Dieser Artikel erscheint auf Türkisch.
Veri Sorumlusu ve Veri İşleyen
KVKK'nın temel aktörleri olan veri sorumlusu ve veri işleyen kavramları, sorumluluk dağılımı ve aralarındaki ilişkinin hukuki çerçevesi, uygulamada karşılaşılan sorunlar ve çözüm önerileri.
1. Giriş
Veri sorumlusu ve veri işleyen kavramları, kişisel verilerin korunması hukukunun temel taşlarını oluşturur. Bu kavramların doğru anlaşılması, sorumluluk dağılımının belirlenmesi ve hukuki uyum süreçlerinin yönetilmesi için önem taşımaktadır. Günümüzde birçok kuruluş hem veri sorumlusu hem de veri işleyen sıfatıyla faaliyet göstermektedir.
2. Tanımlar
KVKK, kişisel veri işleme faaliyetinde iki temel aktör tanımlamaktadır: veri sorumlusu ve veri işleyen. Bu iki kavramın doğru anlaşılması, sorumlulukların belirlenmesi ve uyum sürecinin yürütülmesi için önem taşımaktadır.
Veri sorumlusu: "Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi(…)"
Veri işleyen: "Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi(…)
3. Veri Sorumlusu
Veri sorumlusu, kişisel veri işleme faaliyetinin "karar vericisi"dir. İşlemenin neden (amaç) ve nasıl (vasıta) yapılacağını belirleyen taraftır.
Veri Sorumlusunun Belirlenmesi
| Kriter | Değerlendirme |
|---|---|
| Amaç belirleme | Verilerin neden işlendiğine kim karar veriyor? |
| Vasıta belirleme | Hangi verilerin, nasıl, ne kadar süre işleneceğine kim karar veriyor? |
| Hukuki sorumluluk | İşlemenin yasal sonuçlarını kim üstleniyor? |
| Fiili kontrol | Veriler üzerinde fiili kontrole kim sahip? |
Veri Sorumlusunun Yükümlülükleri
| Yükümlülük | KVKK Maddesi | Açıklama |
|---|---|---|
| Hukuka uygun işleme | m.4 | Genel ilkelere uygun veri işleme |
| Aydınlatma | m.10 | İlgili kişileri bilgilendirme |
| Veri güvenliği | m.12 | Teknik ve idari tedbirler alma |
| VERBİS kaydı | m.16 | Sicile kayıt (istisnalar hariç) |
| İlgili kişi başvuruları | m.13 | Başvuruları yanıtlama |
| İhlal bildirimi | m.12/5 | Kurul'a ve ilgili kişilere bildirim |
4. Veri İşleyen
Veri işleyen, veri sorumlusunun talimatları doğrultusunda ve onun adına kişisel verileri işleyen taraftır. Veri işleyen, işlemenin amaç ve vasıtalarını belirlemez.
Veri İşleyen Örnekleri
| Hizmet Türü | Veri İşleyen | Veri Sorumlusu |
|---|---|---|
| Bulut hizmetleri | Bulut altyapı sağlayıcıları | Bulut hizmetini kullanan şirket |
| Bordro hizmetleri | Dış kaynak bordro şirketi | İşveren şirket |
| Çağrı merkezi | Çağrı merkezi hizmeti veren firma | Müşteri hizmeti aldıran şirket |
| IT destek | Yönetilen hizmet sağlayıcısı | IT desteği alan şirket |
| E-posta pazarlama | Mailchimp, Sendinblue | Kampanya yürüten şirket |
Veri İşleyenin Yükümlülükleri
KVKK, veri işleyenin yükümlülüklerini doğrudan detaylandırmamıştır. Ancak 12. maddenin 2. fıkrası, veri sorumlusu ile veri işleyen arasındaki ilişkiyi düzenlemektedir.
Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.
5. Veri Sorumlusu - Veri İşleyen Ayrımı
| Özellik | Veri Sorumlusu | Veri İşleyen |
|---|---|---|
| Karar yetkisi | Amaç ve vasıtaları belirler | Talimatlara göre işler |
| İlgili kişi ilişkisi | Doğrudan muhatap | Dolaylı ilişki |
| VERBİS kaydı | Kayıt yükümlüsü | Kayıt yükümlülüğü yok |
| Aydınlatma | Doğrudan sorumlu | Sorumluluk yok |
| İhlal bildirimi | Kurul'a bildirir | Veri sorumlusuna bildirir |
| İlgili kişi talepleri | Yanıtlamakla yükümlü | Veri sorumlusuna yönlendirir |
Gri Alanlar
Uygulamada veri sorumlusu - veri işleyen ayrımı her zaman net olmayabilir. Bazı durumlarda bir taraf hem veri sorumlusu hem de veri işleyen olabilir veya ortak veri sorumluluğu söz konusu olabilir.
| Senaryo | Değerlendirme |
|---|---|
| Sosyal medya platformu | Kendi amaçları için veri sorumlusu, reklam verenler için veri işleyen olabilir |
| Bulut hizmet sağlayıcı | Müşteri verileri için işleyen, hizmet iyileştirme için sorumlu olabilir |
| İş ortaklığı | Ortak veri sorumluluğu gündeme gelebilir |
| Franchise | Ana şirket ve franchisee rolleri değişkenlik gösterebilir |
6. Veri İşleme Sözleşmesi
Veri sorumlusu ile veri işleyen arasındaki ilişkinin yazılı bir sözleşme ile düzenlenmesi önem taşımaktadır. Bu sözleşme, tarafların yükümlülüklerini, güvenlik gereksinimlerini ve sorumluluk dağılımını belirlemelidir.
Sözleşmede Bulunması Gereken Unsurlar
| Unsur | Açıklama |
|---|---|
| İşleme konusu ve kapsamı | Hangi verilerin, hangi amaçlarla işleneceği |
| Süre | İşleme faaliyetinin süresi |
| Talimat bağlılığı | Veri işleyenin sadece talimatlar doğrultusunda işleyeceği |
| Gizlilik | Gizlilik yükümlülüğü ve çalışan taahhütleri |
| Güvenlik tedbirleri | Alınacak teknik ve idari tedbirler |
| Alt işleyen kullanımı | Alt veri işleyen kullanım koşulları ve onay mekanizması |
| İlgili kişi hakları | Taleplerde işbirliği yapma yükümlülüğü |
| Denetim hakkı | Veri sorumlusunun denetim yetkisi |
| İhlal bildirimi | İhlal halinde bildirim süresi ve yöntemi |
| Sözleşme sonu | Verilerin iadesi veya imhası |
| Sorumluluk ve tazminat | İhlal halinde sorumluluk dağılımı |
7. Müşterek Sorumluluk
KVKK'nın 12/2. maddesi, veri sorumlusu ve veri işleyen arasında müşterek sorumluluk öngörmektedir. Bu, veri işleyenin neden olduğu ihlallerden veri sorumlusunun da sorumlu tutulabileceği anlamına gelir.
Sorumluluktan Korunma Yolları
- Dikkatli seçim: Veri işleyeni güvenlik yeteneklerine göre seçin
- Yazılı sözleşme: Kapsamlı bir veri işleme sözleşmesi yapın
- Düzenli denetim: Veri işleyenin uyumunu periyodik olarak denetleyin
- Alt işleyen kontrolü: Alt yüklenici kullanımını onay sürecine bağlayın
- İhlal prosedürü: İhlal halinde bildirim mekanizmasını tanımlayın
8. Ortak Veri Sorumluluğu
KVKK'da açıkça düzenlenmemiş olsa da, uygulamada birden fazla tarafın aynı veri işleme faaliyeti için veri sorumlusu olması (ortak veri sorumluluğu) söz konusu olabilir.
| Ortak Sorumluluk Senaryosu | Örnek |
|---|---|
| İş ortaklığı | Ortak proje yürüten iki şirket |
| Platform ve kullanıcı | E-ticaret platformu ve satıcılar |
| Grup şirketleri | Ortak müşteri veritabanı kullanan şirketler |
| Araştırma işbirlikleri | Ortak araştırma yürüten kurumlar |
9. Sonuç
Veri sorumlusu ve veri işleyen kavramları, KVKK uyum sürecinin temelini oluşturmaktadır. Veri sorumluları, KVKK m. 12 uyarınca kişisel veri işleme faaliyetlerinde birincil sorumluluk taşırken, veri işleyenlerle olan ilişkileri de bu sorumluluk kapsamında değerlendirilmektedir.
Müşterek sorumluluk ilkesi gereğince, veri işleme sözleşmeleri, denetim mekanizmaları ve sorumluluk dağılımı, veri sorumlusu-veri işleyen ilişkisinin hukuki çerçevesini belirleyen temel araçlardır.