KVKK ve Çeviri: Türkiye’deki Uygulama

Bir iş sözleşmesini, bir bilirkişi raporunu ya da bir personel dosyasını çeviriye gönderdiğinizde yaptığınız şey bir hizmet siparişi vermekten ibaret değildir: içinde kişisel veri bulunan bir belgeyi başka bir kuruma teslim etmiş olursunuz. KVKK çeviri sürecini adıyla anmaz, ama süreç kanunun tanımladığı işleme faaliyetinin tam ortasında durur.

İçindekiler

Bu yazı, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun çeviri satın alan kurumlar için ne anlama geldiğini anlatıyor. Roller nasıl dağılıyor, hangi belgeler riskli, yurt dışına aktarım 2024’te nasıl değişti ve tedarikçi sözleşmenizde ne aramanız gerekiyor?

Amaç hukuki bir metin üretmek değil; çeviri sürecini yöneten kişinin doğru soruları sorabilmesi. Konu teknik göründüğü kadar teknik değil; büyük ölçüde alışkanlık meselesi.

KVKK çeviri sürecinin neresinde durur?

Kanun kişisel veriyi, kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgi olarak tanımlar. Tanım geniştir: ad, adres ve kimlik numarası kadar, bir kişiyi dolaylı olarak işaret eden ifadeler de kapsama girer. Çeviriye gönderilen belgelerin büyük bölümü bu tanıma uyan en az bir unsur taşır.

İşleme kavramı da aynı ölçüde geniştir. Verinin elde edilmesi, kaydedilmesi, saklanması, aktarılması ve silinmesi ayrı ayrı işleme sayılır. Bir belgeyi çeviri bürosunun portalına yüklemek aktarma, o belgeyi sunucuda tutmak saklama, cümlelerini çeviri belleğine yazmak kaydetmedir. Tek bir çeviri işi, birbirini izleyen birkaç işleme faaliyeti üretir.

Bu nedenle “biz sadece çeviri yaptırıyoruz” cümlesi hukuken bir muafiyet sağlamaz. Çeviri, kişisel veri içeren bir belgenin başka bir kuruma teslim edildiği ve orada işlendiği bir süreçtir. Sürecin kendisi kadar, sürecin nasıl belgelendiği de önem taşır.

Uygulamada çeviri, kurumların envanter çalışmalarında en sık atlanan süreçlerden biridir. İnsan kaynakları, muhasebe ve müşteri ilişkileri süreçleri titizlikle kayda geçirilirken, bu süreçlerin ürettiği belgelerin çeviriye gitmesi ayrı bir işleme faaliyeti olarak görünmez. Oysa belge, kurumun sınırlarının dışına tam da burada çıkar.

Veri sorumlusu kim, veri işleyen kim?

Kanun iki temel rol tanımlar. Veri sorumlusu, verinin işlenme amaçlarını ve araçlarını belirleyen taraftır. Veri işleyen ise sorumlunun verdiği yetkiye dayanarak onun adına veri işleyen taraftır. Çeviride bu ayrım genellikle nettir: belgeyi gönderen kurum sorumlu, çeviri sağlayıcısı işleyendir.

Rolün pratik sonucu ağırdır. Yükümlülüklerin çoğu — aydınlatma, hukuka uygun bir işleme sebebi bulundurma, güvenlik tedbirleri, ilgili kişi başvurularının yanıtlanması — veri sorumlusunda toplanır. Tedarikçinizin ihmali sizi sorumluluktan kurtarmaz; tedarikçi seçimi ve denetimi de sizin yükümlülüğünüzün parçasıdır.

Bazı durumlarda sağlayıcı veriyi kendi amaçları için de işler. Örneğin çeviri belleğini kendi genel havuzuna katıyor ya da metinleri hizmet geliştirmek için kullanıyorsa, orada artık yalnızca işleyen gibi davranmıyor demektir. Sözleşmede bu sınırın çizilmemesi, uygulamada en sık rastlanan boşluktur.

Çeviriye giden belgelerde hangi veriler bulunur?

Risk, belgenin uzunluğuyla değil içeriğiyle ölçülür. Aşağıdaki tablo, kurumlarda en sık çeviriye çıkan belge türlerini ve taşıdıkları veri kategorilerini özetliyor.

Belge türü	Tipik kişisel veri	Dikkat edilecek nokta
İş sözleşmesi, özlük dosyası	Ad, kimlik ve iletişim bilgisi, ücret	Eklerinde sağlık raporu bulunabilir
Epikriz, tıbbi rapor	Sağlık verisi	Özel nitelikli veri; daha sıkı rejim
Dava dilekçesi, bilirkişi raporu	Taraf, tanık ve üçüncü kişi bilgileri	Rıza almak fiilen imkânsız olabilir
Diploma, transkript, nüfus kaydı	Kimlik ve eğitim bilgisi	Yeminli tercüme akışında çok yaygın
Müşteri listesi, sistem çıktısı	Toplu iletişim verisi	Sızıntının etkisi geniş olur
Ürün kataloğu, pazarlama metni	Genellikle yok	Risk düşük; standart akış yeterli

Tablonun amacı bir sınıflandırma alışkanlığı kurmaktır. Belgeyi göndermeden önce iki soru yeter: içinde gerçek kişiye ait bilgi var mı ve bu bilgi özel nitelikli veri sayılır mı? İkinci soruya evet diyorsanız süreç farklı kurulmalıdır.

