Veri Sorumlusu Kimdir? Yükümlülükleri Nelerdir?
Özet, seçtiğiniz yapay zeka aracında yeni sekmede oluşturulur. Yapay zeka özetleri hatalı veya eksik olabilir; hukuki danışmanlık yerine geçmez.
Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Kamu kurumlarından özel şirketlere, hastanelerden dernek ve vakıflara kadar kişisel veri işleyen hemen her aktör bu sıfatı taşıyabilir. Belirleyici unsur unvan değil, veri işleme sürecinin “neden” ve “nasıl” gerçekleştirileceğine kimin karar verdiğidir.
Kavramın yasal tanımı 6698 sayılı Kişisel Verilerin Korunması Kanunu‘nun m.3/1-ı hükmünde yer alır[1]. Kararları alan taraf veri sorumlusuyken, bu kararları uygulayan tarafın konumu için Veri İşleyen Kimdir yazısına bakılabilir.
Bu yazıda veri sorumlusunun tanımı, veri işleyenden farkı ve KVKK kapsamındaki temel yükümlülükleri güncel mevzuat ışığında ele alınmaktadır.
Veri Sorumlusu Kavramının Kanuni Tanımı
KVKK m.3/1-ı uyarınca veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.[2] Hangi verinin toplanacağına, hangi hukuki sebebe dayanılarak işleneceğine ve ne kadar süre saklanacağına karar veren taraf bu sıfatı taşır.
Şirketler bakımından veri sorumlusu şirketin kendisidir, yönetim kurulu başkanı veya insan kaynakları müdürü değil tüzel kişiliğin bizzat kendisi bu statüyü taşır. Aynı ilke kamu kurumları için de geçerlidir, veri sorumlusu ilgili kamu tüzel kişisidir.
Veri Sorumlusu Kavramının Kanuni Tanımı
Veri Sorumlusu ile Veri İşleyen Arasındaki Fark
KVKK kapsamında en sık karıştırılan iki kavram veri sorumlusu ve veri işleyendir. Her iki taraf da kişisel veri işleme sürecinde yer alsa da hukuki statüleri farklıdır.
- Veri sorumlusu, hangi verilerin toplanacağına ve kimlerle paylaşılacağına karar verir.
- Veri işleyen, bu kararları kendisi almaz, veri sorumlusunun talimatları doğrultusunda teknik işlemleri yürütür.
Bir hizmet sağlayıcı, kişisel verilerin işlenme amacı veya yöntemi konusunda bağımsız karar almaya başladığı andan itibaren artık veri işleyen değil veri sorumlusu olarak değerlendirilir. Bu ayrımın işleyen tarafındaki görünümü için Veri İşleyen Kimdir yazısı incelenebilir.
Not: Unvan değil, kişisel verilerin işlenme amaç ve yöntemine kimin karar verdiği veri sorumlusu ile veri işleyeni birbirinden ayırır.
İki sıfat arasındaki farkları kriter bazında karşılaştırmak, uygulamada hangi tarafın hangi yükümlülüğü taşıdığını netleştirir.
| Kriter | Veri Sorumlusu | Veri İşleyen |
|---|---|---|
| Karar Yetkisi | İşleme amacını ve vasıtalarını belirler | Yalnızca aldığı talimatı uygular, amaç veya yöntem belirlemez |
| Kanuni Yükümlülük | Aydınlatma, VERBİS kaydı ve veri güvenliği tedbirlerinden birinci derecede sorumludur | Veri güvenliği tedbirlerinin uygulanmasında veri sorumlusuyla birlikte sorumludur |
| Sorumluluk | Kanuna aykırı işleme ve veri ihlallerinden birinci derecede sorumludur | Talimat dışına çıktığında fiilden doğrudan sorumlu hale gelir |
| VERBİS Kaydı | Kriterleri karşılıyorsa kayıt yükümlüsüdür | Kayıt yükümlülüğü bulunmaz |
| Örnek | Hastane, banka, e-ticaret şirketi | Bulut hizmeti sağlayıcısı, çağrı merkezi, muhasebe firması |
Veri Sorumlusunun Temel Yükümlülükleri
Gerçek Kişiler Veri Sorumlusu Olabilir mi?
Kanun tanımında tüzel kişi olma şartı aranmaz, gerçek kişiler de veri sorumlusu olabilir. Avukatlar, doktorlar, mali müşavirler ve şahıs işletmesi sahipleri, müvekkillerine veya müşterilerine ait verileri kendi faaliyetleri kapsamında işlediklerinden bu sıfatı taşır.
Belirleyici olan kişinin hukuki statüsü değil, veri işleme faaliyeti üzerindeki karar ve kontrol yetkisidir. Bu kişiler de aydınlatma yükümlülüğünü yerine getirmek ve veri güvenliğini sağlamakla sorumludur.
Veri Sorumlusunun Temel Yükümlülükleri
Veri sorumlusu, kişisel veri işleme faaliyetlerinin Kanuna uygun yürütülmesinden birinci derecede sorumludur. Bu kapsamda yerine getirmesi gereken yükümlülükler aşağıda özetlenmiştir.
Hukuka Uygun İşleme ve Aydınlatma Yükümlülüğü
Veri sorumlusu kişisel verileri yalnızca kanunda öngörülen hukuki şartlara dayanarak işleyebilir ve KVKK m.4’teki genel ilkelere uymalıdır.[3] KVKK m.10 uyarınca ise verilerin elde edilmesi sırasında ilgili kişiyi kimliği, işleme amacı ve haklar hakkında bilgilendirmekle yükümlüdür.[4]
Uygulamada sık yapılan bir hata, aydınlatma yükümlülüğü ile açık rızanın karıştırılmasıdır. Aydınlatma kanundan doğan bir bilgilendirme yükümlülüğüyken, açık rıza yalnızca diğer işleme şartlarının bulunmadığı hallerde başvurulan bir hukuki sebeptir.
Önemli: Aydınlatma yükümlülüğü ile açık rıza farklı kavramlardır; aydınlatma her işlemede zorunludur, açık rıza yalnızca diğer hukuki sebeplerin bulunmadığı hallerde aranır.
Veri Güvenliğini Sağlama Yükümlülüğü
KVKK m.12 uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek amacıyla uygun teknik ve idari tedbirleri almak zorundadır.[5] Erişim yetkilendirmeleri, şifreleme yöntemleri ve düzenli risk analizleri bu kapsamda sayılabilir.
İlgili Kişi Başvurularını Cevaplama Yükümlülüğü
KVKK m.13 uyarınca veri sorumlusu, ilgili kişilerin taleplerini en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırmalıdır.[6] Başvurunun reddedilmesi veya süresinde cevaplanmaması halinde ilgili kişi Kişisel Verileri Koruma Kurumuna şikayette bulunabilir.
Saklama, İmha ve Aktarım Süreçlerindeki Rolü
KVKK m.7 uyarınca işlenmesini gerektiren sebepler ortadan kalktığında veri sorumlusu, kişisel verileri silmek, yok etmek veya anonim hale getirmekle yükümlüdür.[7] Bu konudaki ayrıntılı süreç için Veri Saklama ve İmha Politikası yazısına bakılabilir.
Kişisel verilerin yurt içinde veya yurt dışında aktarılması sırasında da veri sorumlusu Kanunda öngörülen şartlara uygun hareket etmek ve aktarılacak verileri amaçla sınırlı tutmakla yükümlüdür.
VERBİS Kayıt Yükümlülüğü
KVKK m.16 uyarınca veri sorumluları, kişisel veri işlemeye başlamadan önce VERBİS’e kaydolmakla yükümlüdür.[8] Ancak her veri sorumlusu bu yükümlülüğe tabi değildir, kayıt zorunluluğu çalışan sayısı, yıllık mali bilanço ve işlenen verinin niteliği gibi kriterlere göre belirlenir.
Sisteme girilen veri işleme amaçları, veri kategorileri ve saklama süreleri gibi bilgilerin doğru ve güncel tutulması gerekir. Veri işleme faaliyetlerinde değişiklik olduğunda bu bilgilerin de güncellenmesi zorunludur.
Bilgi: VERBİS kayıt zorunluluğu çalışan sayısı, yıllık mali bilanço ve işlenen verinin niteliği gibi kriterlere göre Kurul tarafından belirlenir.
VERBİS Kayıt Yükümlülüğü
Veri Sorumlusunun Hukuki ve Cezai Sorumluluğu
Yükümlülüklerin ihlali halinde veri sorumluları yalnızca idari değil hukuki ve cezai sorumlulukla da karşılaşabilir. KVKK m.14 uyarınca ilgili kişiler önce veri sorumlusuna başvurabilir, ardından Kuruma şikayette bulunabilir.[9]
KVKK m.17 uyarınca kişisel verilere ilişkin suçlar bakımından TCK m.135-140 hükümleri uygulanır.[10][11] KVKK şikayeti ve suçları hakkında daha ayrıntılı bilgiye ilgili yazıdan ulaşılabilir.
Veri Sorumlusunun Hukuki ve Cezai Sorumluluğu
Uygulanabilecek Yaptırımlar
KVKK m.18 uyarınca aydınlatma yükümlülüğünün yerine getirilmemesi, veri güvenliği tedbirlerinin alınmaması veya VERBİS kaydına aykırı hareket edilmesi gibi durumlarda idari para cezası uygulanabilir.[12] Bunun yanında kişilik haklarının ihlali halinde tazminat sorumluluğu da doğabilir.
Yaptırımlar yalnızca cezalandırma amacı taşımaz, aynı zamanda veri sorumlularını yükümlülüklerini yerine getirmeye teşvik eder. Etkili bir uyum programı oluşturan kurumlar hem hukuki riski azaltır hem de kurumsal güvenilirliğini artırır.
Veri Sorumlusu Kimdir Hakkında Sıkça Sorulan Sorular
Veri sorumlusu kavramına ilişkin sık sorulan sorular aşağıda yanıtlanmıştır.
Hukuki haberleri bizden takip edin
Harbiye Hukuk'u Google aramalarında tercih edilen kaynağınız olarak seçin, yazılarımız arama sonuçlarında öne çıksın.
Kaynaklar
