Veri sorumlusu ve veri işleyen ayrımı, bir kişisel veri işleme faaliyetinde amacı ve araçları kimin belirlediğini, kimin ise yalnızca aldığı talimatla hareket ettiğini ortaya koyan hukuki bir sınıflandırmadır. Bu ayrım teknik bir ayrıntı değildir; bir veri ihlali yaşandığında hukuki sorumluluğun kimin üzerinde olduğunu doğrudan belirler.

Veri sorumlusu ‘neden ve nasıl’ işleneceğine karar veren taraftır; veri işleyen ise yalnızca bu kararı, verilen talimat sınırında hayata geçirendir.

Rolleri Neyin Belirlediği

Belirleyici soru, verinin hangi amaçla işleneceğine kimin karar verdiğidir. Bir e-ticaret şirketi müşteri verisini kendi satış amacı için toplar ve saklar; o veri sorumlusudur. Bu şirketin faturalarını basan bulut yazılımı ya da çağrı merkezi hizmeti veren firma ise yalnızca müşterinin talimatı doğrultusunda çalıştığı için veri işleyendir. İşleyen, kendi inisiyatifiyle veriyi başka bir amaçla kullanamaz.

Bu roller KVKK çerçevesinde tanımlanır ve her rolün yükümlülükleri farklıdır. Veri sorumlusu, işlemenin hukuka uygunluğundan ve veri sahibine karşı ilk muhataplıktan sorumluyken; veri işleyen, kendisine emanet edilen veriyi güvende tutmak ve talimat dışına çıkmamakla yükümlüdür.

Sözleşmeyle Kurulan İlişki

Sorumlu ile işleyen arasındaki ilişki sözlü bir anlaşmaya bırakılamaz; aralarında verinin hangi amaçla, hangi güvenlik önlemleriyle ve ne kadar süre işleneceğini belirleyen yazılı bir düzenleme bulunmak zorundadır. Bu düzenleme, işleyenin verdiği hizmeti bir başkasına devrettiğinde bile zincirin kırılmamasını güvence altına alır.

Ayrımın doğru kurulması, kurumun Aydınlatma yükümlülüğü ve açık rıza süreçlerini de etkiler; çünkü veri sahibine kimin, hangi amaçla ve hangi paydaşlarla verisini işlediğini şeffaf biçimde açıklama görevi veri sorumlusuna aittir. İşleyenler bu metinde açıkça belirtilmelidir.

İhlal Anında Sorumluluk

Bir sızıntı yaşandığında ilk hesap verecek taraf genellikle veri sorumlusudur, ancak işleyen kendi kusurundan doğan zarardan da sorumlu tutulabilir. Veri ihlali bildirimi yükümlülüğü kural olarak sorumluya aittir; işleyen ise ihlali fark ettiğinde durumu gecikmeksizin sorumluya haber vermekle görevlidir. Bu bildirim zincirinin sözleşmede önceden tanımlanması, kriz anında zaman kaybını önler.

Büyük kurumlarda bu rol dağılımını takip etmek ve sözleşmelerdeki güvenlik yükümlülüklerini denetlemek genellikle Veri koruma görevlisi tarafından yürütülür. İşleyenlerin verdiği taahhütlerin sahada gerçekten karşılığı olup olmadığını görmek için sistem mimarilerinin incelenmesi gerekir; Altyapı ve mimari gözden geçirme hizmetimiz veri akışının sorumlu ile işleyen arasında nasıl dolaştığını görünür kılar.