Veri sorumlusu nedir?

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Müşteri bilgilerini tutan bir şirket, hasta kayıtlarını işleyen bir hastane, çalışan özlük dosyalarını tutan bir işveren veya bir belediye, kendi işledikleri veriler bakımından veri sorumlusudur.

Dayanak

Veri sorumlusunun tanımı ve yükümlülükleri 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda (KVKK) düzenlenmiştir.

Veri işleyenden farkı

Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir; örneğin bir şirketin bordro hizmeti aldığı muhasebe firması veya bulut hizmet sağlayıcısı. Veri işleyen, veri sorumlusunun talimatları doğrultusunda hareket eder; veri güvenliği tedbirlerinden veri sorumlusuyla birlikte müştereken sorumludur.

Yükümlülükleri

• Aydınlatma: Veri toplarken ilgili kişiyi; veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi ve hukuki sebebi ile ilgili kişinin hakları konusunda bilgilendirmek.
• Hukuka uygun işleme: Verileri yalnız kanundaki işleme şartlarından birine dayanarak işlemek.
• Veri güvenliği: Verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek ve muhafazasını sağlamak için gerekli teknik ve idari tedbirleri almak.
• İhlal bildirimi: Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi hâlinde durumu en kısa sürede ilgili kişiye ve Kurula bildirmek. Kanun yalnız “en kısa sürede” der; Kurula bildirim için yetmiş iki saatlik süre, Kurulun bu konudaki kararıyla belirlenmiştir.
• Silme ve yok etme: İşleme sebepleri ortadan kalkan verileri silmek, yok etmek veya anonim hâle getirmek.
• Sicil kaydı: Kurulun belirlediği istisnalar dışında Veri Sorumluları Siciline (VERBİS) kaydolmak.
• Başvurulara cevap: İlgili kişi başvurularını kanuni süre içinde sonuçlandırmak.

Sonuçları

Yükümlülüklere aykırılık hâlinde Kişisel Verileri Koruma Kurulu idari para cezası uygular; ceza tutarları her yıl yeniden belirlenir. Bu cezalara karşı 1 Haziran 2024’ten bu yana idare mahkemesinde dava açılabilir; önceden başvuru yolu sulh ceza hâkimliğiydi. Verilerin hukuka aykırı kaydedilmesi, yayılması veya yok edilmemesi ayrıca Türk Ceza Kanunu’ndaki suçları oluşturabilir. Zarar gören ilgili kişi tazminat da isteyebilir.

İlgili kavramlar

• Kişisel veri
• Açık rıza
• İlgili kişinin KVKK kapsamındaki hakları
• Kişisel verilerin hukuka aykırı kaydedilmesi

Kaynaklar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, m. 3 (tanımlar)
2. 6698 sayılı Kanun, m. 7, m. 10, m. 12, m. 13, m. 16, m. 18 (idari yaptırım ve yargı yolu)
3. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik