6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veri işleme sürecindeki tarafları iki temel role ayırır: veri sorumlusu ve veri işleyen. Bu ayrım yalnızca teorik bir tanım meselesi değildir; her rol farklı hukuki yükümlülükler, farklı sözleşme gereksinimleri ve farklı sorumluluk düzeyleri doğurur. Bir kurumun kendi rolünü doğru belirlemesi, VERBİS kaydından aydınlatma yükümlülüğüne, veri güvenliği tedbirlerinden ihlal bildirimine kadar pek çok konuda doğru adımı atmasının ön koşuludur. Bu yazıda iki rolü tanımlayacak, aralarındaki farkları netleştirecek ve pratikte hangi tarafın ne yapması gerektiğini örneklerle açıklayacağız.
Veri Sorumlusu Kimdir?
Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen taraftır. Yani "hangi veriler, ne için, ne kadar süreyle işlenecek" sorularının cevabını veren karar mercii veri sorumlusudur. Bir e-ticaret şirketi müşteri verilerini pazarlama için işlemeye karar veriyorsa, bu kararı veren şirket veri sorumlusudur.
Veri sorumlusunun temel özellikleri:
- İşleme amacını belirleyen taraftır
- Hangi araç ve yöntemlerin kullanılacağına karar verir
- İlgili kişiye karşı birincil derecede sorumludur
- Aydınlatma yükümlülüğünü yerine getirmekle görevlidir
Veri İşleyen Kimdir?
Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak ve onun talimatları doğrultusunda kişisel veri işleyen gerçek veya tüzel kişidir. Veri işleyen kendi başına amaç belirlemez; yalnızca kendisine verilen görevi, tanımlanmış sınırlar içinde yerine getirir. Bir bulut hizmet sağlayıcısı, bordro hizmeti veren muhasebe firması veya çağrı merkezi tipik veri işleyen örnekleridir.
Veri işleyenin belirleyici özellikleri:
- Kendi amaçları için değil, sorumlunun talimatıyla çalışır
- İşleme sınırlarını sorumlu belirler
- Aldığı verileri talimat dışı kullanamaz
- Veri güvenliği konusunda sorumlu ile müştereken sorumludur
İki Rol Arasındaki Temel Farklar
Aşağıdaki tablo, iki rol arasındaki en kritik ayrımları özetler:
| Kriter | Veri Sorumlusu | Veri İşleyen |
|---|---|---|
| Vasıta belirleme | Belirler | Sorumlunun çerçevesinde hareket eder |
| Karar yetkisi | Vardır | Talimatla sınırlıdır |
| Aydınlatma yükümlülüğü | Kendisindedir | Kural olarak sorumludadır |
| VERBİS kaydı | Şartları taşıyorsa yükümlüdür | Kural olarak sorumlu kaydeder |
| İlgili kişiye karşı sorumluluk | Birincil | Sorumlu ile müşterek (güvenlik) |
Neden Bu Ayrım Bu Kadar Önemli?
Rolün yanlış belirlenmesi, yükümlülüklerin de yanlış dağıtılmasına yol açar. Örneğin kendini yanlışlıkla "veri işleyen" sanan bir kurum, aslında veri sorumlusu olduğu hâlde aydınlatma yükümlülüğünü yerine getirmeyebilir. Tersine, veri işleyen konumundaki bir tedarikçi, sorumlunun talimatı dışına çıkarak veriyi kendi amaçları için kullanırsa, kendisi de o işleme bakımından veri sorumlusu hâline gelebilir. Bu nedenle rol tespiti, sözleşme öncesinde netleştirilmesi gereken bir konudur.
Veri İşleyen Sözleşmesinde Bulunması Gerekenler
Veri sorumlusu ile veri işleyen arasında yazılı bir sözleşme yapılması ve bu sözleşmede güvenlik taahhütlerinin yer alması beklenir. İyi bir veri işleyen sözleşmesi asgari olarak şunları içermelidir:
- İşlemenin konusu, süresi ve amacının açıkça tanımlanması
- Veri işleyenin yalnızca sorumlunun talimatları doğrultusunda hareket edeceği taahhüdü
- Uygun teknik ve idari güvenlik tedbirlerinin alınacağına dair yükümlülük
- Gizlilik yükümlülüğü ve personelin bu yükümlülüğe tabi kılınması
- Alt işleyen kullanımının sorumlunun onayına bağlanması
- İşleme sona erdiğinde verilerin iadesi veya imhası
- İhlal durumunda sorumluya gecikmeksizin bildirim yapılması
Örnek Senaryo
Bir çevrimiçi eğitim platformu, öğrenci kayıtlarını ve ders ilerleme verilerini kendi belirlediği amaçlarla topluyor. Platform, e-posta gönderimlerini yürütmek için bir bülten hizmeti sağlayıcısıyla çalışıyor ve fatura işlemlerini bir muhasebe bürosuna devrediyor.
Bu senaryoda:
- Eğitim platformu veri sorumlusudur: Hangi verinin toplanacağına, ne amaçla kullanılacağına o karar verir.
- Bülten sağlayıcısı ve muhasebe bürosu veri işleyendir: Kendilerine aktarılan verileri yalnızca platformun talimatı doğrultusunda kullanırlar.
Eğer bülten sağlayıcısı, platformun izni olmadan bu e-posta listesini başka bir müşteriye pazarlama amacıyla kullanırsa, bu işleme bakımından kendisi veri sorumlusu konumuna geçer ve doğrudan sorumluluk üstlenir.
Sık Sorulan Sorular
Bir kurum aynı anda hem veri sorumlusu hem veri işleyen olabilir mi?
Evet. Bir kurum, kendi çalışanlarının verisi bakımından veri sorumlusu iken, bir müşterisine hizmet verirken o müşterinin verileri bakımından veri işleyen olabilir. Rol, her işleme faaliyeti için ayrı değerlendirilir.
Veri işleyen ihlal durumunda kime bildirim yapar?
Veri işleyen, öğrendiği ihlali gecikmeksizin veri sorumlusuna bildirmekle yükümlüdür. İlgili kuruma ve ilgili kişilere bildirim yapma sorumluluğu ise kural olarak veri sorumlusundadır.
VERBİS kaydını veri işleyen mi yapar?
Kural olarak VERBİS'e kayıt yükümlülüğü veri sorumlusuna aittir. Veri işleyen, sorumlunun kaydında yürütülen faaliyetlerin bir parçası olarak yer alır; ayrıca güvenlik tedbirlerini uygulamakla yükümlüdür.
Yurt dışındaki bir bulut sağlayıcısı veri işleyen sayılır mı?
Bulut sağlayıcısı, verileri yalnızca sorumlunun talimatıyla ve onun adına işliyorsa veri işleyendir. Ancak yurt dışına veri aktarımı söz konusu olduğunda KVKK'nın aktarım kurallarının ayrıca değerlendirilmesi gerekir.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz.
Rollerinizi netleştirmek, veri işleyen sözleşmelerinizi yönetmek ve uyum süreçlerinizi tek bir yerden takip etmek için JUS. demo talep edebilirsiniz.