Temel Kavramlar: Veri Sorumlusu, Veri İşleyen, İlgili Kişi

Bir önceki derste KVKK'nın ne amaçla çıkarıldığını ve hangi verileri koruma altına aldığını görmüştük. Şimdi işin merkezine giriyoruz: kanunun her maddesinde karşımıza çıkan üç temel aktör kimdir ve bu roller günlük iş hayatında kime karşılık gelir?

KVKK'nın Üç Temel Aktörü

Kişisel Verilerin Korunması Kanunu'nu anlamanın anahtarı, bir veri işleme sürecinde kimin hangi rolde olduğunu doğru tespit etmektir. Sorumluluklar, yükümlülükler ve haklar bu role göre şekillenir.

Veri Sorumlusu

Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Basitçe: "Neden ve nasıl veri topluyoruz?" sorusuna karar veren taraftır.

• Çalıştığınız şirket, müşteri bilgilerini CRM sistemine kaydetme kararını verdiği için veri sorumlusudur.
• Bir hastane, hasta kayıtlarını tutma amacını ve yöntemini belirlediği için veri sorumlusudur.

Veri İşleyen

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak, onun adına kişisel verileri işleyen ayrı bir gerçek veya tüzel kişidir. Kendi amacını belirlemez; sadece talimatları uygular.

• Şirketinizin bordro işlemleri için anlaştığı dış muhasebe firması bir veri işleyendir.
• Müşteri verilerini bulutta barındıran teknik altyapı sağlayıcısı, veri sorumlusunun talimatıyla hareket ettiği sürece veri işleyendir.

İlgili Kişi

İlgili kişi, kişisel verisi işlenen gerçek kişidir. Yani sürecin öznesi, hakları koruma altında olan taraftır.

• Müşteriniz, çalışanınız, iş başvurusu yapan aday ya da web sitenizi ziyaret eden kullanıcı — hepsi ilgili kişidir.

Roller Neden Bu Kadar Önemli?

Bir kurumun veri sorumlusu mu yoksa veri işleyen mi olduğu; hangi yükümlülükleri (aydınlatma, VERBİS kaydı, sözleşme şartları vb.) taşıdığını doğrudan belirler. Aynı şirket, bir süreçte veri sorumlusu, başka bir süreçte ise başka bir şirket için veri işleyen konumunda olabilir.

Bir sonraki derste bu üç aktörün devreye girdiği asıl kritik soruya geçiyoruz: bir veri sorumlusu, ilgili kişinin verisini hangi hukuki dayanaklarla işleyebilir? Açık rıza ve diğer hukuka uygunluk sebeplerini birlikte inceleyeceğiz.