Veri Sorumlusu ve Veri İşleyen Farkı Nedir? KVKK Kapsamında Ayrım ve Yükümlülükler
KVKK'ya göre veri sorumlusu işleme amaç ve vasıtalarını belirler, veri işleyen ise onun adına ve talimatıyla işler. Farkları, kriterleri ve yükümlülükleri.
Veri sorumlusu ile veri işleyen arasındaki temel fark, kişisel verinin işlenmesine kimin karar verdiğidir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise aynı maddede, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi olarak tanımlanır. Kısacası veri sorumlusu verinin niçin ve nasıl işleneceğine karar veren taraf, veri işleyen ise bu kararlar doğrultusunda ve verilen talimatla işlemi fiilen yürüten taraftır.
Ayrımın pratikteki kilit ölçütü karar verme yetkisidir. İşleme faaliyetinin amacını, hangi veri kategorilerinin toplanacağını, işlemenin ne zaman başlayıp biteceğini, verinin kimlerle paylaşılacağını ve saklama süresini belirleyen kişi veri sorumlusudur. Bu belirlemeleri bağımsız olarak, başka bir tarafın talimatına bağlı kalmadan yapabiliyorsa o taraf veri sorumlusu konumundadır. Veri işleyen ise bu çerçevenin dışına çıkamaz; kendisine tanınan yetki ve sınırlar içinde, veri sorumlusunun talimatları doğrultusunda hareket eder.
Kişisel Verileri Koruma Kurulu, 30/01/2020 tarihli ve 2020/71 sayılı kararında veri sorumlusunun tespitinde dikkate alınacak somut kriterleri sıralamıştır. Bu kriterler arasında kişisel verilerin toplanma şekline ve türlerine karar verme, verileri kimin işleyeceğine karar verme, işleme faaliyetinin temel unsurlarını (amaç, süre, erişim yetkisi gibi) belirleme, verinin paylaşılıp paylaşılmayacağına karar verme, herhangi bir emir almadan bağımsız karar verebilme, ilgili kişilerle doğrudan muhatap olma ve işlemeden menfaat sağlama yer alır. Bir tarafın veri sorumlusu sayılabilmesi için bu kriterlerin çoğunun onda toplanması beklenir.
Somut örnekler ayrımı netleştirir. Çalışanlarının bordrosunu bir mali müşavir aracılığıyla düzenleten şirket veri sorumlusudur; mali müşavir, şirketin talimatıyla ve onun adına verileri işlediği ölçüde veri işleyendir. Müşteri verilerini bulut sunucuda barındıran işletme veri sorumlusu, bu barındırma hizmetini sağlayan bulut şirketi veri işleyendir. E-posta pazarlama aracı kullanan bir marka veri sorumlusu, aracı sağlayan platform ise veri işleyen konumundadır. Kritik nokta şudur: hizmet sağlayıcı, kendisine verilen amacın dışına çıkıp veriyi kendi amaçları için kullanmaya başladığı anda o faaliyet bakımından veri sorumlusuna dönüşür.
Sıfat; unvana, sektöre ya da şirketin büyüklüğüne değil, işlemedeki role bağlıdır. Aynı tüzel kişi bir işleme faaliyetinde veri sorumlusu, başka bir faaliyette veri işleyen olabilir. Örneğin bir muhasebe yazılımı firması, kendi çalışanlarının özlük verileri bakımından veri sorumlusuyken, müşterilerinin verilerini onların talimatıyla işlediği hizmet bakımından veri işleyendir. Bu nedenle sıfatın her işleme faaliyeti özelinde ayrı ayrı değerlendirilmesi gerekir.
Yükümlülükler bakımından ağırlık veri sorumlusundadır. Aydınlatma yükümlülüğü, hukuka uygun işleme şartlarını sağlama, gerektiğinde açık rıza alma, ilgili kişilerin başvurularını yanıtlama, Kurul kararlarını yerine getirme ve şartları taşıyorsa Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülükleri veri sorumlusuna aittir. Veri işleyenin asli yükümlülüğü ise veri sorumlusunun talimatlarına uygun davranmak ve Kanunun 12. maddesi kapsamındaki veri güvenliği tedbirlerine uymaktır.
Veri güvenliği bakımından sorumluluğun paylaşımı önemlidir. Kanunun 12. maddesinin ikinci fıkrasına göre veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde, gerekli teknik ve idari tedbirlerin alınması hususunda bu kişiyle birlikte müştereken sorumludur. Yani bir veri ihlalinde sorumluluğu tamamen hizmet sağlayıcıya devretmek mümkün değildir; veri sorumlusu, seçtiği veri işleyenin yeterli güvenlik önlemlerini almasını sağlamakla da yükümlüdür.
Aydınlatma yükümlülüğünün kime ait olduğu sık karıştırılan bir konudur. Kurulun 2020/71 sayılı kararına göre aydınlatma yükümlülüğü esasen veri sorumlusuna aittir; ancak veri sorumlusu bu yükümlülüğü bizzat kendisi ya da yetkilendireceği bir kişi aracılığıyla yerine getirebilir. Yetkilendirilen kişi bir veri işleyen olabilir. Bu, yükümlülüğün hukuki muhatabının değiştiği anlamına gelmez; sorumluluk yine veri sorumlusunda kalır, veri işleyen yalnızca yerine getirmede araç olur.
İki taraf arasındaki ilişkinin yazılı bir çerçeveye oturtulması güvenlik ve ispat açısından belirleyicidir. Veri işleyen, veri sorumlusunun kendisine tanıdığı yetki ve sınırlar içinde hareket eder; bu ilişkinin bir veri işleme sözleşmesiyle tanımlanması, tarafların yetki sınırlarını, güvenlik yükümlülüklerini, verinin işleme amacı dışında kullanılamayacağını ve ihlal durumunda bildirim akışını netleştirir. Sözleşmenin kapsamı, bir denetim veya ihlal incelemesinde tarafların rolünün ve sorumluluk paylaşımının tespitinde doğrudan dikkate alınır.
Rolü doğru belirlemek, tüm KVKK uyum çalışmasının temelini oluşturur. Bir işleme faaliyetinde veri sorumlusu mu yoksa veri işleyen mi olduğunuz; VERBİS kaydı, aydınlatma metinleri, rıza yönetimi, sözleşme yapısı ve ihlal bildirim süreçlerinizin nasıl kurulacağını doğrudan belirler. Yanlış konumlandırma, yükümlülüklerin eksik yerine getirilmesine ve idari yaptırım riskine yol açar.
Kurumunuzun hangi işleme faaliyetlerinde veri sorumlusu, hangilerinde veri işleyen olduğundan emin değilseniz, KVKK Danışman'ın ücretsiz ön değerlendirmesiyle rollerinizi ve öncelikli uyum adımlarınızı netleştirebilirsiniz.