Veri Sorumlusu ve Veri İşleyen Kimdir? Farkları

Veri sorumlusu, kişisel verilerin hangi amaçlarla ve araçlarla işleneceğini belirleyen; veri işleyen ise onun verdiği yetkiye dayanarak onun adına işlem yapan kişidir. Ayrım, veriyi kimin elinde tuttuğundan çok işleme faaliyetindeki karar ve yetki ilişkisinde ortaya çıkar. Her iki rol gerçek veya tüzel kişide bulunabilir; değerlendirme belirli veri işleme faaliyeti için yapılır (6698 sayılı Kişisel Verilerin Korunması Kanunu m.3/1-ğ, m.3/1-ı).

Rolün doğru belirlenmesi, başvurunun muhatabını ve yükümlülüklerin kapsamını da etkiler. Yazılımı kullanan çalışan, dış hizmet sağlayıcı, şirketin kendisi ve Sicile bildirilen irtibat kişisi aynı sıfatı taşımaz. Önce hangi kişisel verinin hangi işlemde, kimin kararıyla ve kimin adına işlendiğini belirleyin (KVKK m.3, m.12, m.13; Veri Sorumluları Sicili Hakkında Yönetmelik m.11).

1. Veri Sorumlusu Kimdir?

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve araçlarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Bu sıfat, yalnız bilgisayar sistemini yöneten kişiyi anlatmaz. Verinin neden işlendiği ve işleme düzeninin kim tarafından belirlendiği birlikte incelenir; teknik bir görevin yürütülmesiyle veri sorumlusu olmak aynı değildir (KVKK m.3/1-ı).

Bir şirketin müşteri kayıtları bakımından şirketin kendisi veri sorumlusu olabilir; bir gerçek kişi de kendi faaliyeti çerçevesinde bu rolü taşıyabilir. Kanunun tanımı her iki kişi türünü de kapsar. Bir işleme faaliyetinin varlığını değerlendirmeden önce, kaydın kimliği belirli veya belirlenebilir gerçek kişiyle ilişkilendirilebilen kişisel veri olup olmadığı da belirlenir (KVKK m.3/1-d, m.3/1-ı).

Veri sorumlusu olmak, veriyi her amaçla işleyebilmek demek değildir. İşleme şartları, bilgilendirme ve güvenlik yükümlülükleri ayrıca yerine getirilmelidir. İşlem açık rızaya dayanıyorsa açık rızanın alınması ve geri alınmasının sonuçları da o faaliyetin kapsamına göre değerlendirilir (KVKK m.5, m.10, m.12).

2. Veri İşleyen Kimdir?

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Tanımda belirleyici olan, hizmetin teknoloji içermesi veya verinin başka bir yerde saklanması değil, işlemin veri sorumlusu adına ve onun verdiği yetkiyle yapılmasıdır. Hizmet sağlayıcının konumu bu ilişki üzerinden belirlenir (KVKK m.3/1-ğ).

Veriyi saklamak, düzenlemek, aktarmak veya erişilebilir kılmak da işleme faaliyeti içinde yer alabilir. Bu nedenle yalnız verinin kaydedilmesi değil, sonraki kullanımın hangi amaçla ve kimin adına yapıldığı da incelenmelidir. Bir sağlayıcının kendi amaçlarını belirlediği ayrı işlem, ilk hizmetle aynı rol altında varsayılmamalıdır (KVKK m.3/1-e, m.3/1-ğ, m.3/1-ı).

Sözleşmedeki “hizmet sağlayıcı” veya “veri işleyen” başlığını okumak tek başına yeterli olmaz. Tarafların yaptığı işin Kanundaki tanımlara karşılık gelip gelmediği belirlenmelidir; aynı kişi farklı işleme faaliyetleri bakımından farklı konumlarda değerlendirilebilir (KVKK m.3).

3. Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Nedir?

