Veri Sorumlusu Kimdir?
6698 sayılı KVKK’nın üçüncü maddesinde veri sorumlusu kimdir sorusunun cevabı düzenlenmiş ve tanımlanmıştır. Buna göre; “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiye” veri sorumlusu adı verilmektedir. Maddede bahsedilen tüzel kişiler, kamu kurum ve kuruluşlarının yanı sıra şirketler, vakıflar ve dernekler olabilir.
Tüzel kişiler, kişisel verilerin işlenmesi noktasında veri sorumlusu sıfatıyla faaliyet yürütmektedir. Dolayısıyla işleme faaliyetlerinden kaynaklanan hukuki sorumluluklar tüzel kişinin şahsında doğmaktadır. Sorumluluk noktasında kamu hukuku tüzel kişileri ile özel hukuk tüzel kişileri arasında bir fark bulunmamaktadır. Şirket bünyesindeki birimlerin tüzel kişiliği olmadığı için bu birimlerin veri sorumlusu sıfatı bulunmamaktadır.
KVKK veri sorumlusu, veri işleme faaliyetlerinin neden ve nasıl yapılacağı sorularının cevabını vermektedir. Veri sorumlusunun tespitinde, kişisel verilerin işlenme amacı, hangi kişisel verilerin işleneceği, kişisel verilerin paylaşılma durumu, kişisel verilerin paylaşılacağı taraflar, kişisel verilerin saklanma süresi oldukça önemlidir.
Veri işleme faaliyetleri tüzel kişilik tarafından gerçekleştirilmekte ise tüzel kişinin kendisi veri sorumlusu sıfatına sahip olacaktır. Bununla birlikte tüzel kişilik bünyesinde çalışan ve veri işleme faaliyetinden sorumlu olan gerçek kişiler ise veri sorumlusu sayılmamaktadır. Buna karşın tüzel kişiliğin veri sorumluluğuna dair yükümlülükleri şirket bünyesindeki kişi veya kişilere yüklenebilir. Ancak, şirket bünyesindeki bu görevlendirme, şirket tüzel kişiliğinin veri sorumlusu yükümlülüğünü ortadan kaldırmayacağı gibi, bu kişilerin veri sorumlusu şeklinde tanınmasını da sağlamayacaktır.
Veri Sorumlusunun Yükümlülükleri
Veri sorumlusunun en başta gelen yükümlülüğü, KVKK’nın onuncu maddesinde düzenlenen aydınlatma yükümlülüğüdür. Veri sorumlusu, madde kapsamında sayılan hususlar hakkında ilgili kişilere bilgi vermekle yükümlüdür.
Aydınlatma yükümlülüğü kapsamı (KVKK m. 10):
- Veri sorumlusunun ve varsa temsilcisinin kimliği,
b) Kişisel verilerin hangi amaçla işleneceği,
c) İşlenen kişisel verilerin kimlere ve hangi amaçla aktarılabileceği,
ç) Kişisel veri toplamanın yöntemi ve hukuki sebebi,
d) 11’inci maddede sayılan diğer hakları.
Veri sorumlusunun bir başka yükümlülüğü, kanunun 12’nci maddesinde düzenlenmiştir ve veri güvenliğine ilişkin hususları içermektedir. Buna göre veri sorumlusu, aşağıda sayılan hususlarda her türlü idari ve teknik tedbiri almakla yükümlüdür:
a) Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek,
b) Kişisel verilere hukuka aykırı olarak erişilmesini önlemek,
c) Kişisel verilerin muhafazasını sağlamak.
Yukarıda açıklananlar haricindeki veri sorumlusunun yükümlülükleri şunlardır:
- Veri Sorumluları Sicili’ne (VERBİS) kaydolmak,
- İlgili kişilerce yapılan başvuruların cevaplanmasını sağlamak,
- Kurul kararlarını 30 gün içinde yerine getirmek,
- Kişisel verilerin silinmesi, yok edilmesi veya anonim hale getirilmesini sağlamak.
