E-ticaret sözlüğüHukuk ve tüketici

Veri sorumlusu nedir?

Veri sorumlusu, kişisel verilerin işlenme amaç ve araçlarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu gerçek veya tüzel kişidir. Dışarıdan hizmet alınması, satıcının aydınlatma, güvenlik ve başvuru yükümlülüklerini ortadan kaldırmaz.

Son kontrol: 26 Ekim 20263 resmî kaynakGündem Masası

Tanım

Veri sorumlusu, kişisel verilerin işlenme amaç ve araçlarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu gerçek veya tüzel kişidir.

Bir bakışta

Tanım6698 md. 3; amaç ve araçları belirleyen taraf

GüvenlikMd. 12; dış hizmette tedbirler için müşterek sorumluluk

Başvuru süresiEn kısa sürede, en geç 30 gün; md. 13

SicilMd. 16; kayıt istisnası diğer yükümlülükleri kaldırmaz

İnternet mağazasında veri sorumlusu kimdir?

6698 sayılı Kişisel Verilerin Korunması Kanunu md. 3, veri sorumlusunu verinin neden ve nasıl işlendiğine karar veren taraf üzerinden tanımlar. Hangi müşteri bilgilerinin toplanacağı, hangi amaçla kullanılacağı ve kayıt düzeninin nasıl kurulacağı bu değerlendirmenin parçalarıdır. Mağazayı işleten şirket bu kararları kendi faaliyeti için alıyorsa veri sorumlusu şirketin kendisidir. Kayıtları ekrana giren personel veya siteyi teknik olarak kuran kişi, yalnız bu işi yaptığı için şirketin yerine veri sorumlusu olmaz. Gerçek kişi işletmeci de kendi faaliyetinde bu sıfatı taşıyabilir.

Önce hangi kişisel verinin hangi işlemde kullanıldığını belirleyin. Sipariş hazırlama, müşteri hizmetleri ve personel kayıtları aynı işletmede farklı veri akışları oluşturabilir. Şirket içinden başvuruları takip edecek bir çalışan görevlendirmek işlerin yürütülmesini sağlar; tüzel kişinin sorumluluğunu o çalışana devretmez. KVKK kapsamında rol belirlerken yalnız sözleşmeye yazılan unvana değil, gerçek karar yetkisine ve işleme faaliyetine bakın. Şirketin aydınlatmada yer alan kimliği ile müşterinin başvuru yapacağı taraf tutarlı olmalıdır.

Veri işleyen ile farkı nedir?

Kanun md. 3 kapsamında veri işleyen, veri sorumlusunun verdiği yetkiyle onun adına kişisel veri işler. Örneğin yalnız satıcının talimatıyla belirli müşteri hizmeti işlemlerini yürüten dış hizmet sağlayıcısının rolü bu faaliyet üzerinden incelenir. Verinin hangi ticari amaçla kullanılacağını kendisi belirleyen tarafla, verilen işi talimatla yürüten tarafı ayırın. Bir sağlayıcının bütün faaliyetlerine tek etiket yapıştırmak doğru değildir. Kendi personel kayıtları bakımından veri sorumlusu olan bir şirket, başka bir faaliyetinde müşterisi adına veri işleyen olarak çalışabilir.

Kanun md. 12/2, veriler veri sorumlusu adına başka bir kişi tarafından işlendiğinde, md. 12/1’deki güvenlik tedbirlerinin alınması konusunda müşterek sorumluluk düzenler. Bu hüküm, satıcının dış hizmet sağlayıcısına veri gönderip güvenlik konusunu tamamen kapatmasına izin vermez. Yetki, talimat, erişim, muhafaza ve iş bitimindeki işlemleri hizmet ilişkisi içinde somutlaştırın. Sağlayıcının gerçek rolünü ve veri kullanımını kontrol edin. Sözleşmede bütün sorumluluğun sağlayıcıda olduğu yazsa da satıcının kanuni yükümlülükleri bu cümleyle ortadan kalkmaz.

Aydınlatma ve hukuki dayanak nasıl belirlenir?

Kanun md. 4, verilerin amaçla bağlantılı, sınırlı ve ölçülü işlenmesini gerektirir. Md. 5, olağan kişisel veriler için açık rızanın yanında sözleşmenin ifasıyla doğrudan ilgili ve gerekli işleme gibi başka şartlar da düzenler. Veri sorumlusu, her amaç için hangi şarta dayandığını belirlemelidir. Açık rıza bulunan bir alanı, bütün verilerin her amaçla kullanılabileceği genel yetkiye dönüştürmeyin. Gereksiz bir veri alanını toplamak yerine önce işin gerektirdiği bilgiyle formu sınırlandırın.

Md. 10 uyarınca veri sorumlusunun kimliği, işleme amaçları, aktarım alıcıları ve amaçları, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları açıklanır. KVKK aydınlatma metni gerçek işlemler üzerinden hazırlanmalıdır. Başka mağazanın metnini şirket adını değiştirerek kullanmak, sizin farklı veri akışınızı açıklamaz. Gizlilik politikası ile kullanılan genel ifadeler de bu zorunlu bilgileri eksik bırakmamalıdır. Veri akışı değiştiğinde açıklamanın içeriğini ve işleme şartını yeniden kontrol edin; yalnız kontrol tarihini değiştirmek yeterli değildir.

Erişim yetkisi rakamlarla nasıl gözden geçirilir?

