Veri İşleyen Kimdir?

Veri işleyen kimdir sorusu, özellikle veri işleme faaliyetleri sonucu ortaya çıkan sorumluluğun tespitinde önem taşımaktadır. Veri işleme konusunda yapılan bir hukuka aykırılığın kime atfedileceği hususu, veri sorumlusunun kim olduğunun tespiti ile ilişkilidir. Bu noktada, kişisel veri ihlaline sebep olan faaliyetlerde, veri işleyen ve veri sorumlusu farkının doğru yapılması gerekmektedir.

Veri İşleyen Kimdir?

Veri işleyen; veri sorumlusundan aldığı talimatla bağlı olarak ilgili kişilere ilişkin kişisel verileri toplayan, saklayan, bu bilgiler üzerine işlem yapan, silen yahut veri işleme faaliyetlerinden herhangi birini yapan kişidir. 

Veri işleyen gerçek kişi olabileceği gibi şirket dernek vakıf gibi tüzel kişi de olabilir. Örneğin, Bir şirketin işe alım süreçlerini yönetmek üzere anlaşılan bir insan kaynakları uzmanı, çalışanlar ve çalışan adaylarının verileri üzerinde veri işleyen olabileceği gibi bu hizmeti veren bir şirket de veri işleyen olabilir.

Veri işleyen veri sorumlusunun organizasyon yapısı içerisinde yer almamaktadır. Veri sorumlusu ile veri işleyen bir sözleşme ile veri işleme konusunda anlaşmış olmalıdır. Diğer bir ifadeyle, veri sorumlusu sıfatındaki gerçek kişi ya da şirket bünyesinde çalışan bir kişi yahut departman veri işleyen değildir. Veri sorumlusuna dışarıdan hizmet veren ayrı bir gerçek kişi ya da şirket veri işleyen olabilir.

Veri işleyen özel hukuk tüzel kişisi olabileceği gibi kamu tüzel kişisi de olabilmektedir. 

Avukatlar yahut mali müşavirler gibi meslek mensuplarının, işleyecekleri verilerin hangi amaçla işleneceği, ne kadar saklanacağı gibi kanundan doğan sorumlulukları bulunduğundan veri işleyen değil veri sorumlusu olarak kabul edilirler. Çünkü ilgili verilerin işlenme amaçlarının ve yollarının tespit edilmesi ilgili kanunlara göre bu meslek mensuplarının sorumluluğundadır.

Veri İşleyen ve Veri Sorumlusunun Farkları Nelerdir?

Veri işleyen ve veri sorumlusu, Kişisel Verilerin Korunması Kanunu kapsamında tanımlanan iki farklı kavramdır.

Veri işleyen hangi verilerin işleneceği, hangi amaçla işleneceği, ne kadar süre saklanacağı nerede saklanacağı hangi yolla silineceği, üçüncü kişilere aktarım durumu gibi hususlarda değerlendirme yapmaz. Bu hususların değerlendirilmesi, veri sorumlusunun yetkisindedir. 

Veri işleyen ise veri işleme süreçlerinde kullanılacak metotlar yahut araçlar gibi işleme faaliyetinin nasıl yürütüleceğine ilişkin süreçleri yönetmektedir.

Örneğin, bir şirket, müşterilerinden yahut çalışanlarından hangi kişisel verilerin toplanacğaı, bu kişisel verilerin hangi amaçlarla işleneceği yahut ne kadar süreyle saklanacağı gibi hususlara ilişkin değerlendirme yaptığından veri sorumlusu sıfatını taşır. Bu veri sorumlusunun işlediği kişisel verilerin, bir bulut sisteminde depolanması halinde, verilerin saklanmasına ilişkin teknik detaylara karar veren bulut hizmeti şirketi, veri işleyen sıfatını almaktadır.

Veri İşleyen ve İrtibat Kişisinin Farkı Nedir?

İrtibat kişisi; veri sorumlusunun bünyesinde çalışan, Kişisel Verilerin Korunması Kurumu ve veri sorumlusu arasındaki iletişimi sağlayan gerçek kişidir. Aynı şekilde, verisi işlenen ilgili kişiler ile veri sorumlusu arasındaki iletişimi de irtibat kişisi sağlamaktadır. Veri işleyen ise çeşitli veri işleme metotlarını uygulayarak veri işleyen gerçek ya da tüzel kişidir.

Veri Sorumlusu Aynı Zamanda Veri İşleyen Olabilir Mi?

Veri sorumlusu aynı zamanda veri işleyen olabilir. Ancak, bir veri sorumlusu kendi organizasyonu içinde işlenen verileri üzerinde hem veri sorumlusu hem de veri işleyen olamaz. 

Örneğin, bir yazılım şirketi; bir başka şirkete sunduğu hizmetlerde işlediği veriler bakımından veri işleyen sıfatını kazanmaktadır. Aynı yazılım şirketi, kendi çalışanlarının verilerinin hangi amaçlarla, ne kadar süre boyunca işleneceği hususlarını tespit ederken ise veri sorumlusu sıfatını almaktadır.

Aynı şekilde, internet üzerinden yapılan satışlarda kullanılan kargolama yönteminde, kargo şirketi; ulaştıracağı ürünlere ilişkin bilgiler, alıcı adresleri yahut kimlik bilgilerinin işlenmesi konusunda veri işleyen sıfatındadır ve veri sorumlusunun aldığı talimatla hareket eder. Ancak, kargo firmasında çalışanların kişisel verilerinin işlenmesine ilişkin politikanın belirlenmesinde veri sorumlusu sıfatını almaktadır.

Veri İşleyenin Sorumluluğu 

Veri işleyen, kişisel verilerin hukuka aykırı işlenmesini önleme, bu verilere hukuka aykırı olarak erişilmesini önleme ve verilerin muhafazasını sağlama konusunda sorumludur. Bu noktada sorumluluk; veri işleyen ve veri sorumlusu arasında müştereken, birlikte üstlenilmektedir.

Sonuç

Veri işleyen, veri sorumlusu yahut irtibat kişisi gibi kavramlar Kişisel Verilerin Korunması Kanunu hükümlerinde tanımlanmış ve birbiriyle oldukça karıştırılan kavramlardır. Bu kavramların doğru şekilde tespit edilememesi; kanuna aykırı değerlendirmelerini yapılması ve sorumluluğun yanlış kişiye yüklenmesine neden olmaktadır. Veri sorumlusu tarafından yapılan veri işleme süreçlerinde kavram tespitlerinin doğru yapılması için alanda uzman bir veri koruma avukatından danışmanlık almak önemlidir.