Veri sorumlusu ile veri işleyen arasındaki temel fark, işleme amaçlarını ve araçlarını belirleyen tarafla onun adına yetkiyle hareket eden tarafın ayrılmasıdır. Verilerin dış sağlayıcının sunucusunda bulunması, müşteri sayısı veya teknik kapasite, tek başına bu ayrımın yerine geçmez (KVKK m.3/1-ğ, m.3/1-ı).

Kar­şı­laş­tırma	Veri sorumlusu	Veri işleyen
Rolün temeli	İşleme amaçlarını ve araçlarını belirler; kayıt sisteminin kurulması ve yöne­til­me­sin­den sorumludur.	Veri sorum­lu­su­nun verdiği yetkiyle onun adına işler.
Kimin adına işlem yapılır?	İncelenen faaliyetin karar ve sorumluluk konumu değer­len­di­ri­lir.	Veri sorumlusu adına hareket edilir.
İlgili kişinin başvurusu	Kanundaki başvurunun muhatabıdır.	Hizmet sağlıyor olması onu bu başvurunun asıl muhatabı yapmaz.
Veri güvenliği	Gerekli teknik ve idari tedbirleri alır.	Başkası adına işlemede tedbirlerin alınması bakımından müşterek sorumluluk söz konusudur.

Tablodaki başvuru ve güvenlik ayrımı, rol tanımlarına ek olarak ayrı yükümlülük hükümlerinden doğar. Veri işleyenle çalışılması, veri sorumlusunun ilgili kişi başvurularını kendisinin değerlendirmesi gereğini veya güvenlik sorumluluğunu ortadan kaldırmaz (KVKK m.12/1-2, m.13).

4. Veri Sorumlusunun Yükümlülükleri Nelerdir?

Veri sorumlusunun yükümlülükleri yalnız VERBİS kaydından oluşmaz. Hukuki işleme şartının belirlenmesi, ilgili kişinin bilgilendirilmesi, başvuruların sonuçlandırılması ve veri güvenliğinin sağlanması ayrı konulardır. Sicile kayıt bakımından istisna bulunması da Kanunun diğer yükümlülüklerini kendiliğinden kaldırmaz; kapsam istisnaları ayrıca değerlendirilir (KVKK m.5, m.10, m.12, m.13, m.16, m.28; Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-f).

Konu	Veri sorumlusu bakımından incelenecek yükümlülük	Dayanak
İşleme şartı	Verinin hangi kanuni şartla işlendiğini belirleme	KVKK m.5-6
Aydınlatma	Kimlik, amaç, aktarım, yöntem, hukuki sebep ve haklar hakkında bilgi verme	KVKK m.10
Güvenlik	Hukuka aykırı işleme ve erişimi önleme, muhafaza için gerekli tedbirleri alma	KVKK m.12/1
Denetim	Kendi kurum veya kuruluşunda gerekli denetimleri yapma veya yaptırma	KVKK m.12/3
İlgili kişi başvurusu	Talebi en kısa sürede ve en geç otuz gün içinde sonuç­lan­dırma	KVKK m.13
Sicil	Kayıt yüküm­lü­lü­ğünü ve istis­na­la­rını belirleme; yükümlülük varsa kayıt ve bildirim	KVKK m.16

Aydınlatmanın içeriği KVKK aydınlatma metni yazısında açıklanmıştır. İşlemenin açık rıza dışındaki bir şarta dayanması da bu yükümlülüğü kapsam ve istisnaları içinde ayrıca değerlendirme gereğini kaldırmaz. Özel nitelikli kişisel veriler için işleme şartları kendi hükmünden okunmalıdır (KVKK m.5, m.6/3, m.10, m.28).

Sicile kayıtla yükümlü veri sorumluları kişisel veri işleme envanteri hazırlar; Sicile açıklanacak bilgiler bu envantere dayanır. Kayıt yapılması, Kanun kapsamındaki diğer yükümlülüklerin yerine getirildiğini tek başına göstermez. VERBİS kayıt yükümlülüğü bu nedenle rol belirlemesinden sonra ayrıca incelenmelidir (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-ç, m.5/1-e).

