı

GDPR tartışmalarında genellikle belgenin kendisine odaklanılır. Oysa çeviri sürecinde kalıcı hâle gelen şey çeviri belleğidir. Bellek, çevrilen her cümleyi kaynak ve hedef diliyle saklar; belgede geçen kişisel veriler cümlenin içinde belleğe yazılır ve proje bittikten sonra da orada kalır.

Bu, GDPR’ın silme hakkı ilkesiyle doğrudan gerilim yaratır. Yıllar içinde birikmiş, birden çok projede kullanılan bir bellekten tek bir kişiye ait segmentleri ayıklamak teknik olarak zordur.

Pratik çözüm, kişisel veri yoğun belgelerde proje sonunda imha edilen ayrı bellek kullanmaktır. Böylece bellek avantajından tekrar oranı yüksek kurumsal metinlerde yararlanılırken, kişisel belgeler kalıcı arşive girmez.

Veri minimizasyonu çeviride ne demek?

GDPR’ın veri minimizasyonu ilkesi, amaç için gerekli olandan fazla veri işlenmemesini ister. Çeviride bunun somut karşılığı vardır: bir belgenin yalnızca çevrilmesi gereken kısmı gönderilebilir.

Örneğin bir teknik raporun yalnızca yöntem bölümü çevrilecekse, rapora ekli katılımcı listesinin gönderilmesine gerek yoktur. Bu basit ayıklama, birçok kurumda hiç yapılmaz — tüm dosya olduğu gibi iletilir.

Veri işleme sözleşmesinde ne bulunmalı?

Veri sorumlusu ile veri işleyen arasındaki sözleşme, GDPR uyumunun belkemiğidir. Çeviri ilişkisine özgü olarak şu başlıkların açıkça yer alması gerekir:

İşlemenin konusu ve süresi. “Çeviri hizmeti” yeterince açık değildir; hangi belge türleri, hangi diller, ne kadar süre.
Veri kategorileri. Özel nitelikli veri işlenecekse ayrıca belirtilmelidir; bu kategori daha ağır korunur.
Alt işleyen rejimi. Çeviri sektöründe kademeli taşeronluk yaygın olduğu için en kritik madde budur: alt işleyen kullanılabilir mi, bildirim mi onay mı gerekir, listesi güncel tutulacak mı?
Çeviri belleğinin statüsü. Belleğin mülkiyeti, saklanma süresi, başka müşterilerin projelerinde kullanılıp kullanılamayacağı.
Makine çevirisi kullanımı. Hangi projelerde açık, kapatma talebi nasıl iletilir, taahhüt nasıl belgelenir.
İhlal bildirimi. Saat cinsinden süre ve tek irtibat kişisi. Veri sorumlusunun kendi bildirim süresi bu bilgiye bağlıdır.
Hizmet sonunda imha ya da iade. Belgelerin ve belleğin akıbeti.

Bu maddelerin çoğu standart sözleşme şablonlarında yer alır. Çeviriye özgü olan ve şablonlarda genellikle bulunmayan ikisi ise çeviri belleği ve makine çevirisi maddeleridir. Bunları ayrıca eklemek gerekir.

GDPR, yüksek risk taşıyan işleme faaliyetleri için veri koruma etki değerlendirmesi (DPIA) öngörür. Çeviri süreçlerinin çoğu bu eşiği aşmaz; ancak bazı durumlarda değerlendirme yapmak gerekir:

Büyük ölçekli özel nitelikli veri çevirisi (ör. bir hastane arşivinin toplu çevirisi),
Sistematik ve düzenli yurt dışı aktarım içeren çeviri süreçleri,
Otomatik karar verme süreçlerini besleyen çeviri akışları.

Tek bir sağlık raporunun çevrilmesi DPIA gerektirmez. Binlerce hasta dosyasının düzenli olarak yurt dışındaki bir sağlayıcıya gönderilmesi gerektirir. Ölçek ve süreklilik belirleyicidir.

AB’li müşteriler sözleşmede ne istiyor?

Türkiye’den AB pazarına çalışan şirketler için GDPR çoğunlukla soyut bir mevzuat tartışması olarak değil, satın alma sürecinde önlerine konan bir soru listesi olarak belirir. Tedarikçi değerlendirme formlarında en sık karşılaşılan talepler şunlardır:

İmzalı veri işleme sözleşmesi (DPA),
Alt işleyen listesi ve değişiklik bildirim taahhüdü,
Verinin işlendiği ülkelerin beyanı,
İhlal bildirim süresi taahhüdü,
Saklama ve imha politikası,
Personel gizlilik taahhütlerinin varlığı.

Bu belgeleri hazır tutan bir tedarikçi, satın alma sürecini haftalar kısaltır. Hazır tutmayan tedarikçi ise çoğu zaman fiyatı uygun olsa bile listeden elenir — çünkü alıcının hukuk birimi süreci onaylamaz.

Bu, Türkiye’deki çeviri tedarikçileri için gözden kaçan bir rekabet avantajı alanıdır: belgelerini düzenlemiş bir büro, AB’ye çalışan müşteriler nezdinde fiyattan bağımsız bir üstünlük kazanır.

Yaptırım mantığı ve kayıt tutmanın rolü

GDPR’ın yüksek idari para cezası tavanları çok konuşulur; uygulamada cezanın miktarını belirleyen şey ise ihlalin büyüklüğünden çok kurumun süreç olgunluğudur. Denetim otoriteleri değerlendirme yaparken şunlara bakar:

İhlalin niteliği, ağırlığı ve süresi,
Kasıt mı ihmal mi olduğu,
Zararı azaltmak için atılan adımlar,
Alınmış teknik ve idari tedbirler,
Otoriteyle iş birliği düzeyi,
İhlalin nasıl öğrenildiği — kurum kendisi mi bildirdi?

