Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Nedir? Pratik Rehber

KVKK uyumunda en sık karışan başlıklardan biri, veri sorumlusu ile veri işleyen rollerinin birbirine karıştırılmasıdır. Oysa bu ayrım; aydınlatma yükümlülüğünden sözleşme düzenine, envanter hazırlığından hizmet sağlayıcı ilişkilerine kadar birçok konuda belirleyicidir. Bu rehber, genel çerçeveyi sade örneklerle açıklamak için hazırlanmıştır. Somut ilişkilerde rol dağılımı sözleşmenin içeriğine, talimat yapısına ve fiili işleyişe göre ayrıca değerlendirilmelidir.

Veri Sorumlusu Kimdir?

Veri sorumlusu, kişisel verilerin neden işlendiğine, hangi veri kategorilerinin kullanılacağına ve işleme faaliyetinin genel sınırlarına karar veren gerçek veya tüzel kişidir. Başka bir ifadeyle verinin işlenme amacını kuran ve sürecin ana çerçevesini belirleyen taraf veri sorumlusu olarak değerlendirilir.

Bir şirketin kendi müşterilerine, çalışanlarına veya kullanıcılarına ilişkin verileri hangi amaçla topladığına ve nasıl yönettiğine kendisi karar veriyorsa, çoğu durumda veri sorumlusu rolü bu şirkette olur. Bu nedenle unvanı değil, karar verme yetkisi ve fiili kontrol alanı önem taşır.

Veri İşleyen Kimdir?

Veri işleyen, kişisel verileri kendi bağımsız amacı için değil; veri sorumlusunun verdiği talimat, yetki ve hizmet ilişkisi çerçevesinde işleyen taraftır. Teknik altyapı sağlayan hizmet şirketleri, dış kaynak destek ekipleri veya belirli operasyonları veri sorumlusu adına yürüten tedarikçiler bu role örnek oluşturabilir.

Burada belirleyici nokta, veriyi kimin fiilen gördüğünden çok, verinin hangi amaçla işlendiğine kimin karar verdiğidir. Sadece sisteme erişim bulunması, tek başına veri işleyen sıfatı kurmaya yetmeyebilir; ilişkinin bütününe bakmak gerekir.

İki Rol Arasındaki Fark Nasıl Anlaşılır?

Uygulamada doğru ayrım yapabilmek için yalnızca sözleşmedeki başlıklara değil, sürecin gerçekten nasıl işlediğine bakılmalıdır. Aşağıdaki sorular genellikle yol gösterici olur:

Kararı Kim Veriyor?

Kişisel verinin neden toplandığına, hangi işleme adımlarından geçeceğine ve ne kadar süreyle tutulacağına kim karar veriyor? Eğer bu ana kararlar bir şirket tarafından alınıyorsa, o tarafın veri sorumlusu olarak değerlendirilmesi daha olasıdır.

Veriye Erişim Neden Tek Başına Yeterli Değildir?

Bir hizmet sağlayıcının sisteme erişmesi, yedekleme yapması veya teknik destek sunması tek başına onu bağımsız veri sorumlusu haline getirmez. Erişimin kapsamı, amacın kim tarafından kurulduğu ve sağlayıcının veriyi kendi adına kullanıp kullanmadığı birlikte değerlendirilmelidir.

Sözleşme ve Talimat İlişkisi

Rol ayrımı çoğu zaman sözleşme ve operasyon akışında netleşir. Talimat veren taraf ile talimat doğrultusunda hareket eden taraf aynı görünse bile, fiili uygulama farklıysa yalnızca sözleşme başlıklarına dayanmak yeterli olmaz. Bu nedenle hizmet sözleşmeleri ile veri işleme pratiklerinin uyumlu olması önemlidir.

Uygulamada Sık Karışan Örnekler

• Bulut yazılım sağlayıcısı: Hizmet sağlayıcı, müşterisinin talimatıyla hareket ediyorsa çoğu durumda veri işleyen olarak değerlendirilir; ancak veriyi kendi bağımsız amaçları için kullanıyorsa ayrıca incelenmesi gerekir.
• Muhasebe veya bordro desteği: Dış hizmet alınan yapıda kimin hangi veriyi hangi amaçla kullandığı dikkatle ayrıştırılmalıdır.
• Pazarlama ve iletişim araçları: Kampanya altyapısı, çağrı merkezi veya e-posta hizmeti sunan tarafların rolü, teknik erişimden çok işleme kararının kaynağına göre belirlenir.

Bu örneklerde tek bir kalıp cevap vermek yerine, veri akışını ve tarafların sorumluluk alanlarını haritalamak daha güvenli bir yöntemdir.

Sözleşme ve Süreç Yönetiminde Nelere Dikkat Edilmeli?

Öncelikle hangi verilerin hangi süreçte kullanıldığını açık şekilde listelemek gerekir. Ardından her aktör için “amacı kim belirliyor, talimatı kim veriyor, veriyi kim hangi sınırla işliyor” sorularına yazılı cevap oluşturulmalıdır. Bu çalışma, kişisel veri işleme envanteri hazırlama sürecini de kolaylaştırır.

Rol ayrımı netleşmeden hazırlanan metinlerde aydınlatma yükümlülüğü, açık rıza değerlendirmesi ve tedarikçi sözleşmeleri birbirine karışabilir. Bu nedenle aydınlatma metni yükümlülüğü ile açık rıza gerekliliği gibi başlıklar da aynı çerçevede birlikte gözden geçirilmelidir.

Yanlış rol belirlemesi, tek başına her durumda aynı sonuca yol açmaz; ancak uyum belgelerinde tutarsızlık, yükümlülüklerin yanlış dağıtılması ve süreç yönetiminde gereksiz riskler doğurabilir. Özellikle çoklu tedarikçi yapısında veya grup şirketi ilişkilerinde dosya bazlı hukuki değerlendirme yapılması yararlı olur.

Sık Sorulan Sorular

Aynı şirket hem veri sorumlusu hem veri işleyen olabilir mi?

Evet. Bir şirket kendi süreçleri bakımından veri sorumlusu olurken, başka bir şirket adına yürüttüğü ayrı bir hizmette veri işleyen rolü üstlenebilir. Değerlendirme şirket bazında değil, somut işlem ve ilişki bazında yapılmalıdır.

Bulut hizmeti alan her şirket veri işleyen midir?

Hayır. Bulut hizmeti almak tek başına rolü belirlemez. Hizmet sağlayıcının veriyi yalnızca talimatla mı işlediği, yoksa kendi bağımsız amaçları için de kullanıp kullanmadığı ayrıca incelenmelidir.

Yanlış rol belirlemesi neden risk yaratır?

Çünkü aydınlatma metinlerinden iç politika belgelerine, tedarikçi sözleşmelerinden envanter kayıtlarına kadar birçok uyum adımı bu ayrıma göre şekillenir. Rolün yanlış kurulması, süreç belgelerinde dağınıklığa ve uygulamada tutarsızlığa neden olabilir.

Not: Bu içerik genel bilgilendirme amacı taşır. Kişisel veri işleme süreçlerinde tarafların rolü, sözleşme yapısı ve fiili veri akışı birlikte değerlendirilmelidir. Somut ilişki için hukuki inceleme yapılmadan kesin sonuca varmak doğru olmayabilir.

Kurumsal veri süreçlerinizde rol dağılımını netleştirmek istiyorsanız, belge ve akış bazlı değerlendirme ile hareket etmek daha güvenli bir başlangıç sağlar.