KVKK'daki hemen her yükümlülük "veri sorumlusu" ile başlar. Aydınlatma metnini o hazırlar, VERBİS'e o kaydolur, cezayı o öder. Buna rağmen çoğu KOBİ'de "bizim veri sorumlumuz muhasebeci" veya "IT'ci" gibi yanlış bir kullanım yerleşmiştir.
Bu yazı üç kavramı ayırır: veri sorumlusu, veri işleyen ve irtibat kişisi. Ardından şirketinizdeki gerçek tedarikçilerle örnek verir.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. Rolünüzü sözleşmelerinizle birlikte bir uzmana doğrulatın.
Kısa cevap
Veri sorumlusu bir roldür, bir unvan değil. 6698 sayılı Kanun'un 3. maddesi onu şöyle tanımlar: kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi.
Yani soru şudur: "Bu veriyi neden ve nasıl işleyeceğimize kim karar veriyor?" Karar veren taraf veri sorumlusudur. Bir limited şirkette bu, şirketin kendisidir; müdür, IT sorumlusu veya muhasebeci değil.
Üç kavram tek tabloda
| Veri sorumlusu | Veri işleyen | İrtibat kişisi | |
|---|---|---|---|
| Kaynak | KVKK md. 3/ı | KVKK md. 3/ğ | VERBİS Yönetmeliği md. 4 |
| Kim olabilir? | Gerçek veya tüzel kişi | Gerçek veya tüzel kişi | Yalnızca gerçek kişi |
| Ne yapar? | Amaç ve araçları belirler | Sorumlunun talimatıyla onun adına işler | Kurum ile iletişimi sağlar |
| Kararı kim verir? | Kendisi | Veri sorumlusu | Karar yetkisi yok |
| VERBİS kaydı | Yükümlüyse kaydolur | Kaydolmaz | Kayıtta bildirilir |
| İdari para cezası | Doğrudan muhatap | Kural olarak muhatap değil; güvenlikte müşterek sorumluluk (md. 12/2) | Kişisel sorumluluğu yok |
| Şirketi temsil eder mi? | Kendisi zaten şirkettir | Hayır | Hayır (Yönetmelik md. 11/4) |
Veri sorumlusu kimdir?
Veri sorumlusu, işleme faaliyetinin "neden" ve "nasıl" sorularına cevap veren taraftır. Müşteri adını CRM'e kaydetmeye karar veren, hangi CRM'in kullanılacağını seçen ve bu kaydın ne kadar tutulacağını belirleyen şirket veri sorumlusudur.
Bu tanımdan üç pratik sonuç çıkar:
- Tüzel kişilik tektir. Şirketin her departmanı ayrı veri sorumlusu değildir; İK, satış ve muhasebe aynı tüzel kişinin parçalarıdır.
- Şahıs işletmesinde veri sorumlusu, işletme sahibi gerçek kişidir. Serbest çalışan bir diyetisyen veya mimar kendi adına veri sorumlusudur.
- Grup şirketlerinde her şirket ayrı veri sorumlusudur. Ortak kullanılan bir İK yazılımı bu durumu değiştirmez; her tüzel kişi kendi çalışanları için ayrı ayrı sorumludur.
Kimlerin ayrıca VERBİS'e kaydolmak zorunda olduğunu KVKK hangi şirketler için zorunlu? yazısında ayrıntılı işledik.
Veri işleyen kimdir?
Veri işleyen, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir (md. 3/ğ). Belirleyici ölçüt şudur: veri işleyen amaç belirlemez, yalnızca talimatı uygular.
