Veri Sorumlusu

Veri sorumlusu, KVKK’ya göre “kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi”dir (m. 3). Kanun’daki yükümlülüklerin neredeyse tamamı veri sorumlusuna yöneliktir; bu nedenle bir veri işleme faaliyetinde kimin veri sorumlusu olduğunu doğru belirlemek, uyumun ilk adımıdır.

Veri Sorumlusunu Nasıl Belirleriz?

Belirleyici soru, verilerin neden ve nasıl işleneceğine kimin karar verdiğidir. Verileri fiilen tutan veya sistemi işleten kişi değil, işlemenin amacını ve temel araçlarını belirleyen kişi veri sorumlusudur. Örneğin çalışanlarının bordrosunu bir muhasebe firmasına hazırlatan şirket, bu verilerin veri sorumlusudur; muhasebe firması ise şirket adına veri işleyen veri işleyendir.

Şirketlerde veri sorumlusu, tüzel kişiliğin kendisidir. Departmanlar veya çalışanlar ayrı birer veri sorumlusu ya da veri işleyen değildir; şirketin organizasyonu içinde onun adına hareket ederler. Grup şirketlerinde ise her şirket ayrı bir tüzel kişi olduğundan, kendi işlediği veriler bakımından ayrı bir veri sorumlusudur ve şirketler arası veri paylaşımı da bir aktarımdır.

Temel Yükümlülükler

• Her işleme faaliyeti için bir işleme şartına dayanmak (açık rıza, meşru menfaat, sözleşmenin ifası, hukuki yükümlülük ve diğerleri),
• Verilerin elde edilmesi sırasında aydınlatma yükümlülüğünü yerine getirmek,
• Verilerin güvenliği için gerekli teknik ve idari tedbirleri almak ve veri ihlallerini Kurul’a ve ilgili kişilere bildirmek,
• Şartları sağlıyorsa Veri Sorumluları Siciline (VERBİS) kaydolmak,
• İlgili kişilerin başvurularını en geç otuz gün içinde yanıtlamak,
• Verileri işleme amacının gerektirdiği süre kadar saklamak ve sonra silmek, yok etmek veya anonim hâle getirmek.

Yurt Dışındaki Veri Sorumluları

KVKK, Türkiye’de yerleşik olmayan veri sorumlularını da Türkiye’deki kişilerin verilerini işledikleri ölçüde kapsar. Bu şirketler VERBİS’e kayıt olurken Türkiye’de bir veri sorumlusu temsilcisi atamakla yükümlüdür.