Veri işleyen, KVKK m.3'te tanımlanan, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen gerçek veya tüzel kişidir. Barındırma sağlayıcısı, e-posta pazarlama servisi ve bulut analitik aracı tipik örneklerdir. GDPR m.4(8)'deki 'processor' kavramının karşılığıdır; GDPR m.28, veri sorumlusu ile işleyen arasında yazılı bir veri işleme sözleşmesi yapılmasını şart koşar.
KVKK'nın 3. maddesi veri işleyeni, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi olarak tanımlar. Ayrım şuradadır: veri sorumlusu, verilerin hangi amaçla ve hangi araçlarla işleneceğine karar verir; veri işleyen ise bu kararları vermez, sorumlunun talimatları çerçevesinde teknik işlemi yürütür. GDPR m.4(8)'deki processor tanımı aynı mantığı izler. Aynı şirket bir işleme faaliyetinde sorumlu, bir başkasında işleyen olabilir; rol, unvana değil somut faaliyete göre belirlenir.
Bir web sitesi için tipik veri işleyenler barındırma sağlayıcısı, içerik dağıtım ağı, analitik servisi, e-posta gönderim altyapısı ve onay yönetim platformudur. GDPR m.28, veri sorumlusunun yalnızca yeterli güvence sunan işleyenlerle çalışmasını ve tarafların yazılı bir veri işleme sözleşmesi yapmasını şart koşar: işlemenin konusu ve süresi, talimatla bağlılık, gizlilik, güvenlik önlemleri, alt işleyen kullanımına onay ve denetim hakkı bu sözleşmenin asgari başlıklarıdır. KVKK da veri güvenliği önlemleri bakımından sorumlu ile işleyeni birlikte sorumlu tutar.
Pratik yol haritası şöyledir: siteniz için kişisel veriye dokunan tüm tedarikçileri listeleyin, her birinin rolünü (sorumlu mu, işleyen mi) belirleyin ve işleyen konumundakilerle veri işleme sözleşmelerini tamamlayın. Tedarikçi değiştiğinde veya yeni bir araç devreye girdiğinde envanteri güncelleyin. Bu kayıt düzeni, hem hesap verebilirlik hem de olası bir veri ihlalinde sorumluluğun doğru paylaşılması için temel oluşturur.
Sık sorulan sorular
Veri işleyen ile veri sorumlusu arasındaki fark nedir?
Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen taraftır; kayıt yükümlülükleri ve aydınlatma gibi temel sorumluluklar ona aittir. Veri işleyen ise bu kararları vermez, sorumlunun talimatıyla ve onun adına teknik işlemi yürütür. Rol, sözleşmedeki unvana değil fiili duruma göre belirlenir; amaçlara kendisi karar veren bir tedarikçi, adı ne olursa olsun sorumlu konumuna geçer.
Veri işleyenle sözleşme yapmak zorunlu mu?
GDPR kapsamında evet: m.28, veri sorumlusu ile işleyen arasında içeriği belirlenmiş yazılı bir veri işleme sözleşmesini açıkça şart koşar. KVKK tarafında veri güvenliği önlemleri bakımından sorumlu ile işleyen birlikte sorumludur; bu sorumluluğun sınırlarını netleştirmek için yazılı sözleşme yerleşik ve güçlü bir uygulamadır. İki mevzuata birden tabi siteler için tek bir kapsamlı sözleşme pratik çözümdür.
Bu içerik bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz.