Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri

Kısa Cevap

Veri sorumlusu, kişisel verinin neden ve nasıl işleneceğine karar veren kişidir. Veri işleyen ise bu kararı vermez; veri sorumlusunun verdiği yetkiye dayanarak onun adına işlem yapar. Ayrım teknik kapasiteye göre değil karar yetkisine göre yapılır: veriyi fiilen kim tutuyor değil, işleme amacını kim belirliyor.

Bu ayrım süslü bir tanım tartışması değildir; üç somut sonucu vardır. Sicile kayıt yükümlülüğü veri sorumlusuna aittir. İlgili kişinin başvurusunun muhatabı veri sorumlusudur. İdari para cezalarının muhatabı da kural olarak veri sorumlusudur.

Bu yazı, rolün kimde olduğunu ve bu rolün doğurduğu yükümlülükleri ele alır. Bir veri ihlali gerçekleştiğinde izlenecek bildirim prosedürünü ise veri ihlali bildirimi yazımızda ayrıca anlattık; buradaki konu ihlal anı değil, rol dağılımıdır.

Kanundaki İki Tanım

Kanun her iki rolü de tanımlar maddesinde açıklar:

ğ) Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi, h) Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemini, ı) Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.3)

İki tanım yan yana okunduğunda ayrımın nerede olduğu görünür. Veri sorumlusu tanımında iki unsur vardır: işleme amaçlarını ve vasıtalarını belirlemek ve veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olmak. Veri işleyen tanımında ise tek bir unsur vardır: veri sorumlusunun verdiği yetkiye dayanarak onun adına işlemek.

Her iki rol de gerçek veya tüzel kişi olabilir. Yani bir şirket başka bir şirketin veri işleyeni olabilir; bir serbest çalışan da olabilir.

Ayrımın Ölçütü: Amacı ve Vasıtayı Kim Belirliyor?

Uygulamada rol karışıklığının kaynağı, ayrımın teknik bir ölçüte göre yapıldığı sanılmasıdır. Veriyi kimin sunucusunda tuttuğu, yazılımı kimin geliştirdiği ya da kimin daha büyük olduğu ayrımda belirleyici değildir.

Belirleyici olan karar yetkisidir. Bir şirket, müşteri listesini bir bulut sağlayıcısında tutuyorsa, verinin hangi amaçla işleneceğine ve hangi vasıtalarla işleneceğine karar veren o şirkettir; bulut sağlayıcısı bu kararı almaz, hizmet sunar. Bu nedenle şirket veri sorumlusu, sağlayıcı veri işleyendir. Aynı mantık bordro hizmeti veren muhasebe bürosu, çağrı merkezi hizmeti veren firma ya da kargo şirketi için de kurulur.

Ölçüt tersine de işler. Bir hizmet sağlayıcısı, kendisine verilen verileri kendi belirlediği bir amaç için de kullanmaya başlarsa, o faaliyet bakımından artık veri işleyen değil veri sorumlusu hâline gelir. Örneğin müşteri verilerini kendi ürününü geliştirmek ya da kendi pazarlama faaliyetinde kullanmak, sağlayıcıyı o işleme bakımından veri sorumlusu konumuna taşır. Bu nedenle rol, sözleşmedeki başlığa göre değil fiilî duruma göre belirlenir ve aynı taraf farklı faaliyetlerde farklı rollerde olabilir.

Kurulun 2020/71 Sayılı Kararında Fiilî Ölçüt

Kişisel Verileri Koruma Kurulu, rol belirlemesinde sözleşmedeki unvandan önce karar yetkisine bakılması gerektiğini şu birebir ifadeyle somutlaştırmıştır:

Bu çerçevede, kişisel verilerin işlenmesine ilişkin kararları alma, işleme faaliyetinin amacı, bu faaliyetin ne zaman başlayacağı kimler tarafından gerçekleştirileceği ve benzeri hususlarda karar verme yetkisi veri sorumlusuna aittir.

(Kişisel Verileri Koruma Kurulu, 30.01.2020 tarihli ve 2020/71 sayılı karar)

Kararda veriye kimin erişeceği, hangi verilerin işleneceği, ne kadar süre tutulacağı ve nasıl saklanacağı gibi temel unsurlar da veri sorumlusunun belirlediği başlıklar arasında değerlendirilmiştir. Buna karşılık veri işleyen, veri sorumlusunun talimatı ve menfaatiyle bağlı kalmak şartıyla bazı teknik tercihler yapabilir. Bu nedenle tek bir teknik tercihin devredilmesi, veri sorumlusu sıfatının da devredildiği anlamına gelmez.

