Veri sorumlusu nedir?

Karar yetkisine dayanan sıfat

6698 sayılı Kanun, veri sorumlusunu kişisel veri faaliyeti üzerindeki temel kararlarla tanımlar. Hangi kişilerin hangi verilerinin neden toplanacağı, kimlerle paylaşılacağı ve ne kadar saklanacağı gibi kararlar önemlidir. Teknik sistemi başka şirket kurmuş olabilir; bu durum amaçları belirleyen tarafı kendiliğinden değiştirmez. Şirketin tüzel kişiliği varsa veri sorumlusu genellikle ilgili faaliyeti yürüten tüzel kişidir; çalışanların adı otomatik olarak onun yerine yazılmaz. Bununla birlikte gerçek kişilerin kendi veri işleme faaliyetleri de bu sıfatı doğurabilir.

Sözleşmedeki adlandırmanın sınırı

Taraflar bir sözleşmede kendilerini veri işleyen veya teknik hizmet veren diye tanımlayabilir. Bu kayıt gerçek karar yapısına aykırıysa hukuki sıfatı tek başına belirlemez. İşletme veriyi kendi hizmeti, pazarlaması veya başka bağımsız amacı için kullanıyorsa bu faaliyet ayrıca incelenmelidir. Hizmet verenin müşterinin talimatı dışına çıkması da yeni sorumluluk sorunları doğurabilir. Önce işlem haritası çıkarılmalı, sonra tarafların rolleri yazılmalıdır. Sözleşmeye sorumluluğun tamamen karşı tarafta olduğunu eklemek ilgili kişinin kanuni haklarını ortadan kaldırmaz.

Veri işleyenden temel fark

Veri işleyen, veri sorumlusunun verdiği yetkiyle onun adına işlem yapar. Veri sorumlusu ise işleme faaliyetine neden ihtiyaç duyulduğu ve temel araçların ne olduğu üzerinde karar verir. Teknik yöntemin bazı ayrıntılarında hizmet verene hareket alanı bırakılması mümkündür. Bu özerklik her zaman veri sorumlusu sıfatı doğurmaz. Ancak verinin kendi çıkarı için kullanılması farklıdır. Kurulun 30 Ocak 2020 tarihli 2020/71 sayılı kararı bu ayrımı işlevsel biçimde ele alır; her dosyada gerçek yetki ve işlem araştırılmalıdır.

Çalışan, irtibat kişisi ve temsilci

Şirket içindeki insan kaynakları çalışanı veya bilgi işlem yöneticisi, görevini yaparken şirketin bütün veri sorumluluğunu kişisel olarak üstlenmiş sayılmaz. VERBİS irtibat kişisi de veri sorumlusunun yerine geçen bağımsız sorumlu değildir. Yurt dışı veri sorumlusunun temsilcisi ise ayrı temsil koşullarıyla değerlendirilir. Bu rollerin açık tanımlanması başvurunun doğru yere ulaşmasını sağlar. Personelin yetkisini aşan davranışları kendi hukuki sonuçlarını doğurabilir; ancak kurumsal sıfat ile bireysel fiil birbirine karıştırılmamalıdır. Yetkilendirme ve görev kayıtları önemlidir.

Hukuki işleme şartını belirlemek

Veri sorumlusu önce kişisel veriyi hangi kanuni şartla işlediğini belirlemelidir. Her faaliyetin dayanağı açık rıza değildir; sözleşme, kanuni yükümlülük veya diğer şartlar somut koşullarıyla incelenir. Özel nitelikli verilerde güncel madde 6 ayrıca uygulanır. Bir şart bulunması, gereksiz veri toplama veya sınırsız saklama izni vermez. Amaçla bağlantılılık, doğruluk ve ölçülülük gibi temel ilkeler korunmalıdır. İşletme uygulamasıyla yazılı metin farklıysa sadece belgelerin düzgün görünmesi hukuka uygunluğu sağlamaz; gerçek işlem düzenlenmelidir.

