Ajan kullanmak sorumluluğu devretmez

Bir destek ajanı, “geçen ayın bordro raporunu gönderir misiniz?” talebini cevaplarken isim benzerliği yüzünden başka bir müşterinin bordro raporunu ekledi: dört yüz kişinin kimlik numarası ve maaşı. İki ayrı şirket, iki ayrı veri kasası; ajan ikisine de erişebiliyordu. Şirketin ilk tepkisi tanıdıktı: “Yazılım firmasını arayın, onların ajanı, onların hatası. Biz sadece kullanıcıyız.”

Avukatın cevabı bu refleksi bitirdi: “Kimin ajanı olduğunun önemi yok. O verileri işleme kararını siz verdiniz. Kuruma karşı masada oturacak olan yazılım firması değil — sizsiniz.”

Veri sorumlusu kimdir, neden sizsiniz?

KVKK iki temel rol tanır. Veri sorumlusu, kişisel verinin neden ve nasıl işleneceğine karar verendir — amaçları ve araçları belirler. Veri işleyen ise onun adına, verdiği yetkiye dayanarak veriyi işleyendir. Basit benzetme: veri sorumlusu ev sahibi, veri işleyen temizlik şirketidir. Temizlikçi vazoyu kırarsa aranızdaki sözleşmeye göre ondan tazmin edersiniz — ama komşunun tavanına akan su için muhatap ev sahibidir.

Ajanı hangi amaçla ve hangi veriyle çalıştıracağınıza siz karar verdiğiniz an, veri sorumlusu olursunuz. Ajanın kodunu kimin yazdığı, modelin kime ait olduğu bu sıfatı değiştirmez.

Zincirde kim var? Etkileyen çok, sorumlu tek

Bir ajanın arkasında tipik olarak üç aktör durur: modelin “beynini” üreten model sağlayıcı, ürünün teknik sınırlarını çizen platform/ürün tedarikçisi ve sistemi araçlarınıza bağlayan entegratör. Üçü de sistemin davranışını etkiler; ama birincil hesap verebilirlik, ajanı işine konuşlandıran şirkettedir — çünkü yetkileri o tanımlar, amaçları o onaylar, ne kadar otorite verileceğine o karar verir.

İkili şapka: SaaS ve hizmet firmalarının özel durumu

Müşterileriniz adına veri tutuyorsanız (SaaS, muhasebe bürosu, ajans, İK firması...), iki şapkanız olur: kendi müşteri ve çalışan verileriniz için veri sorumlusu, müşterinizin sisteminize yüklediği veriler için ise onun adına işlem yapan veri işleyen. Ajanınızı bu ikinci gruptaki veriye dokundurduğunuz an, işleyen sıfatının yükümlülükleri de (güvenlik tedbirleri, talimat dışına çıkmama, yazılı sözleşme) devreye girer.

Sorumluluğun üç sahibi: isim yazın, unvan değil

“Şirket sorumludur” cümlesi doğru ama işlevsizdir — şirket gece yarısı telefona bakmaz. Olgun yönetişimde her ajan için üç sahiplik isimle atanır: davranışı kim takip ediyor (izleme), yüksek etkili işlemleri kim onaylıyor (onay), ters giderse kim durdurup araştırıyor (müdahale). Bu tabloyu doldurmak on dakika sürer; doldurulmamış hâli kriz günü saatlere ve suçlaşmaya dönüşür.

Nereden başlamalı? Her ajanınız için tek cümleyi tamamlayın: “Bu ajan hata yaparsa Kuruma karşı muhatap ...dır.” Doğru cevap her seferinde şirketinizin adıdır. Cümleyi kuramıyorsanız, sorun ajanda değil, sahiplik boşluğundadır.