Kurulun aynı kararda kurduğu ikinci ölçüt, karar yetkisinin kaynağına bakar. Veri sorumlusunu tanımlayan şey yalnızca karar veriyor olması değil, o kararı kimseden talimat almadan verebilmesidir:

Veri sorumlusu kimseden emir ve talimat almayan, bilakis bir başka kişiye veri işletmesi halinde bu hususta emir ve talimat veren, veri işleme süreçlerinin her anında serbestçe karar verme yetkisine sahip olan gerçek veya tüzel kişilerdir.

(Kişisel Verileri Koruma Kurulu, 30.01.2020 tarihli ve 2020/71 sayılı karar)

Bu ölçüt, uygulamadaki sınır vakalarını çözen asıl testtir. Bir tarafın veri üzerinde fiilen işlem yapıyor olması onu veri sorumlusu yapmaz; belirleyici olan, işleme süreçlerinin herhangi bir anında serbestçe karar verip veremediğidir. Talimatla bağlı olan taraf, teknik yetkinliği ne kadar yüksek olsa da veri işleyendir.

Tüzel Kişilerde Veri Sorumlusu Kimdir?

Bu, şirketlerin en sık sorduğu ve en sık yanlış cevaplanan sorudur. Sicil Yönetmeliği tereddüde yer bırakmayacak biçimde cevaplar:

MADDE 11 – (1) Tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir. Türkiye’de yerleşik olan tüzel kişilerin Kanun kapsamındaki veri sorumlusu yükümlülükleri, ilgili mevzuat hükümlerine göre tüzel kişiliği temsil ve ilzama yetkili organ veya ilgili mevzuatta belirtilen kişi veya kişiler marifetiyle yerine getirilir. Tüzel kişiliği temsile yetkili organ, Kanunun uygulanması bakımından yerine getirilecek yükümlülükler ile ilgili olarak bir veya birden fazla kişiyi görevlendirebilir. Bu görevlendirme Kanun hükümleri uyarınca tüzel kişiliğin sorumluluğunu ortadan kaldırmaz.

(Veri Sorumluları Sicili Hakkında Yönetmelik m.11)

Üç sonuç birlikte çıkar. Birincisi, veri sorumlusu şirketin kendisidir; genel müdür, bilgi işlem müdürü ya da yönetim kurulu üyesi değildir. İkincisi, yükümlülükler şirketi temsil ve ilzama yetkili organ marifetiyle yerine getirilir. Üçüncüsü ve en önemlisi, şirket içinde bir veya birkaç kişinin görevlendirilmesi tüzel kişiliğin sorumluluğunu ortadan kaldırmaz.

Bu son cümle, uygulamada sıkça kurulan bir savunmayı kapatır: “biz bu işi X kişiye vermiştik, o yapmamış” savunması şirketi sorumluluktan çıkarmaz. Görevlendirme iç ilişkide sonuç doğurur, Kanun karşısındaki muhatabı değiştirmez.

İrtibat Kişisi Veri Sorumlusu Değildir

Sicile kayıtlı veri sorumluları bir irtibat kişisi bildirir ve bu kişi Kurumla iletişimi sağlar. Ancak Yönetmelik bu kişinin konumunu açıkça sınırlar: irtibat kişisi veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir.

Bu sınırın iki yönlü sonucu vardır. Veri sorumlusu tarafında: irtibat kişisi bildirmek, yükümlülükleri o kişiye devretmek anlamına gelmez. İlgili kişi tarafında: başvuruyu irtibat kişisine göndermek, veri sorumlusuna yapılmış geçerli bir başvuru sayılmayabilir; başvuru veri sorumlusunun kendisine ya da temsilcisine yöneltilmelidir. Başvurunun usulü ve muhatabı hakkında ayrıntı için veri sorumlusuna başvuru yazımıza bakabilirsiniz.

Kamu kurum ve kuruluşlarında irtibat kişisinin kim olacağı da belirlenmiştir: koordinasyonu sağlayacak üst düzey yönetici tarafından Kurumla iletişimi sağlamak amacıyla belirlenen ve Sicile kaydı yapılan daire başkanı veya üstü yöneticidir.

