Veri sorumlusu ve veri işleyen farkı

"Biz sadece veri işleyeniz" cümlesi, sorumluluktan kaçınmak için en sık başvurulan savunmadır. Çoğu zaman da yanlıştır. Sıfat, tarafların kendilerini nasıl adlandırdığına göre değil, fiilen ne yaptıklarına göre belirlenir — ve bu ayrım, yükümlülüklerin kimde olduğunu doğrudan değiştirir.

Tanımlar ve ayırt edici ölçüt

Kanun'un 3. maddesi iki sıfatı tanımlar:

• Veri sorumlusu: kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
• Veri işleyen: veri sorumlusunun verdiği yetkiye dayanarak, onun adına kişisel verileri işleyen gerçek veya tüzel kişi.

Ayırt edici tek soru şudur: amaç ve vasıtaları kim belirliyor? Veriyi neden işleyeceğine, hangi veriyi toplayacağına, ne kadar saklayacağına karar veren taraf veri sorumlusudur. Bu kararlara uyarak, talimat çerçevesinde işleyen taraf veri işleyendir.

Dikkat edilmesi gereken nokta: sıfat sözleşmeyle serbestçe seçilemez. Sözleşmede "taraf veri işleyendir" yazması, o taraf kendi amaçları için karar alıyorsa sonucu değiştirmez.

Yükümlülükler nasıl dağılır?

Kanun'un getirdiği yükümlülüklerin ağırlıklı kısmı veri sorumlusundadır:

• Aydınlatma yükümlülüğü veri sorumlusuna aittir; ispatı da ondadır (ayrıntı).
• VERBİS'e kayıt yükümlülüğü veri sorumlusuna aittir (kimler kapsamda).
• İlgili kişi başvurusuna cevap veri sorumlusu tarafından verilir; başvuru veri işleyene ulaşırsa yönlendirilir.
• İhlal bildirimi veri sorumlusu tarafından yapılır; ihlal veri işleyende yaşansa dahi bu değişmez.

Buna karşılık veri güvenliği bakımından tablo farklıdır: Kanun'un 12. maddesi, güvenliğe ilişkin tedbirlerin alınması hususunda veri sorumlusunu veri işleyen ile birlikte müştereken sorumlu kılar. Yani "tedarikçimizde oldu" demek, veri sorumlusunu sorumluluktan kurtarmaz; veri işleyeni de sorumluluktan azade kılmaz.

Sözleşme neden şart?

Kurumun Kişisel Veri Güvenliği Rehberi, veri sorumlusu ile veri işleyen arasında yazılı bir sözleşme bulunmasını bekler. Bu sözleşmede asgari olarak şunların yer alması beklenir:

• Veri işleyenin yalnızca veri sorumlusunun talimatları doğrultusunda işlem yapacağı,
• Süresiz sır saklama yükümlülüğü,
• Bir ihlal hâlinde veri sorumlusuna gecikmeksizin bildirim yapılacağı,
• Alt işleyen kullanımının veri sorumlusunun iznine bağlı olduğu,
• Sözleşme sona erdiğinde verilerin iade veya imha edileceği,
• Veri sorumlusunun denetim hakkı.

Bu maddeler olmadan, veri sorumlusu kendi süresini başlatan olayı günler sonra öğrenebilir veya verisinin nerede olduğunu bilemez hâle gelir.

Tedarikçi sınıflandırmasında yapılan hatalar

1. Her tedarikçiyi veri işleyen saymak. Bir taraf kendi yasal yükümlülükleri gereği veya kendi amaçlarıyla veri işliyorsa, o ilişkide veri işleyen değil ayrı bir veri sorumlusudur. Bu ayrım, bulut ve yazılım hizmetlerinde çoğu zaman doğru yapılırken; bağımsız meslek mensuplarıyla veya taşıma/lojistik hizmetleriyle olan ilişkilerde atlanabilmektedir.
2. Grup şirketlerini "iç mesele" saymak. Aynı holding çatısı altındaki iki tüzel kişi arasında veri paylaşımı da bir aktarımdır; hukuki sebebi ve sözleşmesel çerçevesi kurulmalıdır.
3. Alt işleyeni görmezden gelmek. Tedarikçinizin çalıştığı barındırma firması da zincirin parçasıdır; izne ve kayda bağlanmalıdır.
4. Yurtdışı boyutunu atlamak. Veri işleyen yurtdışındaysa, ilişki aynı zamanda bir yurtdışına aktarımdır ve Kanun'un 9. maddesindeki dayanaklardan birine oturtulmalıdır.
5. Sıfatı sözleşmede yazıp fiiliyatta değiştirmek. Tedarikçi zamanla kendi analiz veya geliştirme amaçlarıyla veriyi kullanmaya başladıysa, sıfat da fiilen değişmiştir.

Bütüncül gözden geçirme

Sıfat tespiti, tek başına yapılan hukuki bir niteleme değildir; sonucu tüm uyum belgelerinize yansır. Bir tedarikçinin veri sorumlusu olduğuna karar verdiğinizde bu bir aktarımdır: aydınlatma metinlerinizdeki alıcı gruplarına eklenmeli, kişisel veri envanterinize işlenmeli ve VERBİS kaydınızda görünmelidir. Veri işleyen olduğuna karar verdiğinizde ise aktarım değil, sizin adınıza işleme söz konusudur; bu kez veri işleyen sözleşmesi, denetim hakkı ve ihlal bildirim akışı kurulmalıdır. Her iki hâlde de saklama ve imha politikanız, sözleşme bitiminde verinin akıbetini tanımlamalıdır.

Sıfatın yanlış belirlenmesi, bu zincirin tamamını yanlış kurar. Bu nedenle tedarikçi haritanızı hukuki destek alarak çıkarmanızı öneririz; Genç Partners'ın uyum projelerindeki deneyimi, sınırın belirsiz olduğu ilişkilerde doğru nitelemeyi yapmayı kolaylaştırır. KVKK belge merkezi ise ortaya çıkan sözleşme ve politikaların güncel hâlinin tek adresten yayımlanmasını sağlar.

Özet

• Sıfatı belirleyen ölçüt: amaç ve vasıtaları kim belirliyor?
• Sıfat sözleşmeyle serbestçe seçilemez; fiilî duruma bakılır.
• Aydınlatma, VERBİS, başvuruya cevap ve ihlal bildirimi veri sorumlusundadır.
• Veri güvenliği tedbirlerinde taraflar müştereken sorumludur.
• Veri işleyenle yazılı sözleşme; ihlal bildirimi, alt işleyen izni ve iade/imha hükümlerini içermelidir.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Tedarikçilerinizin sıfatının belirlenmesi ve sözleşmelerinizin kurulması için hukuki destek alınız.