5. Veri Sorumlusu Şirketin Kendisi mi, Yönetici veya Çalışan mı?

Tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir. Türkiye’de yerleşik tüzel kişilerin yükümlülükleri temsil ve ilzama yetkili organ veya mevzuatta belirtilen kişiler aracılığıyla yerine getirilir. Bir veya birden fazla kişiye görev verilmesi, şirketin Kanun kapsamındaki sorumluluğunu ortadan kaldırmaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.11/1).

Bu nedenle genel müdür, bilgi işlem müdürü veya insan kaynakları çalışanının belirli işleri yürütmesiyle veri sorumlusu sıfatının ona geçtiği söylenemez. Görevlendirme ile tüzel kişiliğin sorumluluğu ayrı konulardır. Aynı ayrım, dışarıdan teknik destek alınması için de önemlidir; görevin devredilmesi Kanundaki rolün kendiliğinden devri değildir (KVKK m.3; Veri Sorumluları Sicili Hakkında Yönetmelik m.11/1).

Kurumun Kişisel Verilerin Korunması Kanunu Hakkında Sıkça Sorulan Sorular rehberi, şirket içindeki birimle organizasyon dışındaki veri işleyeni de ayırır. Bu açıklama Kurumun yorumudur; rehber kanun veya bağlayıcı düzenleme değildir. Şirketin kendi çalışanına bir görev vermesi, onu sırf bu nedenle ayrı bir veri işleyen hizmet sağlayıcısı gibi değerlendirmeyi gerektirmez. Normdaki temel ayrım, kimin adına işlem yapıldığı ve tüzel kişiliğin konumudur (KVKK m.3; Veri Sorumluları Sicili Hakkında Yönetmelik m.11/1).

6. Veri Sorumlusu ve Veri İşleyen Örnekleri Nasıl Değerlendirilir?

Veri sorumlusu ve veri işleyen örnekleri, işleme faaliyeti belirtilmeden kesin rol etiketlerine dönüştürülmemelidir. Bulut, muhasebe, çağrı merkezi veya kargo hizmeti sunulması tek başına bütün işlemler için aynı sonucu doğurmaz. Önce hangi verinin hangi amaçla ve kimin adına işlendiğini belirleyin (KVKK m.3/1-ğ, m.3/1-ı).

Aşağıdaki örnekler varsayımsaldır; sonucu değiştiren karar ve yetki ilişkisini gösterir:

Durum	Değer­len­di­ri­le­cek ayrım
Şirket müşteri kayıtlarını kendi belirlediği faaliyet için dış sağlayıcıda saklatıyor	Sağlayıcı bu işi verilen yetkiyle şirket adına yapıyorsa veri işleyen tanımı incelenir; şirketin işleme kararları ayrıca belirlenir.
Aynı sağlayıcı verileri kendi belirlediği başka bir amaçla kullanıyor	Ayrı faaliyette amaç ve araçları kimin belirlediği incelenir; ilk hizmetin rol adı otomatik uygulanmaz.
İki şirket ortak bir faaliyette veri topluyor	Her tarafın hangi kararları verdiği ve kimin adına hareket ettiği belirlenir; yalnız “ortak kampanya” adıyla sorumluluk dağıtılmaz.
Bir meslek mensubu başka kuruluştan aldığı kayıtlarla çalışıyor	Yalnız başka kişiden veri alınmasına bakılmaz; mesleki faaliyetin amaçlarını kendisinin mi belirlediği, yoksa onun adına yetkiyle mi işlediği araştırılır.

Birden fazla tarafın karar verdiği faaliyette her tarafın konumu aynı tanımlar üzerinden incelenir. Bundan, bütün tarafların bütün yükümlülükler veya yaptırımlar bakımından aynı biçimde sorumlu olduğu sonucu kendiliğinden çıkmaz. Müşterek güvenlik sorumluluğunun kapsamı ile cezanın muhatabı ayrı hükümlerdedir (KVKK m.3, m.12/2, m.18/2).

