Veri Sorumlusu ve Veri İşleyen Kimdir? Sorumluluk Farkı (KVKK m.3)

İki sıfatı ayıran ölçüt, veriye kimin dokunduğu değil, kimin karar verdiğidir. Kanun veri sorumlusunu “işleme amaçlarını ve vasıtalarını belirleyen” kişi olarak tanımlar. Veriyi fiilen işleyen taraf ise, bu kararları kendisi vermiyorsa veri işleyendir.

1) İki Tanım Yan Yana

Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi,

Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişiyi,

Birinci ve ikinci satır ayrımın çekirdeğidir: karar yetkisi kimdeyse veri sorumlusu odur.

Dördüncü satırdaki “onun adına” ibaresi ise veri işleyenin konumunu tek kelimeyle özetler.

Beşinci satır çoğu zaman atlanır; veri kayıt sisteminin kurulması ve yönetilmesi sorumluluğu yalnızca veri sorumlusunun tanımında geçer. Envanter ve saklama düzeni için kişisel veri envanteri incelememize bakabilirsiniz.

2) Yükümlülük Kimde? Asimetri Tablosu

Kanun her yükümlülüğü iki tarafa da yüklemez. Aşağıdaki dağılım, m.12’nin fıkralarından doğrudan çıkar.

Üçüncü satır tek tam simetrik yükümlülüktür; diğerlerinde yük ağırlıklı olarak veri sorumlusundadır.

Birinci satır ise kısmî bir ortaklıktır ve kapsamı sınırlıdır.

Bu dağılım kavranmadan yapılan sözleşmeler, yükümlülükleri yanlış tarafa yükler.

3) Ortak Sorumluluğun Sınırı: m.12/2

Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

İkinci satır bu hükmün en çok gözden kaçan yanıdır: ortak sorumluluk her konuda değil, yalnızca tedbirlerin alınması bakımından kurulmuştur.

Yani veri işleyen, tedbirler dışındaki yükümlülüklerin muhatabı olarak otomatikman sorumlu tutulmaz.

Birinci satırdaki “kendi adına” kaydı ise tanımla örtüşür; veri işleyen zaten veri sorumlusu adına işler.

4) Denetim: Yalnızca Veri Sorumlusunda

Veri sorumlusu, kendi kurum veya kuruluşunda, bu Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.

İkinci satır bir sınır çizer: hüküm denetimi kendi kurum veya kuruluşu ile ilişkilendirir.

Dördüncü satır ise esneklik tanır; denetim bizzat yapılabileceği gibi yaptırılabilir de.

Bu fıkra veri işleyen bakımından bir yükümlülük öngörmez; dolayısıyla veri işleyen üzerindeki denetim, ancak sözleşmeyle kurulabilir.

5) Sır Saklama: Her İki Tarafta

Veri sorumluları ile veri işleyen kişiler, öğrendikleri kişisel verileri bu Kanun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamazlar. Bu yükümlülük görevden ayrılmalarından sonra da devam eder.

Dördüncü satır bu fıkranın en güçlü yanıdır: yükümlülük görev süresiyle sınırlı değildir.

Bu nedenle iş ilişkisi sona eren personel de bu yasağa tabidir.

Üçüncü satır ise ayrı bir yasaktır; veri açıklanmasa dahi amaç dışı kullanım tek başına ihlal oluşturur.

6) İhlal Bildirimi: m.12/5

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir. Kurul, gerekmesi hâlinde bu durumu, kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

İkinci satır pratikte çok önemlidir: ihlal veri işleyenin sistemlerinde gerçekleşmiş olsa dahi, bildirim yükümlüsü veri sorumlusudur.

Bu da veri işleyenin, olayı veri sorumlusuna derhâl iletmesini gerektirir; ancak bu yükümlülük Kanundan değil sözleşmeden doğar.

Üçüncü ve dördüncü satır iki ayrı muhatabı gösterir; bildirim yalnızca Kurula yapılmakla tamamlanmaz.

Altıncı satır ise Kurula tanınmış bir takdir yetkisidir.

7) Sıfat Nasıl Tespit Edilir?

İkinci ve üçüncü satır Kanunun tanımında doğrudan geçer; diğerleri bu iki ölçütün pratikteki görünümleridir.

Cevapların çoğu tek bir tarafı işaret ediyorsa, o taraf veri sorumlusudur.

Karşı taraf, bu kararlar çerçevesinde ve verilen yetkiye dayanarak işlem yapıyorsa veri işleyendir.