Çeviri bağlamında bunun pratik sonucu nettir: yazılı bir politikanız ve imzalı bir veri işleme sözleşmeniz varsa, bir ihlal yaşansa bile durumunuz, hiçbir tedbir almamış bir kuruma göre esaslı biçimde farklıdır. Tedbirlerin varlığı, ihlalin sonucunu doğrudan etkiler.

Tersi de doğrudur: çalışanların gizli sözleşmeleri ücretsiz araçlara yüklediği, bunun bilindiği ama hiçbir kural konmadığı bir kurumda ihlal, ihmalden öte sistematik bir eksiklik olarak değerlendirilir.

GDPR’ın hesap verebilirlik ilkesi, uyumlu olmayı değil uyumlu olduğunu kanıtlayabilmeyi ister. Bu ayrım çeviri süreçlerinde sıkça gözden kaçar.

Somut örnek: gizli bir belgede makine çevirisinin kapatıldığını söylüyorsanız, bunu nasıl kanıtlarsınız? Proje başında alınan tek satırlık bir teyit e-postası, aylar sonra bir denetimde kanıt değeri taşır. Sözlü teyit taşımaz.

Tutulması makul ve düşük maliyetli kayıtlar şunlardır:

Hangi belge sınıfının hangi iş akışına gönderildiği,
Gizli projelerde makine çevirisi kapatma teyitleri,
Alt yüklenici bildirimleri ve onayları,
İmha kayıtları,
Politikanın çalışanlara duyurulduğu tarihler.

Bu kayıtların hiçbiri özel bir sistem gerektirmez; bir paylaşılan tablo yeterlidir. Önemli olan düzenli tutulmasıdır — geriye dönük üretilen kayıt, kayıt sayılmaz.

Birleşik Krallık ayrı bir rejim

AB’ye çalışan şirketlerin sık karıştırdığı bir nokta: Birleşik Krallık, AB’den ayrıldıktan sonra kendi veri koruma rejimini sürdürmektedir. Metin büyük ölçüde GDPR’a paralel olsa da ayrı bir hukuk düzenidir ve denetim otoritesi farklıdır.

Pratik sonucu şudur: hem AB hem Birleşik Krallık müşterilerine çalışıyorsanız, sözleşmelerinizin her iki rejime de atıf yapması beklenir. Tek bir “GDPR uyumluyuz” beyanı, Birleşik Krallık’taki bir alıcının satın alma sürecinde yeterli görülmeyebilir.

Türkiye bağlamı

Türkiye’deki bir şirket için GDPR iki yoldan gündeme gelir. Birincisi, AB’de yerleşik kişilere ait veri işleniyorsa Tüzüğün yer bakımından uygulama alanına girilebilmesidir. İkincisi, AB’li müşterilerin sözleşme yoluyla GDPR uyumunu şart koşmasıdır — pratikte daha sık karşılaşılan yol budur.

KVKK ile GDPR benzer ilkelere dayanır ancak aynı değildir. En belirgin fark yurt dışına aktarım rejiminde ve açık rızanın rolündedir. İki mevzuata birden tabi bir şirket, ikisini ayrı ayrı değerlendirmek zorundadır; birine uyum diğerine uyumu garanti etmez.

Bu sizin için ne anlama geliyor?

AB pazarına çalışan bir şirketseniz, çeviri tedarikçinizin GDPR duruşu artık teknik bir ayrıntı değil ticari bir gerekliliktir. Kontrol listesi kısa:

Yazılı veri işleme sözleşmesi var mı?
Alt işleyen kullanımı beyan ediliyor ve onaya bağlanıyor mu?
Çeviri belleğinin mülkiyeti ve imha koşulları tanımlı mı?
Makine çevirisi motoru kapatılabiliyor mu?
İhlal bildirimi için süre taahhüdü var mı?

Bu maddelerin tamamını kapsayan bir çalışma modelimiz var; kurumsal süreçleriniz için iletişime geçin ya da hizmetlerimizi inceleyin.

Not: Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Somut uyum yükümlülükleriniz için hukuk danışmanınıza başvurun.

Sık sorulan sorular

GDPR Türkiye’deki bir çeviri bürosunu bağlar mı?

AB’de yerleşik kişilere ait verileri işliyorsanız GDPR’ın yer bakımından uygulama alanına girebilirsiniz. AB’li müşterilere hizmet veren Türk çeviri bürolarının bu ihtimali değerlendirmesi gerekir.

Çeviri belleği GDPR kapsamında kişisel veri midir?

Bellekteki bir segment kimliği belirli veya belirlenebilir bir kişiye ilişkin bilgi içeriyorsa evet. Bellek bu durumda kişisel veri içeren bir işleme faaliyeti sayılır.

Silme hakkı çeviri belleğinde nasıl uygulanır?

Teknik olarak zordur, çünkü bellekler yıllar içinde birikir ve birden çok projede kullanılır. Bu nedenle kişisel veri yoğun belgelerde ayrı ve proje sonunda imha edilen bellek kullanmak iyi bir uygulamadır.

GDPR ile KVKK aynı şey mi?

Benzer ilkelere dayanırlar ama aynı değildirler. Özellikle yurt dışına aktarım rejimi, açık rızanın rolü ve idari yaptırımlar bakımından farklılıklar vardır. İki mevzuata birden tabiyseniz ikisini ayrı ayrı değerlendirmelisiniz.

Kaynaklar

Pietrzak, P. & Kornacki, M. (2021). Using CAT Tools in Freelance Translation. Routledge, s. 25.
Regulation (EU) 2016/679 (General Data Protection Regulation).
Kişisel Verilerin Korunması Kanunu (6698) — mevzuat.gov.tr