Grup şirketlerinde de yalnız aynı gruba bağlı olmakla bütün şirketler tek kişi sayılmaz. Tüzel kişiliğin kendisinin veri sorumlusu olması kuralı korunur; her şirketin somut işleme faaliyetindeki konumu belirlenmelidir. Rol tablosuna kuruluş adını yazmak, veri akışını incelemenin yerine geçmez (KVKK m.3; Veri Sorumluları Sicili Hakkında Yönetmelik m.11/1).

7. Veri Sorumlusu, İrtibat Kişisi ve Temsilci Arasındaki Fark Nedir?

Veri sorumlusu, irtibat kişisi ve veri sorumlusu temsilcisi farklı sıfatlardır. İrtibat kişisi Kurumla iletişim için Sicile bildirilen gerçek kişidir; bu sıfatıyla veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir. Temsilci ise Türkiye’de yerleşik olmayan veri sorumluları için ayrıca tanımlanır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-ç, m.4/1-p, m.11/4).

Sıfat	Görevi veya konumu
Veri sorumlusu	İşleme amaç ve araçlarını belirler, kayıt sisteminin kurulması ve yöne­til­me­sin­den sorumludur.
İrtibat kişisi	Kurumla iletişim için bildirilir; bu sıfatla veri sorumlusunu temsile yetkili değildir.
Veri sorumlusu temsilcisi	Türkiye’de yerleşik olmayan veri sorumlusunu Yönet­me­likte belirtilen konularda temsile yetkilidir.

Bir adreste irtibat kişisinin adının görünmesi, ilgili kişinin başvurusunu hangi sıfatla kabul ettiği sorusunu tek başına çözmez. Başvurunun muhatabı veri sorumlusudur; temsil yetkisi ve kullanılan başvuru kanalı ayrıca belirlenir. Belge ve iletim hazırlığı veri sorumlusuna KVKK başvurusu yazısındadır (KVKK m.13; Veri Sorumluları Sicili Hakkında Yönetmelik m.11/3-c, m.11/4).

Kamu kurumlarında irtibat kişisi, koordinasyonu sağlayacak üst düzey yönetici tarafından Kurumla iletişim amacıyla belirlenerek Sicile kaydı yapılan daire başkanı veya üstü yöneticidir. Bu özel belirleme de irtibat kişisini kurum yerine veri sorumlusu yapmaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.11/5).

8. Veri İşleyenle Çalışıldığında Güvenlikten Kim Sorumludur?

Veri sorumlusu, kendi adına başka bir gerçek veya tüzel kişinin veri işlemesi hâlinde, gerekli teknik ve idari tedbirlerin alınması bakımından bu kişilerle müştereken sorumludur. Bu sorumluluğun konusu, hukuka aykırı işleme ve erişimi önleme ile verilerin muhafazası için gerekli güvenlik tedbirleridir (KVKK m.12/1-2).

İşin dış firmaya verilmesi veri sorumlusunun güvenlik yükümlülüğünü ortadan kaldırmaz. Bununla birlikte yalnız dış firmada bir olay yaşanmasından hareketle her tarafın aynı yaptırımı alacağı söylenemez; hangi tedbirin kimin faaliyetinde eksik olduğu ve yaptırımın muhatabı ayrıca belirlenir (KVKK m.12, m.18/2).

Sözleşme hazırlığında yetki verilen işlemin, kullanılacak verilerin, güvenlik tedbirlerinin ve tarafların iletişim düzeninin açıklaştırılması yararlıdır. Bu, KVKK m.12’nin her hizmet için aynı adlı ve aynı içerikli bir yazılı sözleşme formu zorunlu tuttuğu anlamına gelmez. Esas olan Kanundaki güvenlik yükümlülüğünün karşılanmasıdır; yalnız sözleşmeye farklı rol adı yazmak yeterli olmaz (KVKK m.3, m.12).