Sözleşme başlığı belirleyici değildir

Kanun sıfatı bir nitelendirme meselesi olarak kurar; tarafların adlandırması sonucu değiştirmez.

Bu nedenle sözleşmedeki başlık ile fiilî işleyiş arasında fark varsa, esas alınacak olan fiilî işleyiştir.

Uyum çalışmasında yapılacak ilk iş de bu nedenle sözleşme okumak değil, karar akışını çıkarmaktır.

8) Aynı Kuruluş İki Sıfatı Birden Taşıyabilir

Görüldüğü gibi sıfat, kuruluşun kendisine değil işleme faaliyetine bağlıdır.

Bu nedenle değerlendirme kuruluş düzeyinde değil, her bir faaliyet için ayrı yapılır.

Bir hizmet sağlayıcı, müşterisi adına işlediği verilerde veri işleyen iken, kendi personel verilerinde veri sorumlusudur.

Sıfat kayması

İkinci satır Kanunun tanımından çıkar: veri işleyen sıfatı, işlemenin verilen yetkiye dayanmasına bağlanmıştır.

Yetkinin dışına çıkılıp amaç kendisi belirlendiğinde, tanımın şartı ortadan kalkar.

Bu da sözleşmelerde yetkinin kapsamının açıkça çizilmesini gerektirir.

9) Sicile Kayıt: m.16

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.

Birinci satır sık atlanır: kayıt, işleme başladıktan sonra değil öncesinde yapılmalıdır.

Dördüncü satırdaki ölçütler örnekleyicidir; madde “gibi” ibaresini kullanır.

⚠️ Uyarı: Sicile kayıt zorunluluğunun kapsamı ve istisnaları Kurul kararlarıyla belirlenmekte ve zaman içinde değişebilmektedir. Bu nedenle bu yazıda eşik ve kriter değerleri verilmemiştir; somut bir durumda güncel Kurul kararları teyit edilmelidir.

10) Sözleşmeye Ne Konmalı?

Beşinci ve altıncı satır, Kanunun doğrudan düzenlemediği ancak pratikte zorunlu olan hükümlerdir.

İhlal bildirimi veri sorumlusuna ait olduğundan, veri işleyenin bilgilendirme yükümlülüğü ancak sözleşmeyle kurulabilir.

Aynı şekilde denetim yükümlülüğü kendi kurum veya kuruluşuyla ilişkilendirildiğinden, veri işleyen nezdinde denetim yine sözleşmeye dayanır.

Üçüncü satır ise sıfat kaymasını önleyen en işlevsel hükümdür.

11) Tanımların Kelime Kelime Okunması

Üçüncü ve dördüncü satır birlikte, veri işleyenin türev konumunu tanımlar.

Yedinci ve sekizinci satır ise birlikte okunmalıdır; ortak sorumluluk vardır ama kapsamı dardır.

Beşinci satır ise sık atlanan bir ayrıntıdır: her iki sıfat da gerçek kişiler için de söz konusu olabilir.

En çok atlanan üç ibare

İlk ikisi yükümlülüğün kapsamını, üçüncüsü ise süresini yanlış anlamaya yol açar.

Üçü de doğrudan sözleşme metnini etkiler.

12) Üç Senaryo

Üçüncü satır uygulamada en çok karışan hâldir: olayın nerede gerçekleştiği, bildirim yükümlüsünü değiştirmez.

İkinci satır ise sıfatın faaliyet bazında belirlendiğini gösterir.

Birinci satır ise tipik bir veri işleyen ilişkisidir ve sözleşmeyle çerçevelenmelidir.

13) Mevzuat Haritası

İlk üç satır nitelendirmeyi, sonraki dördü yükümlülükleri, sonuncusu ise kayıt rejimini belirler.

Bir dosyada bu sıra izlendiğinde, hangi hükmün kime uygulanacağı karışmaz.

Sayıların tamamı bir arada

Dördüncü satır bu yazının en dikkat çekici sonucudur: Kanunda her iki sıfatı eşit biçimde bağlayan tek yükümlülük sır saklamadır.

Tek cümlelik özet

Sıfatı kararlar belirler, sözleşme başlığı değil; yükümlülüklerin dağılımı da bu tespitten çıkar.

14) İlgili Kişi Karşısında Kim Durur?

Dört satırın da aynı yönü göstermesi tesadüf değildir: Kanun, ilgili kişiyle kurulan ilişkiyi veri sorumlusu üzerinden yürütür.