Kurgusal bir mağazada müşteri listesine erişimi olan 8 kullanıcı hesabı bulunduğunu varsayalım. Görev incelemesinde 5 hesabın bu erişime ihtiyacı olduğu, 3 hesabın ise artık bu işi yapmadığı kabul edilsin. Gereksiz 3 erişim kaldırıldığında yetkili hesap sayısı 8 − 3 = 5 olur. Azalma 3 ÷ 8 × 100 = %37,5’tir. Bu oran mevzuatın öngördüğü bir hedef veya güvenlik sertifikası değildir. Md. 12 kapsamındaki uygun teknik ve idari önlem ihtiyacını açıklayan örnekte, erişim gerçek görev ihtiyacına bağlanmıştır.

Kalan 5 hesabın her birini gerçek kullanıcısıyla eşleştirin ve yetkisini göreviyle sınırlandırın. İşten ayrılan kişinin erişiminin kapanması, dışa aktarılmış kayıtların ve yedeklerin korunması ihtiyacını bitirmez. Kanun md. 12/3, veri sorumlusunun kendi kuruluşunda gerekli denetimleri yapmasını veya yaptırmasını ister. Md. 12/4’teki hukuka aykırı açıklamama ve amaç dışı kullanmama yükümlülüğü, görevden ayrıldıktan sonra da devam eder. Yetki listesinin bir kez hazırlanıp unutulması yerine görev değişikliklerini kayıt düzenine yansıtın.

Başvurular ve sicil yükümlülüğü nasıl izlenir?

Kanun md. 11’deki haklar için KVKK başvuru formu ve erişilebilir iletişim yolu sağlayın. Md. 13/2 uyarınca başvuru, niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. Esas ücretsizdir; işlem ek maliyet gerektiriyorsa Kurulun tarifesindeki ücret uygulanabilir. Talep kabul edilir veya gerekçeli reddedilir; cevap yazılı ya da elektronik bildirilir. Md. 16’daki sicil kaydı ve istisnaları ise ayrı kontrol konusudur. Sicil istisnasını, veri sorumlusu sıfatının veya diğer kanuni yükümlülüklerin tümünün sona ermesi olarak yorumlamayın.

06 · Örnek

Örnek: Görevi değişen hesapların erişim kontrolü

Kurgusal mağazada müşteri listesine 8 hesap erişir. İncelemede 5 hesabın görev gereği erişime ihtiyaç duyduğu, 3 hesabın duymadığı varsayılır.

Toplam 8 hesabı görevleriyle eşleştirin.
Gereksiz 3 erişimi kaldırın: 8 − 3 = 5.
Azalmayı hesaplayın: 3 ÷ 8 × 100 = %37,5.
Kalan 5 hesabın erişimini gerçek görev ihtiyacına göre sınırlandırın.

Sonuç

Yetkili hesap 5’e iner; %37,5 azalma yalnız kurgu sonucudur. Güvenlik önlemleri ve denetim devam eder.

07 · Fark

Veri sorumlusu ile karıştırılan kavramlar

Veri sorumlusu ≠ Veri işleyen

Veri sorumlusunun yetkisiyle ve onun adına veri işler; rol gerçek işleme faaliyeti üzerinden belirlenir.

Veri sorumlusu ≠ Görevli çalışan

Şirket içi işleri yürüten kişinin atanması, veri sorumlusu olan tüzel kişinin sıfatını çalışana devretmez.

Veri sorumlusu ≠ Sicil kayıt istisnası

Md. 16 kapsamındaki kayıt yükümlülüğüne ilişkindir; diğer kanuni yükümlülükleri topluca kaldırmaz.

08 · Satıcı için

Satıcı ne yapmalı?

Her veri akışında amacı ve karar yetkisi olan tarafı belirleyin.
Veri sorumlusu, dış hizmet sağlayıcısı ve çalışan görevlerini ayırın.
Her amaç için hukuki şartı ve gerekli veri alanlarını belirleyin.
Aydınlatmayı gerçek kimlik, amaç ve aktarım akışına göre hazırlayın.
Erişimleri görevlerle sınırlandırıp hizmet sağlayıcı tedbirlerini denetleyin.
Başvuruları en kısa sürede ve en geç 30 gün içinde sonuçlandırın.

09 · Devamı

İlgili rehberler

10 · Sık sorulanlar

Veri sorumlusu hakkında sık sorulanlar

Veri sorumlusu şirket mi çalışan mı?

İşleme amaçlarını ve araçlarını şirket kendi faaliyeti için belirliyorsa veri sorumlusu tüzel kişinin kendisidir. Şirket içinde işleri yürütecek çalışan atanması bu sıfatı çalışana devretmez.

Yazılım hizmeti alınca sorumluluk sağlayıcıya geçer mi?

Satıcının kendi kanuni yükümlülükleri devam eder. Veri onun adına işleniyorsa md. 12/2’deki güvenlik tedbirlerinin alınmasına ilişkin müşterek sorumluluk da dikkate alınır; tarafların rolü gerçek işleme faaliyetine göre belirlenir.

Aynı şirket hem veri sorumlusu hem veri işleyen olabilir mi?

Farklı faaliyetler bakımından olabilir. Şirket kendi personel kayıtlarında veri sorumlusu, başka bir işletmenin talimatıyla onun adına yürüttüğü farklı işlemde veri işleyen olabilir.

KVKK başvurusu kaç gün içinde sonuçlandırılır?

6698 md. 13/2 kapsamında başvuru talebin niteliğine göre en kısa sürede ve en geç 30 gün içinde sonuçlandırılır. Talep kabul edilir veya gerekçesi açıklanarak reddedilir; cevap yazılı veya elektronik bildirilir.

Sicil istisnası varsa KVKK yükümlülükleri biter mi?

Sicil kayıt istisnası, md. 16’daki kayıt yükümlülüğüne ilişkindir. Veri sorumlusu sıfatını ve aydınlatma, güvenlik, hukuka uygun işleme gibi diğer yükümlülükleri topluca ortadan kaldırmaz.