KVKK uyumunun ilk adımı, teknik bir tedbir almak değil rolü doğru tespit etmektir. Kanun yükümlülükleri iki sıfat üzerinden dağıtır: veri sorumlusu ve veri işleyen. Aydınlatma, VERBİS kaydı, ihlal bildirimi ve ilgili kişi başvurularını cevaplama gibi ağır yükümlülüklerin muhatabı veri sorumlusudur. Rolünü yanlış belirleyen bir işletme, yerine getirmesi gereken yükümlülükleri hiç fark etmeden ihlal eder.
Kişisel veri ve bilişim uyuşmazlığında hakkınızı arayın
Av. Fatma Öztürk — Hukukçular Evi Ankara
Tanımlar (KVKK m.3)
- İlgili kişi: Kişisel verisi işlenen gerçek kişi.
- Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
- Veri işleyen: Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi.
- Veri kayıt sistemi: Kişisel verilerin belirli kriterlere göre yapılandırılarak işlendiği kayıt sistemi.
Ayrımın Ölçütü: Kim Karar Veriyor?
Belirleyici olan verinin fiilen kimin elinde olduğu değil, işleme amacına ve vasıtalarına kimin karar verdiğidir. Bir hizmet sağlayıcı verileri fiilen işliyor olsa bile, ne için ve nasıl işleneceğini kendisi belirlemiyorsa veri işleyendir.
| Örnek | Veri sorumlusu | Veri işleyen |
|---|---|---|
| Şirket ve bulut sunucu firması | Şirket | Bulut sağlayıcı |
| İşveren ve bordro hizmeti veren mali müşavir | İşveren | Mali müşavir |
| E-ticaret sitesi ve kargo firması | Her ikisi kendi amacı yönünden sorumlu olabilir | Duruma göre |
| Hastane ve laboratuvar yazılımı sağlayıcısı | Hastane | Yazılım sağlayıcı |
Kargo örneği önemlidir: kargo firması gönderi bilgilerini kendi hizmetini yürütmek için kendi belirlediği amaç ve vasıtalarla işliyorsa, o ilişki bakımından kendisi de veri sorumlusudur. Rol, sözleşmeye yazılan başlıkla değil fiilî duruma göre belirlenir.
Yükümlülükler Nasıl Dağılır?
| Yükümlülük | Veri sorumlusu | Veri işleyen |
|---|---|---|
| Aydınlatma yükümlülüğü | Var | Yok |
| VERBİS kaydı | Şartları varsa var | Yok |
| İlgili kişi başvurusunu cevaplama | Var | Yok |
| Veri güvenliği tedbirleri | Var | Var (müştereken) |
| Veri ihlali bildirimi | Kurula ve ilgili kişiye | Veri sorumlusuna |
Veri güvenliği bakımından kanun her ikisini de müştereken sorumlu tutar. Yani veri işleyende yaşanan bir güvenlik açığı, veri sorumlusunu sorumluluktan kurtarmaz.
Veri İşleyen Sözleşmesi
Veri sorumlusu ile veri işleyen arasındaki ilişkinin yazılı bir sözleşmeye bağlanması, hem uyum hem de ispat bakımından zorunlu bir uygulamadır. Sözleşmede en az şu hususlar yer almalıdır:
- İşlemenin konusu, süresi, amacı ve veri kategorileri
- Veri işleyenin yalnızca veri sorumlusunun talimatları doğrultusunda işlem yapacağı
- Alınacak teknik ve idari tedbirler
- Alt veri işleyen kullanımının izne bağlı olması
- Gizlilik yükümlülüğü ve personel taahhütleri
- İhlal hâlinde veri sorumlusuna gecikmeksizin bildirim
- İlişki sona erdiğinde verilerin iadesi veya imhası
- Denetim yetkisi
Ortak Veri Sorumluluğu
İki taraf işleme amaç ve vasıtalarını birlikte belirliyorsa, her ikisi de veri sorumlusu sıfatını taşır. Ortak pazarlama faaliyetleri, ortak müşteri programları ve grup şirketleri arasındaki paylaşımlar bu kapsamda değerlendirilebilir. Bu hâlde aydınlatma metninde her iki veri sorumlusunun da gösterilmesi gerekir.
Yurt Dışındaki Veri Sorumluları
Türkiye’de yerleşik olmayan veri sorumluları bakımından temsilci atanması ve VERBİS’e kayıt yükümlülüğü gündeme gelebilir. Yurt dışı merkezli hizmet alan işletmelerin, aldıkları hizmetin veri aktarımı içerip içermediğini ayrıca değerlendirmesi gerekir.
Rol Tespiti İçin Kontrol Listesi
- Verinin hangi amaçla toplandığına kim karar veriyor?
- Hangi verilerin toplanacağını kim belirliyor?
- Saklama süresini kim tayin ediyor?
- Veriyi kimlerle paylaşılacağına kim karar veriyor?
- Taraf, aldığı veriyi kendi amaçları için de kullanıyor mu?