Dışarıya Vermek Sorumluluktan Kurtarmaz: Müşterek Sorumluluk

Veri işleme faaliyetinin bir dış firmaya verilmesi, veri sorumlusunun yükümlülüklerini o firmaya devretmez. Kanun bunu açıkça düzenler:

MADDE 12- (1) Veri sorumlusu; a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek, c) Kişisel verilerin muhafazasını sağlamak, amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. (2) Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.12)

İkinci fıkradaki müşterek sorumluluk hükmü, dış kaynak kullanımının hukuki sonucunu belirler. Veri işleyende yaşanan bir güvenlik açığından veri sorumlusu da sorumludur; “hizmeti biz almadık, onlar sağladı” savunması bu fıkra karşısında sonuç doğurmaz.

Bunun sözleşmeye yansıması gerekir. Veri işleyenle yapılacak sözleşmede alınacak teknik ve idari tedbirlerin, alt yüklenici kullanımının, ihlal hâlinde bildirim akışının ve denetim yetkisinin yazılı olması, müşterek sorumluluğun iç ilişkide nasıl dağıtılacağını belirler. Kanun ayrıca veri sorumlusuna kendi kurumu içinde denetim yapma veya yaptırma zorunluluğu da getirir; bu, dış firmanın denetlenmesini de kapsayan bir yükümlülük olarak okunmalıdır.

Sır Saklama Yükümlülüğü Görevden Ayrıldıktan Sonra da Sürer

Kanunun aynı maddesi, kişilere yönelen ve süresiz bir yükümlülük getirir: veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Kanun bunun ardından şu cümleyi ekler: bu yükümlülük görevden ayrılmalarından sonra da devam eder.

Bu hüküm iş ilişkisi sona erdikten sonra da bağlayıcıdır ve iş sözleşmesindeki gizlilik kaydından bağımsız olarak Kanundan doğar. Yani gizlilik hükmü içermeyen bir sözleşmeyle çalışmış olan kişi de bu yükümlülük altındadır. İşten ayrılan bir çalışanın müşteri listesini yanına alması, hem bu hükme aykırılık hem de koşulları varsa Türk Ceza Kanununda düzenlenen bir suç oluşturur; iki rejimin ilişkisini KVKK ihlalinde ceza yazımızda ele aldık.

Cezanın Muhatabı Kim?

Rol ayrımının en somut sonucu buradadır. Kanun, idari para cezalarının muhatabını bent bent belirler:

(2) (Değişik:2/3/2024-7499/35 md.) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.18)

Aydınlatma, veri güvenliği, Kurul kararlarına uyma ve Sicile kayıt yükümlülüklerine ilişkin cezaların muhatabı yalnızca veri sorumlusudur. Veri işleyen, bu dört bent bakımından idari para cezasının muhatabı değildir.

Tek istisna 2024te eklenen (d) bendidir: yurt dışına aktarımda öngörülen bildirim yükümlülüğü bakımından ceza, veri sorumlusunun yanı sıra veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında da uygulanabilir. Yani veri işleyenin doğrudan ceza muhatabı olduğu tek hâl budur.

Bu, veri işleyenin hiçbir riski olmadığı anlamına gelmez. Müşterek sorumluluk hükmü nedeniyle veri işleyen, veri sorumlusuna karşı rücu ilişkisi içinde kalır; ayrıca fiili işleyen gerçek kişi bakımından ceza hukuku yolu her hâlde açıktır.

Türkiyede Yerleşik Olmayan Veri Sorumlusu

Yurt dışında yerleşik bir veri sorumlusu, Türkiyedeki kişilerin verilerini işliyorsa Kanun kapsamı dışında kalmaz. Sicil Yönetmeliği bu hâl için ayrı bir usul kurar: Türkiyede yerleşik olmayan veri sorumluları, veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle Sicile kaydolmak zorundadır.

Temsilci atama kararının asgari kapsamı da belirlenmiştir. Karar, temsilcinin Kurum tarafından yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etmesini, Kurumun taleplerini veri sorumlusuna iletmesini ve cevabı Kuruma iletmesini, ilgili kişilerin başvurularını veri sorumlusu adına almasını ve veri sorumlusunun cevabını ilgili kişilere iletmesini, ayrıca Sicile ilişkin iş ve işlemleri yapmasını kapsayacak biçimde düzenlenir.

