Veri İşleyen Kimdir?

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Kişisel verilerin işlenme amacına veya yöntemine kendisi karar vermez, yalnızca veri sorumlusunun talimatları çerçevesinde hareket eder. Yazılım firmaları, bulut hizmeti sağlayıcıları, çağrı merkezleri ve muhasebe firmaları uygulamada sık karşılaşılan veri işleyen örnekleridir. Kavramın içinde yer aldığı genel çerçeve için KVKK Nedir? yazısına da bakılabilir.

Kavramın yasal tanımı 6698 sayılı Kişisel Verilerin Korunması Kanunu‘nun m.3/1-ğ hükmünde yer alır^[1]. Bu yazı veri işleyen kavramına odaklanır, kararları alan tarafın kim olduğu için Veri Sorumlusu Kimdir yazısına bakılabilir.

Uygulamada hizmet alınan şirketlerin hangi sıfatla hareket ettiğinin doğru tespiti, sorumluluğun kime ait olacağını doğrudan belirler. Yanlış nitelendirme hem veri sorumlusu hem veri işleyen açısından idari yaptırım riski doğurabilir.

Veri İşleyen Kavramının Kanuni Tanımı

KVKK m.3/1-ğ uyarınca veri işleyen, “veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi” olarak tanımlanmıştır.^[2] Aynı maddenin (e) bendinde işleme kavramı, verilerin elde edilmesinden aktarılmasına kadar üzerlerinde gerçekleştirilen her türlü işlem olarak açıklanır.

Bir şirket adına bordrolama hizmeti sunan muhasebe firması, müşteri yazılımını geliştiren teknoloji şirketi veya çağrı merkezi hizmeti veren kuruluş, somut olayın özelliklerine göre veri işleyen sayılabilir. Belirleyici unsur verilen hizmetin adı değil, kişisel verilerin kimin talimatıyla işlendiğidir.

Veri İşleyen Kavramının Kanuni Tanımı

Uygulamada Veri İşleyen Örnekleri

Veri işleyen sıfatı soyut kalabildiğinden, hangi hizmet ilişkisinin bu kapsama girdiğini somutlaştırmak faydalıdır.

Veri İşleyen ile Veri Sorumlusu Arasındaki Fark

İki kavram arasındaki temel ayrım, kişisel verilerin işlenmesine ilişkin karar alma yetkisidir. Veri sorumlusu hangi verinin toplanacağına, hangi sürede saklanacağına ve kimlerle paylaşılacağına karar verirken, veri işleyen bu kararları uygulayan taraftır.

• Veri sorumlusu: işleme amaç ve vasıtalarını belirler, sicil sisteminin kurulmasından sorumludur.
• Veri işleyen: yalnızca aldığı talimat çerçevesinde teknik veya operasyonel işlemleri yürütür.

Bir hizmet sağlayıcısı kişisel verileri kendi amacı doğrultusunda kullanmaya başladığı andan itibaren artık veri işleyen değil, veri sorumlusu sıfatıyla değerlendirilir. Bu ayrımın detaylı incelemesi için Veri Sorumlusu Kimdir yazısına başvurulabilir.

Not: Kararı kimin verdiği belirleyicidir; hizmetin adı değil, verinin işlenme amacına kimin karar verdiği veri işleyen ile veri sorumlusunu ayırır.

Veri İşleyen Hangi Durumlarda Ortaya Çıkar?

Veri işleyen sıfatı en çok dış hizmet alımlarında görülür. Bilgi işlem altyapısını yöneten yazılım firması, veri depolama hizmeti sunan bulut şirketi veya bordrolama yapan muhasebe firması, yalnızca hizmet verdiği kurum adına hareket ettiği sürece bu sıfatı taşır.

Aynı şirket, bir ilişkide veri işleyen olarak faaliyet gösterirken başka bir faaliyeti kapsamında veri sorumlusu konumuna geçebilir. Bu nedenle nitelendirme her somut olay için ayrı yapılmalıdır.

Veri İşleyen Hangi Durumlarda Ortaya Çıkar?

Veri İşleyenin Görev ve Yetkileri

Veri işleyen, kişisel verilerin kaydedilmesi, depolanması, güncellenmesi veya veri sorumlusunun talimatıyla silinmesi gibi işlemleri gerçekleştirebilir. Ancak bu işlemler veri sorumlusunun belirlediği sınırların dışına çıkılarak yapılamaz.

