Ayrım, 6698 sayılı Kanun’un 3. maddesindeki tanımlara dayanır. Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Belirleyici ölçüt unvan değil, işleme amacını ve vasıtalarını kimin belirlediğidir.
6698 sayılı Kanun m.3/1-ı, veri sorumlusunu kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlar. Amaç ve vasıta belirleme yetkisi bu sıfatın çekirdeğini oluşturur.
Aynı maddenin (ğ) bendi veri işleyeni, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi olarak tanımlar. Veri işleyen kendi amacını belirlemez; verilen talimat çerçevesinde hareket eder.
Sıfat, taraflar arasındaki sözleşmede yazana göre değil, fiilî duruma göre belirlenir. Bir hizmet sağlayıcı sözleşmede veri işleyen olarak nitelendirilse dahi, işleme amacını kendisi belirliyorsa veri sorumlusu sayılır ve buna bağlı yükümlülüklerle karşılaşır.
Bir şirketin bordro işlemlerini dışarıdan bir muhasebe bürosuna yaptırması hâlinde şirket veri sorumlusu, büro kural olarak veri işleyendir. Ancak büro, kendi mesleki yükümlülükleri kapsamında kendi belirlediği amaçlarla veri işlediği ölçüde kendi başına veri sorumlusu konumuna gelir.
Bulut depolama, barındırma ve elektronik posta altyapısı sağlayan hizmet sağlayıcılar genellikle veri işleyen sayılır. Buna karşılık bu sağlayıcılar verileri kendi ürün geliştirme veya reklam amaçlarıyla kullanıyorsa, o faaliyet bakımından veri sorumlusu olurlar.
İki şirketin ortak bir kampanya için birlikte amaç ve vasıta belirlemesi hâlinde her ikisi de kendi faaliyeti bakımından veri sorumlusudur. Bu durumda aydınlatma ve başvuru süreçlerinin nasıl yürütüleceğinin yazılı olarak paylaştırılması gerekir.
Aydınlatma yükümlülüğü, açık rıza alınması, ilgili kişi başvurularının karşılanması, Veri Sorumluları Siciline kayıt ve saklama-imha politikasının hazırlanması veri sorumlusuna aittir. Veri işleyenin bu yükümlülükleri kural olarak doğrudan doğmaz.
Veri güvenliği bakımından ise durum farklıdır. Kanun m.12/2, veri sorumlusunun kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkradaki tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumlu olduğunu düzenler.
Kanun m.12/4 uyarınca veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.
6698 sayılı Kanun m.18/2, aydınlatma, veri güvenliği, Kurul kararlarına uyma ve Sicile kayıt yükümlülüklerine ilişkin idari para cezalarının veri sorumlusu hakkında uygulanacağını belirtir.
2/3/2024 tarihli değişiklikle eklenen (d) bendindeki ceza ise farklıdır. Yurt dışına aktarımda standart sözleşmenin beş iş günü içinde Kuruma bildirilmemesi hâlinde ceza, veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.
Kurulca verilen idari para cezalarına karşı, aynı maddeye eklenen üçüncü fıkra uyarınca idare mahkemelerinde dava açılabilir. Bu düzenleme, önceki dönemdeki kanun yolu tartışmasını sona erdirmiştir.
Taraflar arasında yazılı bir veri işleme sözleşmesi yapılması, sorumluluk sınırlarının belirlenmesi bakımından gereklidir. Sözleşmede işlemenin konusu, süresi, amacı, veri kategorileri ve ilgili kişi grupları açıkça gösterilmelidir.
Veri işleyenin yalnızca veri sorumlusunun talimatları doğrultusunda hareket edeceği, gizlilik yükümlülüğü altında olduğu, alt işleyen kullanımının yazılı izne bağlı olduğu ve ilişki sona erdiğinde verileri iade veya imha edeceği kararlaştırılmalıdır.
Veri işleyenin, veri ihlalini öğrendiği anda veri sorumlusuna gecikmeksizin bildirmesi ve denetim yaptırmaya izin vermesi de sözleşmede yer almalıdır. Aksi hâlde veri sorumlusunun Kanun m.12/5’teki bildirim yükümlülüğünü zamanında yerine getirmesi güçleşir.
Verinin hangi amaçla toplandığına kim karar veriyor? Amacı belirleyen taraf veri sorumlusudur. Bu soruya verilecek cevap, sıfat tespitinde ilk ve en belirleyici ölçüttür.
Hangi verilerin toplanacağına, ne kadar süreyle saklanacağına ve kimlere aktarılacağına kim karar veriyor? Bu kararların alıcısı da veri sorumlusu konumundadır.
Hizmet sağlayıcı, aldığı veriyi kendi amaçları için kullanabiliyor mu? Cevap olumluysa, o faaliyet bakımından hizmet sağlayıcı da veri sorumlusudur ve kendi aydınlatma yükümlülüğü doğar.
Kural olarak hayır. Aydınlatma yükümlülüğü veri sorumlusuna aittir. Veri işleyen, kendi belirlediği amaçlarla işleme yaptığı ölçüde o faaliyet bakımından veri sorumlusu sayılır ve yükümlülük doğar.
Güvenlik tedbirleri bakımından 6698 sayılı Kanun m.12/2 uyarınca veri sorumlusu ile veri işleyen müştereken sorumludur. Kurula ve ilgili kişiye bildirim yükümlülüğü ise m.12/5 uyarınca veri sorumlusundadır.
Kural olarak cezalar veri sorumlusuna uygulanır. Ancak m.18/1-d kapsamındaki standart sözleşme bildirim cezası, veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında da uygulanabilir.
Bağlayıcı değildir. Sıfat, fiilî duruma göre belirlenir. İşleme amacını ve vasıtalarını belirleyen taraf, sözleşmede aksi yazsa dahi veri sorumlusu sayılır.
Yalnızca müşterinin talimatı doğrultusunda barındırma yapıyorsa veri işleyendir. Veriyi kendi ürün geliştirme veya reklam amaçlarıyla kullanıyorsa o faaliyet bakımından veri sorumlusu olur.
Uyum süreçleri, veri ihlalleri ve içerik uyuşmazlıklarında değerlendirme için bize ulaşın.