Veri sorumlusu, KVKK m.3 uyarınca kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. GDPR'daki 'controller' kavramının karşılığıdır. Bir web sitesini işleten ve ziyaretçi verisi toplayan şirket, o verilerin veri sorumlusudur.
KVKK m.3, veri sorumlusunu kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu gerçek veya tüzel kişi olarak tanımlar. Belirleyici soru şudur: bu veri neden ve nasıl işleniyor kararını kim veriyor? Kararı veren, veri sorumlusudur. Tüzel kişilerde sorumluluk şirketin kendisine aittir, çalışanlara veya departmanlara değil. Veri sorumlusu adına, onun talimatıyla veri işleyen taraf (örneğin barındırma veya e-posta hizmeti sağlayıcısı) ise 'veri işleyen' olarak ayrı bir sıfat taşır.
Veri sorumlusu olmak somut yükümlülükler getirir: KVKK m.5'teki işleme şartlarından birine dayanmak, m.10 uyarınca aydınlatma yapmak, gerekiyorsa açık rıza almak, veri güvenliği tedbirlerini kurmak, ilgili kişilerin başvurularını yanıtlamak ve kayıt yükümlüsü ise VERBİS'e kaydolmak. GDPR kapsamındaki controller için de hesap verebilirlik ilkesi geçerlidir: uyumu yalnızca sağlamak değil, belgeleyebilmek de gerekir.
Web sitesi bağlamında veri sorumlusu genellikle siteyi işleten şirkettir: iletişim formundan gelen veriler, üyelik kayıtları ve çerezlerle toplanan tanımlayıcılar onun sorumluluğundadır. Google Analytics gibi araçlar kullanıldığında aracın sağlayıcısı kendi rolünü taşısa da, aracı siteye ekleme ve amacını belirleme kararı site sahibine ait olduğundan sorumluluk devredilmiş olmaz. Bu nedenle site sahibi hangi araçların hangi veriyi topladığını bilmek ve bunu belgelerine yansıtmak zorundadır.
Sık sorulan sorular
Veri sorumlusu ile veri işleyen arasındaki fark nedir?
Veri sorumlusu, verinin neden ve nasıl işleneceğine karar veren taraftır; veri işleyen ise bu kararlar doğrultusunda, veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen ayrı gerçek veya tüzel kişidir. Örneğin bir e-ticaret sitesi müşteri verilerinin sorumlusudur; sitenin barındırma sağlayıcısı veya e-posta gönderim hizmeti ise işleyendir. Asıl yükümlülükler sorumluda kalır.
Web sitesi sahibi her zaman veri sorumlusu mudur?
Site üzerinden kişisel veri toplanıyorsa ve bu verinin amacını site sahibi belirliyorsa, evet: form verileri, üyelikler ve çerez tanımlayıcıları için veri sorumlusu odur. Üçüncü taraf araçlar kullanmak bu sıfatı ortadan kaldırmaz; aracı ekleme ve amaç belirleme kararı site sahibine aittir. Kimin hangi rolde olduğu, her aracın veri işleme kurgusuna bakılarak netleştirilmelidir.
Bu içerik bilgilendirme amaçlıdır ve hukuki görüş niteliği taşımaz.