Aydınlatma ve ilgili kişi hakları

Veri sorumlusu kişiye gerekli bilgileri sunmalı ve kanuni haklarını kullanabileceği uygun başvuru düzeni sağlamalıdır. Başvurunun başka hizmet verene yönlendirilmesi gerçek sorumluya ulaşmayı imkânsız hale getirmemelidir. Talep en kısa sürede ve en geç otuz gün içinde sonuçlandırılır; gerekçeli cevap yazılı veya elektronik bildirilir. Kurumun 1 Ekim 2026 duyurusu yalnız sözlü cevapla yetinilmesinin sorununu hatırlatır. Kimlik doğrulama yapılırken de talebi çözmek için gerekmeyen yeni kişisel belgeler istenmemeli; güvenlik ve erişilebilirlik birlikte gözetilmelidir.

Güvenlik ve dış hizmetler

Veri sorumlusu gerekli teknik ve idari tedbirleri almakla yükümlüdür. Veriler adına başka kişi tarafından işleniyorsa güvenlik tedbirleri yönünden kanundaki müşterek sorumluluk düzeni önem taşır. Hizmet satın almak bütün yükümlülüğü devretmez. Erişim yetkileri, alt hizmet verenler, ihlal bildirimi ve sözleşme sonunda verinin akıbeti belirlenmelidir. Dış şirketin güvenlik belgesine sahip olması tek başına her işlemin hukuka uygunluğunu kanıtlamaz. Gerçek denetim, yetki sınırı ve olaylara müdahale düzeni kurulmalı; çalışanların erişimi de izlenebilir olmalıdır.

Sicil ile esas yükümlülükler

VERBİS kaydı veri sorumlusunun bütün faaliyetlerine verilmiş genel izin değildir. Kayıt istisnası bulunan küçük işletmenin aydınlatma, güvenlik ve haklara cevap yükümlülükleri devam edebilir. Sicil şartları güncel Kurul kararlarına göre ayrıca incelenir. Çalışan sayısı ve bilanço eşikleri ile ana faaliyet konusu önem taşır; eski eşikleri kullanmak yanlış sonuç doğurabilir. Sicile yazılan veri kategorileri gerçek envanterle uyumlu olmalıdır. Yalnız kayıt ekranını doldurmak verilerin neden ve ne kadar işlendiği sorusunu cevaplamaz; faaliyet düzeyinde analiz gerekir.

İşlem belgeleri ve saklama

Sözleşmeler, işleme envanteri, aydınlatma metinleri, hukuki sebep değerlendirmesi, erişim kayıtları ve silme planı birlikte ele alınır. Belge düzeni işletmenin büyüklüğüne ve riskine uygun olabilir; fakat kanuni sorular cevapsız bırakılmamalıdır. Saklama süresi yalnız ileride işe yarayabilir düşüncesiyle belirlenmez. Kanuni yükümlülük ve somut amaç sona erdiğinde ilgili imha kuralları değerlendirilir. Yedeklerde kalan kopyalar veya taşeron erişimleri de gözden geçirilir. Bir verinin arşive taşınması hâlâ kişisel veri işleme olduğu gerçeğini ortadan kaldırmaz.

Temsili rol değerlendirmesi

Bir mağaza müşteri listesini kendi satışları için topluyor, çağrı merkezi de yalnız mağazanın belirlediği kampanya çerçevesinde arama yapıyor olsun. Mağazanın amaçları belirleyen rolüyle merkezin talimatlı işlemi ayrılır. Merkez aynı listeyi kendi ürünleri için kullanmaya başlarsa bu yeni faaliyet ayrıca incelenir. Sözleşmede teknik hizmet yazması bağımsız amaç kullanımını görünmez kılamaz. Müşteri de veri sorumlusunu belirlemek için kimin iletişim kurduğunu, hangi hizmet ilişkisini ve hangi verinin nereden geldiğini somutlaştırmalıdır.

Uyuşmazlık ve giderler

Yanlış sıfatlandırma başvurunun yanlış kişiye gitmesine ve zaman kaybına yol açabilir. İlgili kişi önce faaliyeti ve muhatabı belirlemeli; usulüne uygun başvuru ve şikâyet sürelerini izlemelidir. Kurul incelemesi tazminat mahkemesinin yerine geçmez. İşletme açısından uyum çalışmasının tek sabit bedeli yoktur; veri çeşitliliği, sistemler ve riskler kapsamı değiştirir. Öncelik kimin neye karar verdiğini belgelemek ve gerçek uygulamayı kanuni şartlarla eşleştirmektir. Sadece bir sorumluluk metni imzalamak bütün geçmiş ve gelecek işlemleri hukuka uygun hale getirmez.

Sık sorulan sorular