Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişidir ve kanundaki yükümlülüklerin muhatabıdır. Bu yazıda veri sorumlusu ve veri işleyen ayrımı, ortak sorumluluk, şirket çalışanlarının konumu, irtibat kişisi ve temsilci ile temel yükümlülükler ele alınmaktadır.
Veri sorumlusu, Kişisel Verilerin Korunması Kanunu'nun 3. maddesi uyarınca kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Şirketlerde bu sıfat tüzel kişiye aittir; çalışanlar ve yöneticiler ayrıca bu sıfatı taşımaz.
Kanundaki yükümlülüklerin ve idari para cezalarının muhatabı, kural olarak bu sıfatı taşıyan kişidir. Veri sorumlusu ile veri işleyen arasındaki ayrımın doğru yapılması, hangi tarafın aydınlatma, güvenlik ve kayıt yükümlülüklerini üstleneceğini belirler.
Bu yazıda bu kavramın tanımı, veri işleyen ile farkı, ortak sorumluluk, şirket çalışanlarının konumu, irtibat kişisi ve temsilci ile temel yükümlülükler ayrıntılı olarak ele alınacaktır.
1. Veri Sorumlusunu Belirleyen Ölçüt Nedir?
Bir kişinin bu sıfatı taşıyıp taşımadığı, verilerin neden ve nasıl işleneceğine kimin karar verdiğine göre belirlenir. Verileri fiilen kimin elinde tuttuğu tek başına belirleyici değildir.
Örneğin bir şirket, çalışanlarının bordrosunu dışarıdan bir muhasebe firmasına hazırlatıyorsa, bordro verilerinin hangi amaçla işleneceğine şirket karar verir. Bu durumda şirket sorumlu taraf, muhasebe firması ise kural olarak veri işleyen konumundadır.
2. Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Nedir?
Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. İki kavram arasındaki temel fark, işleme amacını ve yöntemini belirleme yetkisidir.
Ölçüt | Sorumlu taraf | Veri işleyen |
|---|---|---|
İşleme amacını belirleme | Belirler | Belirlemez, talimata göre hareket eder |
Aydınlatma yükümlülüğü | Doğrudan muhataptır | Kural olarak muhatap değildir |
Veri güvenliği | Sorumludur | Sorumlu tarafla birlikte sorumludur |
VERBİS kaydı | Eşikleri aşıyorsa zorunludur | Veri işleyen sıfatıyla kayıt yükümlülüğü yoktur |
Tipik örnekler | İşveren şirket, e-ticaret sitesi | Bulut hizmeti, bordro firması, çağrı merkezi |
Kanunun 12. maddesinin ikinci fıkrası uyarınca kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi hâlinde, veri güvenliği tedbirlerinin alınması konusunda iki taraf birlikte sorumludur. Bu nedenle veri işleyenle yapılan sözleşmede güvenlik tedbirlerinin ayrıntılı olarak düzenlenmesi önem taşımaktadır.
2.1. Ortak Veri Sorumluluğu
Birden fazla kişi işleme amaçlarını ve yöntemlerini birlikte belirliyorsa ortak sorumluluk söz konusu olabilir. Örneğin iki şirketin ortak bir kampanya için müşteri verilerini birlikte toplaması bu duruma örnek gösterilebilir.
Ortak sorumlulukta tarafların aydınlatma ve başvurulara cevap verme gibi yükümlülükleri nasıl paylaşacağını aralarındaki sözleşmede belirlemesi gerekir. Aksi hâlde ilgili kişi, haklarını taraflardan herhangi birine karşı kullanabilir.
3. Şirket Çalışanları Veri Sorumlusu mudur?
Hayır, şirket adına kişisel veri işleyen çalışanlar ayrı bir sorumlu taraf veya veri işleyen sayılmaz; bu kişiler şirketin organizasyonu içinde hareket eder. Bu nedenle çalışanların işlemleri bakımından yükümlülüklerin muhatabı şirkettir.
Ancak çalışanın şirketin talimatları dışında, kendi amacı için kişisel verileri kullanması hâlinde kişisel sorumluluğu gündeme gelir. Bu tür fiiller, Türk Ceza Kanunu'ndaki kişisel verilere ilişkin suçlar kapsamında da değerlendirilebilir.
4. İrtibat Kişisi ve Temsilci Kimdir?
İrtibat kişisi, Türkiye'de yerleşik ve VERBİS'e kayıt yükümlüsü olan şirketlerin Kurum ile iletişim için belirlediği gerçek kişidir. İrtibat kişisi şirketi temsil etmez ve yükümlülüklerden kişisel olarak sorumlu tutulmaz.
Yurt dışında yerleşik şirketler ise Türkiye'de bir temsilci atamak zorundadır. VERBİS kayıt yükümlülüğü ve irtibat kişisinin görevleri VERBİS kayıt zorunluluğu yazısında açıklanmıştır.
5. Veri Sorumlusunun Temel Yükümlülükleri Nelerdir?
Kanun, sorumlu tarafa kişisel verilerin hukuka uygun işlenmesini sağlamak için birbirini tamamlayan yükümlülükler getirir. Bu yükümlülüklerin her birine aykırılık ayrı bir idari para cezası doğurabilir.
Başlıca yükümlülükler şunlardır:
veri toplanırken ilgili kişiyi aydınlatmak,
veri güvenliğini sağlayacak teknik ve idari tedbirleri almak,
ilgili kişi başvurularını en geç 30 gün içinde sonuçlandırmak,
işleme şartı ortadan kalkan verileri silmek, yok etmek veya anonim hâle getirmek,
eşikleri aşıyorsa VERBİS'e kayıt olmak,
veri ihlallerini Kurula ve ilgili kişilere bildirmek.