Sınıflandırmayı belgeyi gönderen kişinin sezgisine bırakmamak gerekir. Pratik çözüm, iki ya da üç kademeli basit bir etiket sistemidir: serbest, sınırlı ve gizli. Her kademe için hangi kanalın ve hangi tedarikçinin kullanılacağı önceden yazılırsa, karar anında düşünmek gerekmez. Kararı süreç verir, kişi vermez.

Yurt dışına aktarım: 1 Haziran 2024’te değişen çerçeve

Çeviri süreçleri sık sık yurt dışı unsuru taşır: bulut platformun sunucusu, hedef dilde yaşayan çevirmen, yurt dışındaki ortak büro. 6698 sayılı Kanun’un yurt dışına aktarımı düzenleyen 9. maddesi, 7499 sayılı Kanun’la değiştirildi ve yeni hâli 1 Haziran 2024’te yürürlüğe girdi.

Yeni düzenleme kademeli bir yapı kurar. Birinci kademe yeterlilik kararıdır: Kurulun ilan ettiği bir ülke, sektör ya da uluslararası kuruluş söz konusuysa aktarım buna dayanabilir. İkinci kademe uygun güvencelerdir; bunlar arasında Kurulca ilan edilen standart sözleşme, bağlayıcı şirket kuralları ve taahhütname sayılır. Üçüncü kademe ise yalnızca arızi hâllerde işleyen istisnalardır.

Standart sözleşme yolunu seçerseniz bir usul yükümlülüğü daha doğar: sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurula bildirim yapılması gerekir. Bu bildirimi atlamak, aktarımın hukuki dayanağını zayıflatır.

Pratik sonuç şudur: “sunucularımız Avrupa’da” cümlesi tek başına bir uyum kanıtı değildir. Hangi kademeye dayandığınızın belgeyle gösterilebilir olması gerekir.

Açık rıza neden tek başına yetmiyor?

Eski uygulamada yurt dışına aktarım için en kısa yol açık rıza almaktı. Yeni çerçevede açık rıza, kademeli yapının üçüncü basamağında yer alır: arızi, yani süreklilik arz etmeyen aktarımlar için öngörülen istisnalar arasındadır.

Çeviri açısından sonuç açıktır. Yılda bir kez, tek seferlik bir belge için yurt dışındaki bir uzmana başvurmak arızi sayılabilir. Ama her ay düzenli olarak yurt dışı sunuculu bir platforma belge yüklüyorsanız, bu düzenli ve sistematik bir aktarımdır; tek dayanağınız açık rıza olamaz.

Açık rızanın kendi zorlukları da vardır. Rızanın özgür iradeyle verilmesi, belirli bir konuya ilişkin olması ve bilgilendirmeye dayanması beklenir; ayrıca her zaman geri alınabilir. Çalışanlardan alınan rızalarda özgür irade ölçütü tartışmalıdır. Dilekçedeki tanığın, rapordaki hastanın rızasını almak ise çoğu zaman fiilen mümkün değildir.

Bu yüzden düzenli süreçlerde doğru kurgu rıza toplamak değil, uygun güvenceye dayanan bir yapı kurmaktır. Rıza, istisnai işler için elde tutulan bir yol olarak düşünülmelidir.

Tedarikçi sözleşmesinde ne aranmalı?

Veri işleyenle ilişki, hizmet sözleşmesinin içine sıkıştırılmış tek cümlelik bir gizlilik maddesiyle kurulamaz. En az şu başlıkların yazılı olması beklenir:

İşlemenin konusu, süresi, amacı ve kapsanan veri kategorileri
Talimata bağlılık: sağlayıcının veriyi yalnızca sizin talimatınızla işlemesi
Alt yüklenici kullanımının bildirilmesi ve onayınıza bağlanması
Çeviri belleği ile terim veritabanının mülkiyeti ve kullanım sınırı
Makine çevirisi motorlarının kullanılıp kullanılmayacağı
Saklama süresi, iş sonunda imha ya da iade
İhlal bildirimi: süre, kanal ve muhatap
Denetim hakkı ve denetimin nasıl işleyeceği

Bu maddelerin hepsi hazır sözleşme metinlerinde bulunmaz; talep edilmeleri gerekir. Sağlayıcının hangi maddeye itiraz ettiği, o sağlayıcının süreci hakkında sözleşmenin kendisinden daha fazla bilgi verir.

