Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Nedir?

Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Nedir?

İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.

Kısa cevap: Ayrım karar yetkisine dayanır. KVKK md. 3 uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen kişidir. Kısaca: verinin neden ve nasıl işleneceğine karar veren taraf veri sorumlusudur.

Sıfat, sözleşmedeki başlıkla değil fiili durumla belirlenir. Kendisini "veri işleyen" olarak tanımlayan bir hizmet sağlayıcı, kararları kendisi veriyorsa veri sorumlusu sayılır.

---

1. Ölçüt: Amaç ve Vasıtaları Kim Belirliyor

Amaç sorusu "veri neden işleniyor" sorusudur: müşteri ilişkisi yürütmek, bordro hazırlamak, reklam performansını ölçmek. Vasıta sorusu ise "hangi araçla, hangi veri kategorileriyle, ne kadar süreyle" sorularını kapsar.

Bir tarafın vasıtaya ilişkin teknik tercihleri kendi başına belirlemesi, onu otomatik olarak veri sorumlusu yapmaz. Bulut sağlayıcılar sunucu mimarisini kendileri kurar; ancak hangi verinin hangi amaçla yükleneceğine müşteri karar verdiği sürece sıfat değişmez. Belirleyici olan, işlemenin esasına ilişkin kararların kimde olduğudur.

Önemli: Aynı taraf, farklı faaliyetlerde farklı sıfat taşıyabilir. Muhasebe bürosu, müşterisinin personel verilerini onun talimatıyla işlerken veri işleyendir; kendi çalışanlarının özlük dosyalarını tutarken veri sorumlusudur. Sıfat şirkete değil, işleme faaliyetine bağlanır.

---

2. Yükümlülükler Nasıl Dağılır

Aydınlatma yükümlülüğü veri sorumlusuna aittir. KVKK md. 10 kapsamındaki bilgilendirmeyi veri işleyen üstlenemez; hizmet sağlayıcının müşterinin ilgili kişilerine aydınlatma yapması beklenmez.

İlgili kişi başvurularının muhatabı da veri sorumlusudur. KVKK md. 13 uyarınca başvuru veri sorumlusuna yapılır ve en geç otuz gün içinde sonuçlandırılır. Veri işleyene ulaşan bir talep, sözleşme gereği veri sorumlusuna yönlendirilir.

VERBİS kaydı yükümlülüğü de veri sorumlusuna aittir. Muafiyet ölçütleri ve kayıt mantığı VERBİS kaydı kimler için zorunlu sorusunda ayrıca ele alınır.

Güvenlik yükümlülüğü ise paylaşılır. KVKK md. 12/2, kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde, gerekli tedbirlerin alınması bakımından veri sorumlusunun bu kişilerle birlikte müştereken sorumlu olduğunu düzenler¹. Tedarikçinin ihmali, veri sorumlusunu kendiliğinden aklamaz.

---

3. Veri İşleyen Sözleşmesinde Bulunması Gerekenler

Hizmet sağlayıcıyla yapılan sözleşme, uyum denetiminde ilk istenen belgelerdendir. Asgari olarak şu kayıtlar aranır:

• İşlemenin konusu, süresi, amacı ve veri kategorileri.
• Yalnızca veri sorumlusunun yazılı talimatı doğrultusunda işleme yapılacağı.
• Gizlilik taahhüdü ve erişim yetkisi bulunan personel sınırı.
• Alınacak teknik ve idari tedbirlerin somut olarak sayılması.
• Alt işleyen kullanımının önceden izne bağlanması ve alt işleyene aynı yükümlülüklerin yansıtılması.
• Veri ihlali halinde veri sorumlusuna gecikmeksizin bildirim.
• Hizmet sona erdiğinde verinin iadesi veya imhası ve imha kaydının teslimi.
• Denetim ve bilgi verme yükümlülüğü.

Yurt dışında yerleşik hizmet sağlayıcılarla çalışılıyorsa sözleşmeye aktarım rejimi de eklenir; bu katmanın çerçevesi yurt dışına kişisel veri aktarımı sorusunda yer alır.

---

4. Ortak Veri Sorumluluğu İhtimali

Bazı ilişkilerde iki taraf da amaç ve vasıtaların belirlenmesine birlikte katılır. Reklam platformu ile reklam veren arasındaki hedefleme faaliyeti, ortak veri tabanı kurulan iş birlikleri ve grup şirketleri arasındaki paylaşımlar bu ihtimali doğurur.

Ortak sorumluluk halinde her iki taraf da kendi payına düşen yükümlülükten sorumludur. Sözleşmeye kimin hangi yükümlülüğü üstlendiğini gösteren bir görev dağılımı yazılması, sonraki incelemede savunmanın omurgasını oluşturur. Böyle bir dağılım yoksa Kurul, tarafların her ikisini de tam yükümlü kabul etme eğilimindedir.

Ortaklık, sorumluluğu bölmez; çoğaltır. İlgili kişi haklarını taraflardan herhangi birine karşı kullanabilir. Bu nedenle görev dağılımı sözleşmesinin yanına, başvuruların hangi tarafa yönlendirileceğini gösteren bir işleyiş kuralı da eklenmelidir.

---

Uygulamada

En sık görülen hata, sıfatın sözleşme başlığından okunabileceği varsayımıdır. Kurul incelemesinde bakılan şey başlık değil, kararların kimde olduğunu gösteren yazışma ve konfigürasyon kayıtlarıdır. Sözleşmede "veri işleyen" yazarken karar defterinde ve panel ayarlarında bütün tercihleri kendisi yapan taraf, veri sorumlusu muamelesi görür.

İkinci hata, tedarikçi zincirinin haritasının çıkarılmamasıdır. Bulut altyapısı, e-posta pazarlama aracı, çağrı merkezi, bordro yazılımı ve analiz araçları çoğu işletmede on üzerinde veri işleyen üretir. Bu zincirin envantere işlenmemesi, ihlal anında kimin neyi tuttuğunun bilinmemesi sonucunu doğurur.

Üçüncü nokta pazarlama tarafındadır. Reklam pikselleri ve ölçümleme araçları çoğu zaman hukuk biriminin görmediği sözleşmelerle devreye alınır. Bu araçların sıfat analizi yapılmadan kurulması, veri sorumlusunu kendi bilmediği aktarımlardan sorumlu bırakır.

---

İlgili içerikler için bkz. Dijital Pazarlama KVKK Uyum Rehberi, Müşteri Verilerini Başka Şirkete Aktarabilir miyim?, VERBİS Kaydı Kimler İçin Zorunlu?, Haksız Rekabet.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 3, md. 10, md. 12, md. 13, RG 07.04.2016/29677. ↩