6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında veri sorumlusu ve veri işleyen kavramları, kişisel veri işleme süreçlerinde farklı rolleri ifade etmektedir. Bu yazıda, veri işleyenin tanımı, veri sorumlusu ile arasındaki farklar ve pratik uygulama hakkında genel bir çerçeve sunulmaktadır.
Veri İşleyen Tanımı
KVKK'nın 3. maddesinde veri işleyen, "veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi" olarak tanımlanmaktadır. Veri işleyen, kişisel verileri kendi adına değil, veri sorumlusunun talimatı ve yetkisi çerçevesinde işler. İşleme amacını ve vasıtalarını belirleyen taraf veri sorumlusudur; veri işleyen ise bu belirlenen çerçevede fiili işlemleri gerçekleştirir.
Veri Sorumlusu ile Farklar
Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan taraftır. Veri işleyen ise veri sorumlusunun talimatı doğrultusunda veriyi işleyen taraftır. Aydınlatma yükümlülüğü, VERBİS kaydı ve ilgili kişi başvurularına yanıt verme esas olarak veri sorumlusunun sorumluluğundadır. Veri işleyen, veri sorumlusu adına işlem yaptığı için nihai sorumluluk veri sorumlusunda kalır; ancak veri işleyen de kendi yükümlülüklerine aykırı davranışlarından sorumlu tutulabilir.
Veri İşleyen Örnekleri
Web sitesi veya işletme faaliyetinde sıkça karşılaşılan veri işleyenlere genel çerçevede şu örnekler verilebilir:
- Hosting sağlayıcıları: Sunucularda verilerin depolanması ve işlenmesi
- E-posta servis sağlayıcıları: E-posta gönderimi ve depolama
- Analitik servisler: Google Analytics vb. ile ziyaretçi verilerinin işlenmesi
- Ödeme kuruluşları: Ödeme işlemlerinde kart/finansal veri işlenmesi
- CRM yazılım sağlayıcıları: Müşteri veritabanı yönetimi
- Bülten/e-posta pazarlama servisleri: Abone listelerinin işlenmesi
Veri İşleyen Sözleşmesi
KVKK'nın 12. maddesi uyarınca veri sorumlusu, kişisel verileri kendi adına işleyen gerçek veya tüzel kişilerle yazılı sözleşme yapmakla yükümlüdür. Bu sözleşmede, veri işleyenin veri güvenliği tedbirlerini alacağı, talimatlar dışında işlem yapmayacağı, gizliliği koruyacağı ve sözleşme sona erdiğinde verileri iade edeceği veya sileceği gibi hususların düzenlenmesi önerilir. Sözleşmenin içeriği Kurul kararları ve örnek metinlerle şekillenmektedir.
Aydınlatma Metninde Veri İşleyen
Aydınlatma metninde, kişisel verilerin aktarıldığı veya işlendiği taraflar belirtilmelidir. Hosting sağlayıcısı, analytics servisi veya e-posta hizmeti gibi veri işleyenler, aktarım alıcıları veya veri işleyenler başlığı altında genel veya özelleştirilmiş şekilde açıklanabilir. İlgili kişinin verilerinin kimlere aktarıldığını bilmesi aydınlatma yükümlülüğünün gereğidir.
Sonuç
Veri işleyen, veri sorumlusunun talimatı doğrultusunda kişisel verileri işleyen taraftır. Veri sorumlusu ile arasındaki fark, amaç ve vasıta belirleme yetkisi ile nihai sorumluluk dağılımında ortaya çıkar. Veri işleyen kullanan işletmelerin, yazılı sözleşme yapması ve aydınlatma metninde bu durumu belirtmesi önerilir.