8.1. Veri İşleyen Sözleşmesi İçin Hangi Bilgiler Kontrol Edilir?

Veri işleyenle sözleşme hazırlanırken, yapılacak işi ve güvenlik tedbirlerini somutlaştıran bilgiler toplanabilir. Sözleşmede yazan yetki ile hizmette gerçekten açılan erişim aynı faaliyeti karşılamalıdır. Aşağıdaki liste, bu karşılaştırma için bir hazırlık örneğidir; her hizmette aynı adlı belgelerin veya aynı inceleme yönteminin kullanılmasını gerektiren kanuni bir form değildir (KVKK m.3, m.12).

Sağlayıcıya yönel­ti­le­cek soru	Kar­şı­laş­tı­rı­la­bi­le­cek bilgi veya kanıt	İncelemeye katı­la­bi­le­cek işlev
Hangi işi, kimin adına ve hangi talimatla yapa­cak­sı­nız?	Hizmet kapsamı, işlem açıklaması ve talimatın hangi kanaldan verileceği.	Hizmeti kullanan birim ve hukuk.
Hangi kişisel veriye, hangi hesaplarla eri­şe­cek­si­niz?	Kul­la­nı­la­cak alanların listesi ile etkin hesap ve yetki ayarları.	İlgili iş birimi ve bilgi işlem.
Veriyi kendi belir­le­di­ği­niz başka bir amaçla da kullanıyor musunuz?	Hizmet açıklaması, sözleşme ve fiilî kullanımın kar­şı­laş­tı­rıl­ması; farklı kullanımın ayrıca rol değer­len­dir­me­sine alınması.	Hukuk ve hizmeti kullanan birim.
Güvenlik tedbirleri hizmette nasıl uygulanıyor?	Faaliyete uygun tedbir açıklaması ve uygu­la­nı­şını gösteren ayar veya kayıt örneği.	Bilgi işlem ve ilgili iş birimi.
Şüpheli erişim veya yanlış paylaşım fark edildiğinde kiminle iletişim kurulacak?	Tarafların iletişim ve iç yönlendirme düzeni; kul­la­nı­la­bi­lir iletişim kanalının kontrolü.	Bilgi işlem, ilgili birim ve hukuk.
Hizmet bittiğinde erişimler ve tutulan kayıtlar ne olacak?	Kapatılacak hesaplar, kayıtların akıbeti ve devam ettiği söylenen saklama gerek­çe­si­nin açıklaması.	Hizmeti kullanan birim, bilgi işlem ve hukuk.

Son satırda yalnız sözleşmenin bitiş tarihini yazmak yeterli bir hazırlık sağlamaz. Örneğin hizmeti sona eren sağlayıcının hesabı hâlâ açık görünüyorsa, kapatma işlemi ve kontrolü ayrıca takip edilebilir. Veriler bakımından da hangi işleme sebebinin devam ettiği belirlenir; işlenmesini gerektiren sebepler ortadan kalkmışsa silme, yok etme veya anonim hâle getirme değerlendirilir. Diğer kanunlardaki hükümler saklıdır; ayrıntılar kişisel verilerin imhası rehberinde açıklanmıştır (KVKK m.7, m.12/1).

Sağlayıcının verdiği genel bir güvenlik belgesi, yalnız kendi kapsamı ve inceleme tarihi içinde değerlendirilmelidir. Belgedeki hizmet ile kullanılan hizmet veya açılan özellikler farklıysa, aradaki fark ayrıca açıklığa kavuşturulabilir. Bu hazırlık, veri sorumlusunun adına işlemedeki güvenlik sorumluluğunu kaldırmaz (KVKK m.12/2).

Veri sorumlusu kendi kurum veya kuruluşunda gerekli denetimleri yapmak veya yaptırmakla da yükümlüdür. Kanundaki bu ifadeyi, her dış sağlayıcı için aynı yöntemle yapılacak tek bir denetim prosedürü gibi genişletmeyin; faaliyet ve alınan tedbirler somutlaştırılmalıdır (KVKK m.12/3).

Yurt dışındaki hizmet sağlayıcılarla çalışırken kullanılabilecek aktarım yolları ve tarafların rollerine göre standart sözleşme seçimi, yurt dışına kişisel veri aktarımı rehberinde açıklanmıştır.

