Veri sorumlusu kavramı 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat içerisinde açıklanmıştır.
Veri sorumlusu, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 3. Maddesinde Tanımlar başlığı altında açıklanmıştır. İlgili tanım uyarınca; kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi veri sorumlusu sayılacaktır. Kanun koyucu ilgili tanım metninde tüzel kişilerin de bu sıfata sahip olacağını belirtmiştir. Bu sebeple, tüzel kişilerin kişisel verilerin korunması kapsamında hukuki sorumluluğu tüzel kişiliği idare eden gerçek kişilerin aksine tüzel kişiliğin kendisi üzerinde doğacaktır. Kişisel verilerin korunması mevzuatı tüzel kişiler açısından hem kamu hukuku tüzel kişilerini hem de özel hukuk tüzel kişilerini yükümlü tutmuştur.
Şirket ve buna benzer tüzel kişiliklerin alt departmanları ve ilgili bölümleri ayrıca veri sorumlusu sayılmamaktadır. Kurul karar özetleri ve değerlendirmelerinde bu sıfatın yalnızca kurum veya kuruluş tüzel kişiliğinde doğacağı belirtilmiştir. Şirketler topluluğunda ise topluluğu oluşturan her bir şirket diğer şirketlerden bağımsız olarak bu sıfata sahip olacaktır.
Veri Sorumluluğuna İlişkin Yükümlülükler
Veri sorumlusu yükümlülükleri 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili mevzuat kapsamında açıklanmıştır.
Bu yükümlülüklerin başında aydınlatma yükümlülüğü gelmektedir. 6698 sayılı Kişisel Verilerin Korunması Kanunu ve Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ’de aydınlatma yükümlülüğünün ne şekilde yerine getirileceği açıklanmıştır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 10. Maddesi uyarınca veri sorumlusu veya yetkilendirdiği kişi ilgili kişilere;
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
- İlgili kişiye ait kişisel verilerin hangi amaçla işleneceği,
- İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
- Kişisel veri toplamanın yöntemi ve hukuki sebebi,
- İlgili kişinin 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında sahip olduğu hakları,
Hakkında bilgi vermekle yükümlüdür. Bu yükümlülük kendisi veya yetkilendirdiği bir kişi tarafından sözlü, yazılı, ses kaydı, çağrı merkezi gibi fiziksel veya elektronik ortam kullanmak suretiyle yerine getirebilecektir. Organizasyon altında ilgili kişinin kişisel verileri farklı birimlerce ve farklı amaçlarla işleniyorsa aydınlatma her bir bölüm tarafından ayrı ayrı yerine getirilmelidir. Aydınlatmanın sunulması ilgili kişinin talebine bağlı değildir bu sebeple ilgili kişi talep etmeden ilgili kişiye sunulması gerekmektedir. Aydınlatma yükümlülüğünün yerine getirildiğine ilişkin ispat yükü de ayrıca veri sorumlusu üzerinde olacaktır.
Veri sorumlusu hazırlayacağı aydınlatma metninde ilgili kişi tarafından anlaşılmayacak genel nitelikte ve muğlak ifadelere yer vermemelidir. Anlam bütünlüğü olmayan, muhtemel başka amaçlar içinde kişisel verilerin işlenebileceği kanaatini uyandıran ifadeler aydınlatma metninde yer almamalıdır. Hazırlanacak aydınlatma metinlerinin herkes tarafından anlaşılabilecek açık ve sade bir dil kullanılarak hazırlanması gerekmektedir. Aydınlatma yükümlülüğü kapsamında yukarıda bahsedilmiş olan hukuki sebep kapsamında 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5. ve 6. Maddelerinde yer alan kişisel verilerin işlenme şartlarından bahsedilmektedir. Veri sorumlusu kişisel verilerin bu şartlar kapsamında işlenmesi halinde hangi faaliyetlerin hangi hukuki sebepler kapsamına girdiğini açıkça belirtmelidir.
Kişisel verilerin korunması mevzuatından kaynaklanan diğer bir yükümlülük ise veri güvenliğinin sağlanmasıdır. Kişisel Verileri Koruma Kurumu kişisel verilerin önemini sürekli vurgulamakta ve veri güvenliği tedbirlerinin gereğince yerine getirilmemesi sebebiyle gerçek ve tüzel kişilere yüksek miktarda idari para cezaları uygulamaktadır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. Maddesi uyarınca veri sorumlusu; kişisel verilerin hukuka aykırı olarak işlenmesini önlemek, kişisel verilere hukuka aykırı erişilmesini önlemek ve kişisel verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır. Ayrıca kişisel verilerin kanuna aykırı olarak başkaları tarafından ele geçirilmesi halinde en kısa sürede bu durum veri sorumluluğu sıfatına sahip kişi tarafından ilgilisine ve Kurul’a bildirilmelidir.