Veri işleyen kişisel verileri kendi ticari faaliyeti için kullanamaz, üçüncü kişilere aktaramaz veya açık talimat olmaksızın farklı amaçla işleyemez. Yetkisini aşarak hareket etmesi hem sözleşmesel hem kanundan doğan sorumluluğu gündeme getirir.

Uyarı: Veri işleyenin talimat dışında hareket etmesi, hem sözleşmesel hem kanundan doğan sorumluluğu gündeme getirir.

Veri İşleyenin Veri Güvenliğindeki Rolü

KVKK m.12 uyarınca veri sorumlusu kişisel verilerin hukuka aykırı işlenmesini önlemek amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.^[3] Aynı madde, veri işleyenlerin de bu tedbirlerin uygulanmasında veri sorumlusuyla birlikte sorumlu olduğunu düzenler.

Bu kapsamda veri işleyen erişim yetkilendirmesi, şifreleme ve log kayıtlarının tutulması gibi teknik önlemleri uygulamalıdır. Bir veri ihlali meydana geldiğinde durumu gecikmeksizin veri sorumlusuna bildirmek ve ihlalin etkilerinin azaltılmasında iş birliği yapmak da veri işleyenin görevidir.

Veri İşleyenin Veri Güvenliğindeki Rolü

Veri İşleyen ile Sözleşme Yapılması Gerekir mi?

Kanunda veri sorumlusu ile veri işleyen arasında mutlaka yazılı sözleşme yapılmasını zorunlu kılan açık bir hüküm bulunmasa da, uygulamada veri işleme sözleşmesi güçlü şekilde önerilir. Bu sözleşmeyle veri işleyenin erişebileceği veriler, işleme amacı, saklama süresi ve veri ihlali halinde izlenecek prosedür somut şekilde belirlenebilir.

Sözleşmenin varlığı veri sorumlusunu Kanundan doğan yükümlülüklerden kurtarmaz. Veri sorumlusu, veri işleyeni seçerken gerekli özeni göstermeli ve onun yeterli tedbirleri aldığını denetlemelidir.

İpucu: Sözleşmede veri işleyenin yetkilerini ve sınırlarını somut biçimde tanımlamak, uyuşmazlık halinde ispat yükünü kolaylaştırır.

Talimat Dışında Hareket Etmenin Sonuçları

Veri işleyenin talimat dışına çıkarak kişisel verileri farklı amaçla kullanması veya üçüncü kişilere aktarması hukuka aykırı kabul edilir. Böyle bir durumda veri işleyen, veri sorumlusu adına hareket eden kişi sıfatından uzaklaşarak fiilden doğrudan sorumlu hale gelebilir.

Talimat dışına çıkılması hem hukuki hem cezai sorumluluğu gündeme getirebilir. TCK m.135-140 hükümlerinde düzenlenen kişisel verilerin hukuka aykırı kaydedilmesi veya ele geçirilmesi suçları bu kapsamda örnek gösterilebilir.^[4] Bu tür ihlallerin idari boyutu için KVKK Şikayeti ve Suçları yazısına bakılabilir.

Talimat Dışında Hareket Etmenin Sonuçları

Kişisel Veri İhlallerinde Veri İşleyenin Sorumluluğu

Veri işleyen tarafından gerçekleştirilen bir işlem sonucunda kişisel verilerin yetkisiz kişilerin eline geçmesi halinde veri işleyenin hukuki sorumluluğu doğabilir. Veri sorumlusunun uğradığı zarar, taraflar arasındaki sözleşmesel ilişki çerçevesinde veri işleyenden talep edilebilir.

Kişisel Verileri Koruma Kurulu kararlarında da vurgulandığı üzere, bir kişinin her zaman tek bir sıfat taşıması gerekmez. Aynı şirket kendi faaliyetinde veri sorumlusu iken başka bir şirket adına yürüttüğü faaliyette veri işleyen olarak hareket edebilir, bu nedenle unvana değil fiili veri işleme ilişkisine bakılması gerekir.

Veri İşleyen Kimdir Hakkında Sıkça Sorulan Sorular

Veri işleyen kavramına dair uygulamada en çok karşılaşılan sorular aşağıda yer almaktadır.

Av. Şamil Kaya

Ankara Üniversitesi Hukuk Fakültesi’nden 2014 yılında onur derecesiyle mezun olmuştur. Lise öğrenimini yatılı şekilde Erdoğan Akdağ Anadolu Öğretmen Lisesi’nde 2010 yılında birincilikle tamamlayan Şamil Kaya, 2018 yılında başladığı Anadolu Ünivers...

Tüm yazıları