Veri işleyen bu taleplerin doğrudan muhatabı değildir.

Ancak talebin karşılanabilmesi çoğu zaman veri işleyenin desteğini gerektirir; bu da sözleşmeyle düzenlenir.

Talep geldiğinde işleyen ne yapar?

Üçüncü satır, veri işleyenin konumunu tekrar gösterir: kararı vermez, uygular.

Bu da tanımdaki “onun adına” ibaresinin pratikteki karşılığıdır.

Kararı kendisi verdiği anda ise sıfat değişmeye başlar.

15) Alt Yüklenici Zinciri

Zincirin uzaması, veri sorumlusunun sıfatını değiştirmez.

Kanun, verilerin kendi adına başkası tarafından işlenmesi hâlinde tedbirler bakımından ortak sorumluluk öngörür; zincirin uzunluğu bu hükmün uygulanmasına engel değildir.

Bu nedenle alt yüklenici kullanımı, sözleşmede izne bağlanmalı ve aynı yükümlülükler zincire aktarılmalıdır.

Zincirde ne aktarılmalı?

Üçüncü satır zincirdeki en kırılgan noktadır: bildirim en uçtaki halkadan veri sorumlusuna kadar ulaşmalıdır.

Bu akış kurulmadığında, veri sorumlusu Kanundan doğan bildirim yükümlülüğünü zamanında yerine getiremez.

Dördüncü satırdaki yükümlülük ise Kanun gereği zaten her iki sıfatı bağlar; sözleşmede tekrarı pekiştirici niteliktedir.

16) Özet Tablo

Yedi sorudan ikisinin cevabı evet; bu iki nokta da uygulamada en çok atlanan yerlerdir.

Beşinci satır Kanunun tek simetrik yükümlülüğünü, yedinci satır ise sıfatın faaliyet bazlı olduğunu gösterir.

17) “Vasıta” Ne Anlama Gelir?

Üçüncü satır önemlidir: bir hizmet sağlayıcının kendi teknik altyapısını seçmesi, onu otomatikman veri sorumlusu yapmaz.

Belirleyici olan, işlemenin esaslı unsurlarına kimin karar verdiğidir.

Kanun bu ayrımı “amaçları ve vasıtaları” ifadesiyle kurar; iki unsur birlikte anılmıştır.

Amaç mı, vasıta mı ağır basar?

Tanım her iki unsuru da sayar; ancak uygulamada amacı belirleyen taraf çoğu zaman veri sorumlusudur.

Vasıtanın teknik ayrıntısını hizmet sağlayıcının seçmesi, amacın müşteride kalması hâlinde sıfatı değiştirmez.

Buna karşılık amacı da sağlayıcı belirliyorsa, tanımın ilk unsuru onda gerçekleşmiş olur.

Bu nedenle sıfat tespitinde ilk sorulacak soru “niçin işleniyor” olmalıdır.

18) Kapanış

Birinci satır bu yazının ana tezidir ve doğrudan m.3 tanımlarına dayanır.

Altıncı satır ise Kanunun bıraktığı alanı gösterir: denetim ve bildirim akışı gibi konular ancak sözleşmeyle kurulur.

Tek cümlelik özet

Önce “niçin ve nasıl işleniyor, buna kim karar veriyor” sorusunu cevaplayın; yükümlülük haritası bu cevaptan çıkar.

19) Grup Şirketlerinde Durum

Grup içi ilişki, sıfat tespiti bakımından kendiliğinden bir sonuç doğurmaz.

Tanım, hukukî bağ değil karar yetkisi ölçütünü esas alır; aynı gruba ait olmak bu ölçütü ortadan kaldırmaz.

Üçüncü satır özellikle dikkat ister: ortak bir yazılım kullanılması, tek bir veri sorumlusu bulunduğu anlamına gelmez.

Grup içi aktarım ayrı bir konudur

Sıfat tespiti ile aktarım rejimi birbirinden farklı meselelerdir.

Bir şirketten diğerine veri gönderilmesi, gönderen ve alanın sıfatlarını otomatik olarak belirlemez.

Her iki konu da ayrı hükümlere tabi olduğundan, uyum çalışmasında ayrı ayrı ele alınmalıdır.

20) Uygulamaya Geçiş

İkinci adımın faaliyet bazında yapılması şarttır; kuruluş düzeyinde tek bir sıfat atamak yanıltıcıdır.