Bu yükümlülüklerin her biri belgelenmeli ve düzenli olarak gözden geçirilmelidir. Yükümlülüklerin genel çerçevesi KVKK nedir yazısında, ihlal bildirimi ise veri ihlali bildirimi yazısında ele alınmıştır.
6. Veri İşleyenle Hangi Sözleşme Yapılmalıdır?
Veri işleyenle çalışan şirket, işleme ilişkisini yazılı bir sözleşmeyle düzenlemelidir. Sözleşme, veri işleyenin yalnızca şirketin talimatları doğrultusunda hareket etmesini ve güvenlik tedbirlerini almasını güvence altına alır.
işlenecek veri kategorileri ve işleme amacı,
veri işleyenin uyması gereken güvenlik tedbirleri,
alt veri işleyen kullanılmasının şartları,
veri ihlali hâlinde bildirim süresi ve yöntemi,
sözleşme sona erdiğinde verilerin iadesi veya imhası.
Veri işleyen yurt dışında yerleşikse aktarım, 2024 yılında yenilenen yurt dışı aktarım kurallarına da uygun olmalıdır. Bu durumda standart sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kuruma bildirilmesi gerekir.
7. Rollerin Yanlış Belirlenmesinin Sonuçları
Tarafların rollerinin yanlış belirlenmesi, ihlal hâlinde aydınlatma ve bildirim yükümlülüklerinin yerine getirilmemesine yol açabilir. Örneğin kendi amaçları için de veri kullanan bir hizmet sağlayıcının yalnızca veri işleyen olarak gösterilmesi, bu hizmet sağlayıcının kendi yükümlülüklerini atlamasına neden olur.
Bu nedenle her hizmet ilişkisinde, hizmet sağlayıcının veriyi yalnızca müşterisinin talimatıyla mı yoksa kendi amaçları için de mi kullandığı incelenmelidir. Rol tespiti, yapılacak sözleşmenin türünü ve aydınlatma metnindeki aktarım bilgilerini de doğrudan etkiler.
8. Sıkça Sorulan Sorular
Şahıs işletmesi veri sorumlusu olur mu?
Evet, şahıs işletmesi sahibi de kişisel veri işliyorsa gerçek kişi olarak bu sıfatı taşır. Müşteri kayıtları tutan bir esnaf veya çalışan çalıştıran bir serbest meslek mensubu bu kapsamdadır. Bu kişiler de aydınlatma ve veri güvenliği yükümlülüklerine tabidir; VERBİS kaydı ise eşiklere göre değerlendirilir.
Apartman yönetimi veri sorumlusu mudur?
Evet, apartman veya site yönetimi kat malikleri ve sakinlere ait kişisel verileri işlediği için bu sıfatı taşıyabilir. Aidat kayıtları, iletişim bilgileri ve güvenlik kamerası kayıtları bu kapsamdadır. Yönetimin de bu veriler için aydınlatma yapması, kamera kayıtlarına erişimi sınırlandırması ve verilerin güvenliğini sağlaması gerekir.
Muhasebeci veri işleyen mi yoksa veri sorumlusu mu?
Muhasebeci, müşterisinin verilerini müşterinin talimatı ve amacı doğrultusunda işlediğinde kural olarak veri işleyen konumundadır. Ancak mesleki mevzuattan doğan kendi yükümlülükleri için tuttuğu kayıtlar bakımından kendisi de sorumlu taraf sayılabilir. Bu nedenle ilişkinin niteliği, işlenen her veri grubu için ayrı ayrı değerlendirilmelidir.
Veri sorumlusu yükümlülüğünü sözleşmeyle devredebilir mi?
Hayır, sorumlu taraf kanundan doğan yükümlülüklerini sözleşmeyle veri işleyene devrederek sorumluluktan kurtulamaz. Sözleşme, veri işleyenin hangi tedbirleri alacağını ve iç ilişkide sorumluluğun nasıl paylaşılacağını düzenler. Ancak Kurul karşısında yükümlülüklerin muhatabı, işleme amacını belirleyen taraf olmaya devam eder ve idari para cezası da bu tarafa verilir.
Grup şirketleri tek veri sorumlusu sayılır mı?
Hayır, aynı gruba dahil şirketlerin her biri ayrı tüzel kişilik olduğundan ayrı ayrı sorumlu taraf sayılır. Grup şirketleri arasındaki veri paylaşımı da kişisel veri aktarımı niteliğindedir ve kanundaki aktarım şartlarına uygun olmalıdır. Bu nedenle grup içi veri akışlarının ayrı bir çerçeve sözleşmeyle düzenlenmesi yararlı olur.
9. Sonuç
Veri sorumlusu, 6698 sayılı Kanun'un 3. maddesi uyarınca işleme amaçlarını ve vasıtalarını belirleyen kişidir ve kanundaki yükümlülüklerin muhatabıdır; veri işleyen ise onun adına ve talimatıyla hareket eder. Kanunun 12. maddesi uyarınca veri güvenliğinden iki taraf birlikte sorumludur.
Veri işleyenle yazılı sözleşme yapılmaması veya rollerin yanlış belirlenmesi, ihlal hâlinde sorumluluğun kimde olduğunun tartışmalı hâle gelmesine yol açabilir. Bu nedenle her veri akışında tarafların rollerinin baştan belirlenmesi önem taşımaktadır.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; somut olayınıza ilişkin hukuki danışmanlık yerine geçmez.
Yorumlar
Yorum Bırak