Veri İşleyen

Diğer adları: Data Processor, Hizmet Sağlayıcı

Kısaca

Veri sorumlusunun verdiği yetkiye dayanarak, onun adına ve talimatları doğrultusunda kişisel verileri işleyen gerçek veya tüzel kişi.

Veri işleyen, KVKK’ya göre “veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi”dir (m. 3). Veri işleyen, verileri kendi amaçları için değil, veri sorumlusunun talimatları doğrultusunda ve onun hesabına işler.

Kimler Veri İşleyendir?

Şirketlerin dışarıdan aldığı hizmetlerin önemli bir kısmı veri işleme içerir: bulut ve barındırma hizmetleri, bordro ve muhasebe firmaları, çağrı merkezleri, kargo ve lojistik şirketleri, insan kaynakları yazılımları, e-posta pazarlama platformları ve bilgi teknolojileri destek firmaları tipik veri işleyenlerdir.

Şirketin kendi çalışanları ise veri işleyen değildir; şirketin organizasyonu içinde ve onun adına hareket ederler. Aynı şekilde, bir hizmet sağlayıcı verileri kendi amaçları için de kullanmaya başlarsa, örneğin müşteri listesini kendi pazarlamasında kullanırsa, o işleme bakımından artık veri işleyen değil, ayrı bir veri sorumlusudur.

Sorumluluk Kimde?

Veri sorumlusu, verilerin kendi adına başka biri tarafından işlenmesi hâlinde, veri güvenliğine ilişkin tedbirlerin alınması konusunda veri işleyenle birlikte müştereken sorumludur (KVKK m. 12). Bu nedenle hizmet sağlayıcının seçilmesi, denetlenmesi ve onunla yapılan sözleşme, veri sorumlusunun kendi uyumunun bir parçasıdır. Veri işleyende yaşanan bir ihlal bakımından Kurul’a ve ilgili kişilere bildirim yükümlülüğü de veri sorumlusuna aittir; ayrıntılar için Kişisel Veri İhlalinde İlk 72 Saat rehberimize bakabilirsiniz.

Veri İşleme Sözleşmesinde Neler Olmalı?

Hangi verilerin, hangi amaçla ve ne süreyle işleneceği,
Veri işleyenin yalnızca veri sorumlusunun talimatlarıyla hareket edeceği,
Alınacak teknik ve idari tedbirler ve veri sorumlusunun denetim hakkı,
Alt veri işleyen kullanılmasının izne bağlanması,
Veri ihlallerinin ne kadar sürede ve hangi bilgilerle bildirileceği,
Hizmet sona erdiğinde verilerin iadesi veya silinmesi.

Veri işleyen yurt dışındaysa ya da verileri yurt dışındaki sunucularda tutuyorsa, yurt dışına veri aktarımı kuralları da uygulanır ve çoğu durumda standart sözleşme imzalanması gerekir.

Sık Sorulan Sorular

Veri işleyenle sözleşme yapmak zorunlu mu?

KVKK açıkça bir sözleşme şekli öngörmez; ancak veri sorumlusu veri güvenliği bakımından veri işleyenle müştereken sorumlu olduğundan, talimatların, tedbirlerin ve ihlal bildiriminin yazılı bir sözleşmeyle düzenlenmesi uygulamada vazgeçilmezdir.

Veri işleyen VERBİS'e kaydolmalı mı?

VERBİS kayıt yükümlülüğü veri sorumlularına yöneliktir. Bir şirket başka bir şirket adına veri işlerken veri işleyen, kendi çalışanlarının verileri bakımından ise veri sorumlusudur.

← Tüm Kavramlar