9. Veri Sorumlusu ve Veri İşleyenin Sır Saklama Yükümlülüğü Sürer mi?

Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz. Bu yükümlülük görevden ayrıldıktan sonra da devam eder. İlişkinin sona ermesi, öğrenilen verileri başka amaçlarla kullanma yetkisi vermez (KVKK m.12/4).

Bu nedenle veri üzerinde işlem yapabilmiş olmakla o veriyi daha sonra serbestçe kullanabilmek aynı şey değildir. Örneğin hizmet ilişkisi sona erdiğinde müşteri kayıtlarının başka bir faaliyet için kullanılması, önceki yetkinin devam ettiği varsayımıyla değerlendirilemez; amaç, yetki ve uygulanacak işleme şartı ayrıca incelenir (KVKK m.3, m.5, m.12/4).

İşlenen verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde veri sorumlusunun ilgili kişiye ve Kurula en kısa sürede bildirim yükümlülüğü de bulunur. Buradaki rol ayrımıyla ihlal anında yapılacak işlemler farklı konulardır; bildirim hazırlığı veri ihlali bildirimi yazısında açıklanmıştır (KVKK m.12/5).

10. Veri Sorumlusu ve Veri İşleyen İçin Cezanın Muhatabı Kimdir?

Veri sorumlusu ile veri işleyenin güvenlik tedbirleri bakımından müşterek sorumluluğu, idari para cezalarının muhatabının her bentte aynı olduğu anlamına gelmez. Aydınlatma, veri güvenliği, Kurul kararına uyma ve Sicile ilişkin bentlerde cezanın muhatabı veri sorumlusudur. 2024’te eklenen standart sözleşme bildirimi bendinde ise veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri muhatap olabilir (KVKK m.18/1-2).

Son bent, yurt dışına aktarımdaki her aykırılığın genel adı değildir; Kanunun 9. maddesinin beşinci fıkrasındaki standart sözleşme bildirimine bağlıdır. Standart sözleşme, imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilir (KVKK m.9/5, m.18/1-d).

Bu ayrım yapılırken kamu kurumları için m.18/4’te düzenlenen disiplin yolu da özel olarak değerlendirilmelidir. Güncel tutarlar, muhatap ve yargı yolu KVKK ihlal cezası yazısındadır. Bir güvenlik veya sözleşme yükümlülüğünden hareketle her kişiye aynı idari cezanın yöneltileceği sonucu çıkarılmamalıdır (KVKK m.12, m.18).

11. Türkiye’de Yerleşik Olmayan Veri Sorumlusu Nasıl Temsil Edilir?

Türkiye’de yerleşik olmayan veri sorumluları için Sicil işlemleri veri sorumlusu temsilcisi aracılığıyla yürütülür. Kayıt yükümlülüğü ve istisnaları birlikte değerlendirilmelidir; yalnız yabancı kuruluş olmasına veya Sicildeki kayda bakarak bütün Kanun yükümlülükleri hakkında tek sonuç çıkarılamaz (KVKK m.2, m.16, m.28; Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-b, m.5/1-f).

Temsilci, Türkiye’de yerleşik tüzel kişi veya Türkiye Cumhuriyeti vatandaşı gerçek kişi olabilir. Temsilci atama kararının tasdikli örneği, kayıt başvurusu sırasında Kuruma sunulur; kararın asgari kapsamı Yönetmelikte ayrıca düzenlenmiştir (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-p, m.11/2-3).

Bu kapsamda Kurum yazışmalarını kabul etme, talepleri veri sorumlusuna ve cevapları Kuruma iletme, ilgili kişi başvurularını veri sorumlusu adına alma ve cevapları iletme ile Sicil işlemleri yer alır. İlgili kişi başvurularını alma ve cevabı iletme bakımından Kurulun başka esas belirleyebilmesine ilişkin hüküm de saklıdır. Temsilci ile irtibat kişisinin aynı sıfat olmadığı bu aşamada da korunmalıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.11/3-4).