İlgili kişi bakımından bunun sonucu şudur: yurt dışında yerleşik bir veri sorumlusuna başvuru, Türkiyedeki temsilcisi üzerinden yapılabilir ve bu başvuru veri sorumlusuna yapılmış sayılır.

Uygulamada Sınır Vakaları

Ortak veri sorumluluğu. İki taraf, aynı işleme faaliyetinin amaç ve vasıtalarını birlikte belirliyorsa her ikisi de veri sorumlusudur. Ortak bir kampanya yürüten iki şirketin topladığı verilerde bu durum sık görülür. Bu hâlde yükümlülükler ortadan kalkmaz, her iki tarafta da doğar; aralarındaki paylaşım sözleşmeyle düzenlenmelidir.

Grup şirketleri. Aynı gruba bağlı olmak, şirketleri tek bir veri sorumlusu yapmaz. Her tüzel kişilik ayrı veri sorumlusudur; grup içi veri paylaşımı da aktarım rejimine tabidir.

Bağımsız meslek sahipleri. Avukat, mali müşavir ya da hekim, müvekkil veya hastasına ilişkin verilerin işleme amacını kendi mesleki yükümlülükleri çerçevesinde belirlediği için kural olarak veri sorumlusudur; başkasının talimatıyla iş gören bir veri işleyen değildir.

Çalışanlar. Şirket çalışanı, işverenin talimatıyla veri işlese de ayrı bir veri işleyen sayılmaz; veri sorumlusu tüzel kişiliğin bünyesinde hareket eder. Veri işleyen, veri sorumlusundan ayrı bir gerçek veya tüzel kişidir.

Sık Yapılan Hatalar

• Veriyi kimin sunucusunda tuttuğuna bakmak. Ölçüt teknik değil; işleme amacını ve vasıtalarını kimin belirlediğidir.
• Rolü sözleşme başlığına göre belirlemek. Rol fiilî duruma göre kurulur; aynı taraf farklı faaliyetlerde farklı rolde olabilir.
• Şirkette veri sorumlusunun bir kişi olduğunu sanmak. Tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir.
• İç görevlendirmeyle sorumluluktan kurtulduğunu düşünmek. Yönetmelik, görevlendirmenin tüzel kişiliğin sorumluluğunu ortadan kaldırmadığını açıkça söyler.
• İrtibat kişisini veri sorumlusu ya da temsilci saymak. İrtibat kişisi veri sorumlusunu temsile yetkili değildir.
• Dış kaynak kullanımının sorumluluğu devrettiğini varsaymak. Kanun, tedbirlerin alınması hususunda müşterek sorumluluk kurar.
• Gizlilik yükümlülüğünün işten ayrılınca bittiğini sanmak. Kanun, bu yükümlülüğün görevden ayrılmadan sonra da devam ettiğini yazar.
• Yurt dışında yerleşik olmanın kapsam dışı bıraktığını düşünmek. Bu hâlde kayıt, veri sorumlusu temsilcisi marifetiyle yapılır.

Özet

• Ayrımın ölçütü teknik kapasite değil karar yetkisidir: işleme amacını ve vasıtalarını kim belirliyor?
• Tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir; genel müdür ya da bilgi işlem müdürü değildir.
• Şirket içinde birinin görevlendirilmesi tüzel kişiliğin sorumluluğunu ortadan kaldırmaz.
• İrtibat kişisi veri sorumlusunu temsile yetkili değildir.
• Dış kaynak kullanımı sorumluluğu devretmez: Kanun tedbirlerin alınmasında müşterek sorumluluk kurar.
• Sır saklama yükümlülüğü görevden ayrıldıktan sonra da devam eder ve sözleşmedeki gizlilik kaydından bağımsızdır.
• İdari para cezalarının muhatabı veri sorumlusudur; veri işleyen yalnızca yurt dışına aktarım bildirimi bendinde muhataptır.
• Türkiyede yerleşik olmayan veri sorumlusu, kaydı veri sorumlusu temsilcisi marifetiyle yapar.
• Rol fiilî duruma göre kurulur; aynı taraf farklı faaliyetlerde farklı rolde olabilir.

İlgili yazılar: VERBİS Kaydı: Kimler Zorunlu, Süresi ve Kaydetmemenin Yaptırımı · KVKK İhlalinde Ceza: İdari Para Cezası ile Suç Arasındaki Fark · KVKK Kapsamında Veri Sorumlusuna Başvuru: Haklarınız, Usul ve Süre