Son sorunun cevabı evet ise, o taraf artık veri işleyen değil kendi başına veri sorumlusudur.
Alt Veri İşleyen Zinciri
Veri işleyenin, hizmetin bir bölümünü başka bir tedarikçiye yaptırması hâlinde alt veri işleyen ilişkisi doğar. Bulut altyapısı, e-posta gönderim servisi, çağrı merkezi ve yazılım bakım firmaları tipik örneklerdir. Veri sorumlusu bakımından risk şudur: zincirin sonundaki tedarikçiyi hiç görmediği hâlde onun yol açtığı ihlalden sorumlu kalır.
Bu nedenle veri işleyen sözleşmesinde alt işleyen kullanımının önceden yazılı izne bağlanması, kullanılan alt işleyenlerin listesinin güncel tutulması ve aynı yükümlülüklerin sözleşmeyle alt işleyene de aktarılması gerekir.
Rolün Zaman İçinde Değişmesi
Bir tedarikçi başlangıçta veri işleyen olarak çalışırken, aldığı veriyi kendi ürününü geliştirmek, analiz üretmek veya kendi müşterilerine sunmak için kullanmaya başladığında veri sorumlusu hâline gelir. Yapay zekâ destekli hizmetlerde bu geçiş sıkça yaşanır: sağlayıcı, işlediği verileri model eğitiminde kullanıyorsa artık kendi amacı için işleme yapmaktadır. Sözleşmede model eğitimi ve ikincil kullanım konusunun açıkça düzenlenmesi zorunludur.
Denetim Hakkının Kullanılabilir Olması
Sözleşmeye denetim hakkı yazmak yeterli değildir; hakkın fiilen kullanılabilir olması gerekir. Uygulanabilir bir denetim düzeni şu unsurları içerir: yılda en az bir kez soru listesi gönderme, bağımsız denetim raporlarının paylaşılması, ihlal bildirim süresinin saat cinsinden belirlenmesi ve ciddi ihlalde sözleşmeyi derhal feshetme hakkı. Hiç kullanılmayan denetim hakkı, Kurul incelemesinde veri sorumlusunu korumaz.
Rol Tespitini Belgelemek
Her tedarikçi ilişkisi için tek satırlık bir kayıt tutulması, denetimde en çok işe yarayan belgedir: tedarikçi adı, hizmet konusu, aktarılan veri kategorisi, rol (işleyen mi sorumlu mu), sözleşme tarihi, alt işleyen izni ve son denetim tarihi. Bu kayıt, kişisel veri işleme envanterinin doğal eki olarak tutulmalıdır.
Rol tespiti ve sözleşme desteği
KVKK uyumsuzluğu idari para cezasıyla sonuçlanır. Süreçlerinizi ve belgelerinizi birlikte gözden geçirelim.
Başvuru ve dava yolunuzu birlikte belirleyelim
Av. Fatma Öztürk — Hukukçular Evi Ankara
Sıkça Sorulan Sorular
Veri sorumlusu ile veri işleyen arasındaki fark nedir?
Veri sorumlusu, işleme amaçlarını ve vasıtalarını belirleyen ve veri kayıt sistemini yöneten taraftır. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına işlem yapar. Belirleyici ölçüt, amaç ve vasıtalara kimin karar verdiğidir.
Bulut hizmeti aldığımızda sorumluluk kimde?
Kural olarak hizmeti alan şirket veri sorumlusu, bulut sağlayıcı veri işleyendir. Ancak veri güvenliği bakımından kanun her ikisini müştereken sorumlu tutar; sağlayıcıdaki açık şirketi sorumluluktan kurtarmaz.
Veri işleyenle sözleşme yapmak zorunlu mu?
Uyum ve ispat bakımından yazılı sözleşme zorunlu bir uygulamadır. Sözleşmede işlemenin kapsamı, talimata bağlılık, güvenlik tedbirleri, gizlilik, ihlal bildirimi ve ilişki sonunda imha yükümlülüğü düzenlenmelidir.
Rol sözleşmeye yazdığımız gibi mi belirlenir?
Hayır. Rol, sözleşmedeki başlığa göre değil fiilî duruma göre belirlenir. Aldığı veriyi kendi amaçları için de kullanan taraf, sözleşmede veri işleyen olarak anılsa bile veri sorumlusu sayılır.
Bilgilendirme: Bu rehber genel bilgilendirme amaçlıdır, hukuki danışmanlık yerine geçmez. İdari para cezası tutarları her yıl yeniden değerleme oranında güncellenir; işlem öncesi güncel tutarları teyit edin.
İlgili Rehberler
- Kişisel Veri İşleme Şartları ve Açık Rıza (KVKK m.5)
- Aydınlatma Yükümlülüğü ve Aydınlatma Metni (KVKK m.10)
- Bilişim ve Kişisel Veriler Hukuku — tüm rehberler
- Bilişim Hukuku Rehberi
Uyum denetimi
Aydınlatma metni, envanter ve saklama politikası eksikleri denetimde ilk bakılan yerlerdir.