Veri sorumluluğu kapsamında kişisel verilerin korunması mevzuatından doğan bir diğer yükümlülük ise veri sorumluları siciline kayıttır. Kişisel verileri işleyen gerçek ve tüzel kişiler veri işlemeye başlamadan önce VERBİS olarak anılan Veri Sorumluları Siciline kayıt olmalıdır. Yapılacak kayıt kapsamında veri sorumluları; kendileri ve varsa temsilcisinin kimlik ve adres bilgileri, kişisel verilerin hangi amaçla işleneceği, veri konusu kişi grupları ve bu kişilere ait veri kategorileri, kişisel verilerin aktarılabileceği alıcı veya alıcı grupları, yabancı ülkelere aktarımı öngörülen kişisel veriler, kişisel veri güvenliğine ilişkin alınan tedbirler, kişisel verilerin işlendikleri amaç için gerekli olan azami süre hakkında VERBİS’ bilgi sağlamalıdır.
Kişisel verilerin korunması mevzuatından doğan bir diğer yükümlülük ise ilgili kişiler tarafından yapılan başvuruların cevaplanmasıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 13.maddesi uyarınca ilgili kişi KVKK’dan doğan taleplerini yazılı olarak veya Kurulun belirleyeceği diğer yöntemlerle veri sorumlusuna iletebilecektir. Başvuru kapsamında gelen talepler, talebin niteliğine göre en kısa sürede ve en geç 30 gün içerisinde cevaplandırmalıdır.
Bu yazı kapsamında belirtilebilecek son yükümlülük 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 12. Maddesinin (5) numaralı fıkrasında açıklanmıştır. Fıkra uyarınca veri sorumlusu, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından ele geçirilmesi halinde en kısa sürede ilgilisine ve Kurul’a 72 saat içerisinde bildirecektir. Bu bildirimi 72 saat içerisinde gerçekleştiremeyecekse gecikme nedenleriyle birlikte bu hususu ivedilikle Kişisel Verileri Koruma Kurulu’na açıklamalıdır.
Veri Sorumlusu Veri İşleyen Sözleşmesi
Veri sorumlusu veri işleyen sözleşmesi uygulamada kişisel veri işleme sözleşmesi olarak anılmaktadır. Veri işleyen, bu sözleşme ile veri sorumlusunun talimat ve menfaatlerine uygun olarak veri işlemeyi, veri sorumlusu da bu iş görme edimi karşılığında ücret ödemeyi üstlenmektedir. Sözleşmede veri işleyen, veri sorumlusunun menfaati ve talimatları kapsamında iş görmektedir. Sözleşme içerisinde kişisel veri işleme, ücret, tarafların yükümlülükleri gibi başlıklar yer almaktadır.
Sözleşme ile veri işleyen, kişisel verilerin elde edilmesi, depolanması ve imha edilmesi gibi veriler üzerinde gerçekleştirilebilen her türlü işlemi yapmakla yükümlüdür. Veri işleyen sözleşme kapsamında veri işlerken veri sorumlusu tarafından yetkilendirildiği takdirde her türlü teknik ve idari tedbiri almakla da yükümlü sayılmıştır. 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri güvenliğine yönelik tedbir alınırken veri sorumlusu ve veri işleyenle birlikte veri sorumlusu adına işleme yapan alt işleyen de üçüncü kişilere karşı bu kişilerle müştereken sorumludur. Veri işleyen, sözleşme kapsamında yukarıda sayılanlara ek olarak veri sorumluluğu sıfatına sahip kişinin talimatlarına uygun davranmalı ve sadakat yükümlülüğünü ihlal etmemelidir. Tarafların anlaşması halinde veri sorumlusunun aydınlatma yükümlülüğünü veri işleyene devredilebilecektir. Veri işleyen ayrıca, gerçekleştirdiği iş ve işlemlerle ilgili olarak hesap verme ve sözleşme sona erdiğinde kişisel verileri iade etmekle yükümlü kılınmıştır.
Veri Sorumlusu ve Veri İşleyen Farkları
Kurul karar ve değerlendirmeleri uyarınca gerçek veya tüzel bir kişi hem veri sorumlusu hem de veri işleyen olabilecektir. Ancak veri sorumluluğu sıfatını haiz olan kişi 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda da belirtildiği üzere kişisel verilerin işlenme amacını ve yöntemini belirlemektedir. Yani, işleme faaliyetinin “neden” ve “nasıl” yapılacağı konusunda belirlemelerde bulunmaktadır. Veri sorumlusu ve veri işleyen farklarının belirlenebilmesi için aşağıda yer alan hususlarda karar merciinin kim olduğu belirlenmelidir:
- Kişisel verilerin toplanması ve toplama yöntemi,
- Toplanacak kişisel verilerin türleri,
- Toplanan kişisel verilerin hangi amaçlarla kullanılacağı,
- Kimlerden kişisel veri toplanacağı,
- Toplanan verilerin paylaşılması,
- Kişisel verilerin saklama süresi.
Yukarıda sayılan hususlar ve bu hususlar dışında kişisel verilerin korunması mevzuatı kapsamında veri sorumlusu birtakım sorumluluklarını veri işleyene kişisel veri işleme sözleşmesi ile bırakabilecektir.
Yukarıda hukuki açıdan önem ihtiva eden Veri Sorumlusu Kimdir? Yükümlülükleri Nelerdir? konusu genel bir çerçeveyle açıklanmıştır. Veri Sorumlusu Kimdir? Yükümlükleri Nelerdir? konusu oldukça önemli ve hukuki danışmanlık alınması gereken başlıca konulardan biridir. Daha fazla bilgi ve danışmanlık için hukuk büromuzla iletişime geçebilirsiniz.
