Muhasebe firması, bulut hizmeti, kargo şirketi… Verilerinizi işleyen her taraf aynı yükümlülüklere sahip değildir. KVKK'nın iki temel kavramını sade bir dille açıklıyoruz.
KVKK uyum sürecinde en sık karıştırılan konulardan biri, bir işletmenin belirli bir veri işleme faaliyetinde veri sorumlusu mu yoksa veri işleyen mi olduğudur. Bu ayrım, yükümlülüklerin kime ait olduğunu belirler.
Veri sorumlusu
Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Örneğin çalışanlarının bordro bilgilerini tutan bir şirket, bu veriler bakımından veri sorumlusudur.
Veri işleyen
Veri sorumlusunun verdiği yetkiye dayanarak, onun adına kişisel verileri işleyen kişidir. Şirketin bordrolarını hazırlayan dış muhasebe firması veya müşteri verilerini barındıran bulut hizmet sağlayıcısı bu duruma örnektir.
Neden önemli?
- Aydınlatma yükümlülüğü ve ilgili kişi başvurularını yanıtlama görevi veri sorumlusuna aittir.
- VERBİS'e kayıt yükümlülüğü, eşikleri aşan veri sorumluları içindir.
- Veri güvenliğine ilişkin tedbirlerin alınmasından, veri işleyen adına işlenen veriler bakımından veri sorumlusu ile veri işleyen birlikte sorumludur.
Uygulamada dikkat edilmesi gerekenler
Dış hizmet alınan firmalarla yapılan sözleşmelere, verilerin hangi amaçla ve hangi sınırlar içinde işleneceğini, güvenlik tedbirlerini, alt yüklenici kullanımını ve sözleşme bitiminde verilerin akıbetini düzenleyen hükümler eklenmelidir. Bu düzenleme, olası bir veri ihlalinde tarafların sorumluluğunun belirlenmesini de kolaylaştırır.
Aynı işletme, bir faaliyette veri sorumlusu, bir başkasında veri işleyen olabilir. Bu nedenle değerlendirme her veri işleme faaliyeti için ayrı ayrı yapılmalıdır.