Veri Sorumlusu Sıfatı Nasıl Belirlenir, Veri İşleyenden Farkı Nedir

6698 sayılı Kişisel Verilerin Korunması Kanunu, yükümlülüklerin neredeyse tamamını veri sorumlusuna yükler. Kanunun 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amacını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu kişidir; veri işleyen ise onun verdiği yetkiye dayanarak onun adına veri işler. Sıfat, sözleşmedeki adlandırmayla değil gerçek karar yetkisiyle belirlenir. Kişisel Verileri Koruma Kurulunun 30.01.2020 tarihli ve 2020/71 sayılı kararı veri işleyenin tespitinde şu ölçütleri sayar: veri işlemek için başkasından talimat alınması, verilerin toplanmasında karar yetkisinin bulunmaması, kullanım amaçlarının belirlenmemesi, verilere kimlerin erişeceğine ve saklama sürecine karar verilememesi. Kanunun 12. maddesinin ikinci fıkrası, verinin başkasına işlettirilmesi hâlinde tedbirlerin alınmasından veri sorumlusunun müştereken sorumlu olduğunu düzenler; sorumluluk sözleşmeyle tedarikçiye devredilemez.

VERBİS Kayıt Ölçütleri ve Kurulun Getirdiği İstisnalar

Kanunun 16. maddesi, kişisel veri işleyenlerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını kural olarak zorunlu tutar; aynı fıkra Kurulca istisna getirilebileceğini öngörür. Sicile kayıt yükümlülüğünün ölçütleri Kurulun 19.07.2018 tarihli ve 2018/87 sayılı kararıyla belirlenmiş, karar sonradan değiştirilmiştir. Kurulun 06.07.2023 tarihli ve 2023/1154 sayılı kararı mali bilanço sınırını 25 milyon TL'den 100 milyon TL'ye çıkarmış; 04.09.2025 tarihli ve 2025/1572 sayılı karar ise güncel ölçütü şöyle düzenlemiştir: bilanço esasına göre defter tutan ve yıllık çalışan sayısı 50'den az, yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları kayıttan istisnadır. Ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumlularında bu sınırlar 10 çalışan ve 10 milyon TL'dir. Bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısı ölçütü uygulanır (Kurulun 25.12.2025 tarihli ve 2025/2393 sayılı kararı). Kurulun 02.04.2018 tarihli ve 2018/32 sayılı kararıyla bazı veri sorumluları kayıttan istisna tutulmuştur. Kurul, 28.05.2020 tarihli ve 2020/429 sayılı kararında 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatların bu kapsamda olduğunu belirtmiştir. Aynı kararla dernek, vakıf ve sendikalar da yalnızca kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik veri işlemeleri koşuluyla istisna edilmiş; Kurul 26.11.2019 tarihli ve 2019/353 sayılı kararında bu sayımın sınırlı olduğunu belirtmiştir. İstisna yalnızca Sicile ilişkindir.

Aydınlatma, Veri Güvenliği ve Yetmiş İki Saatlik İhlal Bildirimi

Sicilden bağımsız olarak üç yükümlülük her veri sorumlusunu bağlar. Birincisi 10. maddedeki aydınlatmadır. 2020/71 sayılı kararda aydınlatmanın ilgili kişinin onayına bağlı olmadığı, tek taraflı beyanla yerine getirilebileceği ve ispat yükünün veri sorumlusunda olduğu belirtilmiştir. İkincisi 12. maddedeki veri güvenliğidir. Kurulun 20.04.2021 tarihli ve 2021/407 sayılı kararında, hasta dosyalarının arşivden çıkarılmasıyla 789 hastanın verisinin etkilendiği olayda ihlalin ancak on yedi gün sonra fark edilmesi, arşive yetkisiz girişlerin engellenmemesi ve özel nitelikli veri işleyen çalışanlara düzenli eğitim verilmemesi ayrı ayrı ihlal sayılmış; 18. maddenin birinci fıkrasının (b) bendi uyarınca 150.000 TL idari para cezası verilmiştir. Üçüncüsü 12. maddenin beşinci fıkrasındaki ihlal bildirimidir. Hüküm "en kısa sürede" der; bu ifade Kurulun 24.01.2019 tarihli ve 2019/10 sayılı kararıyla, ihlalin öğrenilmesinden itibaren 72 saat olarak yorumlanmıştır.

İdari Para Cezasının Denetimi Artık İdare Mahkemesinde

Görev bakımından 2024'te esaslı bir değişiklik olmuştur. Kanunun 18. maddesine 2/3/2024 tarihli ve 7499 sayılı Kanunun 35. maddesiyle eklenen üçüncü fıkra, Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılabileceğini hükme bağlamıştır. Önceki yol sulh ceza hâkimliğine itirazdı; uyuşmazlık artık idari yargıda, iptal davası usulüyle çözülür. Kişilik hakkı ihlalinden doğan tazminat talepleri Kurulun görev alanı dışındadır; Kanunun 14. maddesinin üçüncü fıkrası bu hakkın genel hükümlere göre saklı olduğunu belirtir. Bu davalar adli yargıda, kural olarak davalının yerleşim yeri asliye hukuk mahkemesinde açılır. Üçüncü yol cezadır. Kanunun 17. maddesi, kişisel verilere ilişkin suçlar bakımından Türk Ceza Kanunu'nun 135 ila 140. maddelerinin uygulanacağını düzenler; Kurula yapılan şikâyet ceza soruşturmasının yerine geçmez ve üç sürecin paralel yürümesi mümkündür.

Başvuru, Şikâyet ve Kurul Kararına Uyum Süreleri

İlgili kişi taleplerini önce veri sorumlusuna iletmek zorundadır. Kanunun 13. maddesinin ikinci fıkrasına göre veri sorumlusu, talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz sonuçlandırır; maliyet gerektiren işlemlerde Kurulca belirlenen tarifedeki ücret alınabilir. Kurula şikâyet süresi 14. maddededir: başvurunun reddi, cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâllerinde ilgili kişi, veri sorumlusunun cevabını öğrendiği tarihten itibaren otuz ve her hâlde başvuru tarihinden itibaren altmış gün içinde şikâyette bulunabilir. Başvuru yolu tüketilmeden şikâyet yoluna gidilemez. Kanunun 15. maddesine göre veri sorumlusu, Kurulun istediği bilgi ve belgeleri on beş gün içinde göndermek zorundadır; şikâyetten itibaren altmış gün içinde cevap verilmezse talep reddedilmiş sayılır. Kurul kararı ise tebliğden itibaren en geç otuz gün içinde yerine getirilir; buna uyulmaması 18. maddenin (c) bendi kapsamında ayrı bir kabahattir.

Uyum Çalışmasında Öncelik Sırası

Uyumda sıralama önemlidir. Önce veri envanteri çıkarılır ve her işleme faaliyeti için 5. veya 6. maddedeki hukuki sebep belirlenir; açık rıza son çare olarak kullanılır. Ardından aydınlatma metinleri Sicile beyan edilen bilgilerle uyumlu hâle getirilir, saklama ve imha politikası yazılır, veri işleyenlerle sözleşmeler güncellenir. İhlal müdahale planı önceden kurulmazsa, ihlal anında 72 saatlik süre kaçırılır.

Sık sorulan sorular

Veri sorumlusu ile veri işleyen arasındaki fark nedir?

6698 sayılı Kanun'un 3. maddesine göre veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen kişidir. Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen kişidir. Sıfat sözleşmedeki unvana göre değil, verinin toplanması, kullanımı ve saklanmasındaki fiilî karar yetkisine bakılarak belirlenir.

VERBİS kaydından muaf olanlar kimlerdir?

Kişisel Verileri Koruma Kurulu kararları doğrultusunda 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar VERBİS kaydından istisna tutulmuştur. Ayrıca dernek, vakıf ve sendikalar da yalnızca kendi çalışanları, üyeleri ve bağışçılarına yönelik veri işlemeleri koşuluyla Sicile kayıt yükümlülüğünden muaftır. Bu istisna yalnızca Sicile kayıt yükümlülüğünü kapsar; aydınlatma ve veri güvenliği yükümlülükleri devam eder.

Veri ihlali gerçekleştiğinde bildirim kaç saat içinde yapılmalıdır?

6698 sayılı Kanun'un 12. maddesinin beşinci fıkrasındaki en kısa sürede bildirim şartı, Kurul kararıyla 72 saat olarak belirlenmiştir. Veri sorumlusu, veri ihlalini öğrendiği tarihten itibaren 72 saat içinde Kişisel Verileri Koruma Kuruluna bildirimde bulunmak zorundadır.

KVKK idari para cezalarına karşı nereye başvurulur?

6698 sayılı Kanun'un 18. maddesine 7499 sayılı Kanun'la eklenen üçüncü fıkra uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılır. 2024 yılından önceki sulh ceza hâkimliğine itiraz usulü değiştirilmiş olup uyuşmazlık artık idari yargıda iptal davası yoluyla çözülür.

KVKK kapsamında Kurula şikâyet süresi ne kadardır?

İlgili kişi Kurula şikâyette bulunmadan önce mutlaka veri sorumlusuna başvurmak zorundadır. Veri sorumlusunun cevabının öğrenildiği tarihten itibaren 30 gün ve her hâlde başvuru tarihinden itibaren 60 gün içinde Kurula şikâyette bulunulabilir.

Veri sorumlusu ilgili kişinin başvurusuna kaç gün içinde cevap vermelidir?

6698 sayılı Kanun'un 13. maddesinin ikinci fıkrasına göre veri sorumlusu, ilgili kişinin taleplerini niteliğine göre en kısa sürede ve en geç 30 gün içinde ücretsiz olarak sonuçlandırmak zorundadır. İşlemin ayrıca bir maliyet gerektirmesi hâlinde Kurulca belirlenen tarifedeki ücret talep edilebilir.

Kaynaklar

Bu yazı genel bilgilendirme amaçlıdır; hukuki mütalaa niteliği taşımaz.