Üçüncü adımda bu yazıdaki asimetri tablosu doğrudan kullanılabilir.

Dördüncü ve beşinci adım ise Kanunun bıraktığı boşlukları doldurur.

Sıfat değişirse ne olur?

Sıfat tespiti bir kereye mahsus bir işlem değildir.

İşleme faaliyeti değiştikçe, tanımdaki ölçütlerin hâlâ karşılanıp karşılanmadığı yeniden sorulmalıdır.

Üçüncü satır ise en sinsi olanıdır: yazılı talimat düzeni işlemez hâle geldiğinde, fiilî durum tanımdan uzaklaşmaya başlar.

21) Neden Bu Ayrım Bu Kadar Önemli?

İlk dört satırın tamamı sıfat tespitine bağlı olduğundan, bu tespit yapılmadan kurulan bir uyum düzeni temelsiz kalır.

Beşinci satır ise tek istisnadır ve her hâlükârda uygulanır.

Bu nedenle sıfat tespiti, KVKK uyumunun süsü değil başlangıç noktasıdır.

Yanlış tespitin maliyeti

Birinci satır en riskli olanıdır: veri sorumlusu olduğu hâlde kendini veri işleyen sayan bir kuruluş, Kanundan doğan bildirim ve başvuru yükümlülüklerini hiç yerine getirmemiş olur.

Üçüncü satır ise karşı yöndeki hatadır; denetim yükümlülüğü devredilemez.

Her iki hâlde de sorun sözleşmeden değil, nitelendirmeden kaynaklanır.

Nitelendirme doğru yapıldığında sözleşme metni de kendiliğinden sadeleşir: her taraf yalnızca kendisine düşen yükümlülüğü üstlenir.

Yanlış yapıldığında ise sözleşme, gerçekte olmayan bir sorumluluk dağılımını kâğıt üzerinde kurmaya çalışır.

Oysa Kanun sıfatı taraf iradesine değil, fiilî karar yetkisine bağlamıştır.

Bu da uyum çalışmasının sözleşmeyle değil, karar akışının çıkarılmasıyla başlaması gerektiğini gösterir.

Karar akışı çıkarıldığında sıfat tespiti çoğu zaman kendiliğinden ortaya çıkar; geriye yalnızca bunu yazılı hâle getirmek kalır.

Ve bu yazılı tespit, hem yükümlülük haritasının hem de sözleşme metninin dayanağını oluşturur.

Aksi yönde ilerleyen çalışmalar ise sözleşmeden başlayıp gerçeği ona uydurmaya çalıştığı için çoğu zaman tutarsız kalır.

Özetle: Kanun iki sıfat tanımlamış, yükümlülükleri bu iki sıfat arasında eşit olmayan biçimde dağıtmış ve sıfatın belirlenmesini tarafların adlandırmasına bırakmamıştır.

Bu üç tespit, yazı boyunca ele alınan bütün sonuçların ortak kaynağını oluşturur.

22) Sık Yapılan Sekiz Hata

• Veriye dokunanı sorumlu saymak. Ölçüt karardır.
• Sözleşme başlığına bakmak. Fiilî durum esastır.
• Sorumluluğu tümüyle ortak sanmak. Kapsamı sınırlıdır.
• Sır yükümlülüğünü tek tarafa yüklemek. İkisini de bağlar.
• İhlal bildirimini işleyene bırakmak. Yükümlü sorumludur.
• Denetimi işleyenden beklemek. Kendi kurumu esastır.
• Ayrılınca bittiğini sanmak. Yükümlülük sürer.
• Sicili karıştırmak. Ayrı bir rejimdir.

23) Kontrol Listesi

• Amacı kim belirliyor sorun.
• Vasıtayı kim seçiyor bakın.
• Talimat akışını çıkarın.
• Sıfatları yazılı hâle getirin.
• Tedbirleri sözleşmeye koyun.
• Bildirim akışını tanımlayın.
• Sır yükümlülüğünü personele yayın.
• Denetim düzenini kurun.

İlgili incelemelerimiz: veri işleyen sözleşmesi (DPA), kişisel veri envanteri ve saklama-imha politikası ve ilgili kişi başvurusu ve Kurula şikâyet.

Sıkça Sorulan Sorular

Veri sorumlusu kimdir?

KVKK m.3 uyarınca kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.

Veri işleyen kimdir?

Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir.

İki sıfatı ayıran ölçüt nedir?