Sözleşmenin ötesinde bir de aydınlatma tarafı vardır. Çalışanlarınıza, müşterilerinize ya da başvuru sahiplerine verdiğiniz aydınlatma metinlerinde çeviri hizmeti alınabileceği ve bu kapsamda verinin bir hizmet sağlayıcıya aktarılabileceği yer almıyorsa, süreç kâğıt üzerinde eksik kalır. Bu, çoğu kurumda tek bir cümle eklemekle giderilebilecek bir boşluktur.

Türkiye bağlamı

Türkiye’de çeviri piyasasının önemli bir bölümü noter çevresindeki küçük bürolar ve serbest çevirmenler üzerinden döner. Yeminli tercüme akışında dolaşan belgeler — nüfus kayıtları, diplomalar, vekâletnameler, mahkeme kararları — neredeyse tamamı kişisel veri içerir. Buna karşılık bu akışta yazılı bir veri işleme sözleşmesi görmek hâlâ istisnadır.

İkinci yerel özellik iletişim kanalıdır. Belgeler sıklıkla mesajlaşma uygulamaları ya da kişisel e-posta hesapları üzerinden gönderilir. Bu kanallar hız kazandırır ama iz bırakmaz: hangi belgenin kime, ne zaman ulaştığı sonradan gösterilemez. Kanunun aradığı hesap verebilirlik tam olarak bu izlenebilirliktir.

Üçüncüsü dille ilgilidir. Türkçe sondan eklemeli bir dildir; kişi adları çekim ekleri aldığında gövdeden ayrışması güçleşir. Otomatik maskeleme araçları Türkçe metinlerde İngilizceye göre daha çok kaçırma yapma eğilimindedir. Anonimleştirmeye güvenerek belge göndermek, Türkçede daha riskli bir tercihtir.

Bu sizin için ne anlama geliyor?

Uyum, çeviri satın alırken eklenen bir bürokrasi değil; tedarikçi seçiminin ölçütlerinden biridir. Aşağıdaki sıra çoğu kurumda birkaç saatlik bir çalışmayla kurulabilir:

Çeviriye giden belge türlerini listeleyin; kişisel veri içerenleri işaretleyin.
Bu belgeler için tek bir kanal belirleyin, kişisel e-posta ve mesajlaşma uygulamalarını devre dışı bırakın.
Sağlayıcınıza sunucu konumunu, makine çevirisi politikasını ve saklama süresini yazılı sorun.
Yurt dışı unsuru varsa hangi aktarım kademesine dayandığınızı belgeleyin.
Veri işleyen sözleşmesini imzalayın; alt yüklenici ve imha maddelerini atlamayın.
Yılda bir kez teslim edilmiş bir işin izini geriye doğru sürerek süreci sınayın.

Biz kişisel veri içeren işlerde makine çevirisi motorlarını varsayılan olarak kapalı tutuyor, süreci yurt içinde yürütüyor ve talep hâlinde belgeleri teslimden sonra imha ediyoruz. Kurumunuzun akışına uygun bir kurgu için bize ulaşın; belge bazlı fiyat için teklif formunu kullanabilirsiniz. Benzer konulardaki yazılara bilgi merkezinden ulaşabilirsiniz.

Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Somut durumunuz için hukuk danışmanınıza başvurun.

Sık sorulan sorular

Çeviri bürosu veri sorumlusu mu, veri işleyen mi?

Tipik kurgu şudur: belgeyi çeviriye gönderen kurum veri sorumlusu, çeviri sağlayıcısı veri işleyendir. Sağlayıcı veriyi kendi amaçları için de kullanmaya başlarsa bu rol değişebilir. Sınırın sözleşmede açıkça çizilmesi gerekir.

Yurt dışındaki bir çevirmene belge göndermek aktarım sayılır mı?

Evet. Belgenin yurt dışındaki bir kişiye ya da yurt dışında bulunan bir sunucuya ulaşması aktarım sayılır. Bu durumda 6698 sayılı Kanun’un 9. maddesindeki kademeli yapıya uygun bir dayanak gerekir.

Açık rıza almam yeterli olur mu?

1 Haziran 2024’te yürürlüğe giren çerçevede açık rıza, yalnızca arızi yani süreklilik arz etmeyen aktarımlar için öngörülen istisnalar arasındadır. Düzenli olarak yurt dışına belge gönderen bir süreçte tek başına dayanak sayılmaz.

Standart sözleşme kullanırsam ek bir yükümlülüğüm var mı?

Evet. Kurulca ilan edilen standart sözleşme imzalandığında, imza tarihinden itibaren beş iş günü içinde Kurula bildirim yapılması gerekir. Bildirimin atlanması aktarımın dayanağını zayıflatır.

Kaynaklar

Pietrzak, P. & Kornacki, M. (2021). Using CAT Tools in Freelance Translation. Routledge, s. 24–25.
6698 sayılı Kişisel Verilerin Korunması Kanunu ve 7499 sayılı Kanun ile yapılan değişiklikler — mevzuat.gov.tr
Kişisel Verileri Koruma Kurumu yayınları — kvkk.gov.tr