İşleme amaç ve vasıtalarına kimin karar verdiği.

Veriye fiilen dokunan taraf otomatik olarak sorumlu olur mu?

Hayır. Belirleyici olan karar yetkisidir; kararları vermeyen taraf veri işleyen konumunda olabilir.

Veri kayıt sistemi nedir?

Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemidir.

Kayıt sisteminin kurulması kimin sorumluluğunda?

Bu sorumluluk veri sorumlusunun tanımında yer alır.

Sıfatı sözleşme başlığı mı belirler?

Hayır. Değerlendirme, fiilî karar ve talimat akışına göre yapılır.

Veri sorumlusunun temel yükümlülüğü nedir?

Kanunun 12 nci maddesinin birinci fıkrası uyarınca gerekli teknik ve idari tedbirleri almaktır.

Veriler başkasına işletiliyorsa sorumluluk ne olur?

Veri sorumlusu, kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde, birinci fıkrada belirtilen tedbirlerin alınması hususunda bu kişilerle birlikte müştereken sorumludur.

Bu ortak sorumluluk her konuyu kapsar mı?

Hayır. Madde, ortak sorumluluğu birinci fıkrada belirtilen tedbirlerin alınması hususuyla sınırlar.

Denetim yükümlülüğü kimdedir?

Veri sorumlusu, kendi kurum veya kuruluşunda, Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmak veya yaptırmak zorundadır.

Sır saklama yükümlülüğü kimi bağlar?

Veri sorumluları ile veri işleyen kişileri birlikte bağlar.

Bu yükümlülüğün içeriği nedir?

Öğrenilen kişisel verilerin Kanuna aykırı olarak başkasına açıklanmaması ve işleme amacı dışında kullanılmamasıdır.

Görevden ayrılınca sır yükümlülüğü biter mi?

Hayır. Kanun, bu yükümlülüğün görevden ayrılmalarından sonra da devam edeceğini açıkça belirtir.

Veri ihlalini kim bildirir?

İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kurula bildirir.

Veri işleyenin bildirim yükümlülüğü var mı?

Madde bildirim yükümlülüğünü veri sorumlusuna bağlamıştır.

Kurul ihlali ilan edebilir mi?

Kurul, gerekmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebilir.

İlgili kişi başvurusunu kime yapar?

Kanun, ilgili kişinin taleplerini veri sorumlusuna iletmesini öngörür.

Sicile kayıt yükümlülüğü nedir?

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.

Bu zorunluluğun istisnası var mı?

Evet. İşlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınarak istisna getirilebilir.

İstisna kriterlerini kim belirler?

Kurul.

Bir şirket hem sorumlu hem işleyen olabilir mi?

Aynı kuruluş farklı faaliyetleri bakımından farklı sıfatlar taşıyabilir; değerlendirme her işleme faaliyeti için ayrı yapılır.

Muhasebe hizmeti alan şirket hangi sıfattadır?

İşleme amaç ve vasıtalarını belirleyen taraf veri sorumlusu, onun adına ve yetkisine dayanarak işleyen taraf ise veri işleyen konumundadır.

Bulut hizmet sağlayıcısı veri işleyen midir?

Değerlendirme, sağlayıcının işleme amaç ve vasıtalarını belirleyip belirlemediğine göre yapılır.

Veri işleyen kendi amacıyla işleme yaparsa ne olur?

Amaç ve vasıtaları kendisi belirlediği ölçüde, o faaliyet bakımından veri sorumlusu konumuna yaklaşır.

Sıfat tespiti neden önemlidir?

Yükümlülüklerin kime ait olduğu, bildirim ve başvuru muhatabının kim olacağı bu tespite bağlıdır.

İlgili kişi kimdir?

Kişisel verisi işlenen gerçek kişidir.

Kişisel veri nedir?

Kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgidir.

İdari para cezaları kime uygulanır?

Kabahatlere ilişkin hükümlerin kapsamı ve muhatapları Kanunun ilgili maddesinde düzenlenmiş olup güncel metnin teyit edilmesi gerekir.

En kritik nokta nedir?

Sıfatın sözleşme başlığına göre değil, işleme amaç ve vasıtalarına kimin karar verdiğine göre belirlenmesi.

Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık niteliği taşımaz. Kamu ihale mevzuatı ve Kamu İhale Genel Tebliği sık güncellenmektedir; somut ihalede ilan, ihale dokümanı ve işlem tarihinde yürürlükte olan hükümler esas alınmalıdır.