Tipik veri işleyenler:
- Bulut sunucu ve barındırma sağlayıcısı
- Bordro hizmeti veren dış firma
- Toplu e-posta / SMS gönderim platformu
- Çağrı merkezi hizmeti veren şirket
- Kamera kayıtlarını uzaktan depolayan güvenlik firması
Veri işleyen "sorumsuz" değildir. Kanun'un 12. maddesinin 2. fıkrası, veri güvenliği tedbirlerinde veri sorumlusu ile veri işleyeni müştereken sorumlu tutar. 12/4 ise her ikisine öğrendikleri verileri amaç dışında kullanmama ve açıklamama yükümlülüğü yükler; bu yükümlülük görevden ayrıldıktan sonra da sürer.
Aynı şirket iki rolde birden olabilir mi?
Evet. Bir bordro firması, müşterisinin çalışan verileri için veri işleyendir. Aynı firma kendi çalışanlarının ve müşteri yetkililerinin verileri için veri sorumlusudur. Rol, faaliyete göre değişir; şirketin unvanına göre değil.
KOBİ örnekleri: kim veri sorumlusu, kim veri işleyen?
| Tedarikçi / ilişki | Rolü | Neden? |
|---|---|---|
| Dış muhasebeci (bordro, SGK bildirimi) | Çoğunlukla veri işleyen | Sizin çalışanlarınızın verisini sizin talimatınızla işler. Ancak mali müşavir, meslek mevzuatından doğan kendi yükümlülükleri için ayrıca veri sorumlusu olabilir; sözleşmeyle netleştirin. |
| Bulut sağlayıcısı (sunucu, e-posta, yedek) | Veri işleyen | Veriyi neden tuttuğunuza karışmaz, yalnızca depolar. |
| Kargo şirketi | Genellikle ayrı veri sorumlusu | Teslimat için alıcı bilgisini kendi mevzuatı ve kendi amaçları için işler; sözleşme yapısına göre değişebilir. |
| Toplu SMS / e-posta platformu | Veri işleyen | Listeyi siz verirsiniz, metni siz yazarsınız; platform gönderir. |
| Bankanız | Ayrı veri sorumlusu | Ödeme verisini kendi yasal yükümlülükleri için işler. |
| Franchise merkezi ↔ bayi | Duruma göre ortak veya ayrı sorumluluk | Amaçları kim belirliyorsa o veri sorumlusudur; sözleşmede yazılmalı. |
| Şirket içi IT sorumlusu | Hiçbiri (çalışan) | Şirketin bir parçasıdır; veri sorumlusu şirketin kendisidir. |
Bu tablo genel eğilimi gösterir. Sınır durumlarında belirleyici olan sözleşmede yazan yetkidir. Belirsiz bıraktığınız her ilişki, bir ihlalde sorumluluğun kime ait olduğu tartışmasına döner.
İrtibat kişisi kimdir, ne değildir?
İrtibat kişisi, Veri Sorumluları Sicili Hakkında Yönetmelik'te tanımlanır. Türkiye'de yerleşik tüzel kişi veri sorumlusunun, Kurum ile kurulacak iletişim için VERBİS kaydı sırasında bildirdiği gerçek kişidir.
Yönetmeliğin 11. maddesinin 4. fıkrası çok net: irtibat kişisi veri sorumlusunu temsile yetkili değildir. Görevi, ilgili kişilerin taleplerinin cevaplandırılması konusunda iletişimi sağlamaktır.
Bu iki sonuç doğurur:
- İrtibat kişisi olmak, o çalışana kişisel hukuki sorumluluk yüklemez. Ceza şirkete kesilir.
- İrtibat kişisi, şirketin KVKK yükümlülüklerini "üstlenmiş" biri değildir. Aydınlatma metni hâlâ şirketin sorumluluğundadır.
İrtibat kişisinin nasıl bildirildiğini VERBİS kaydı nasıl yapılır? rehberinde adım adım anlattık.
Veri sorumlusu temsilcisi ayrı bir kavramdır
Türkiye'de yerleşik olmayan veri sorumluları, Yönetmelik md. 5 uyarınca veri işlemeye başlamadan önce bir veri sorumlusu temsilcisi aracılığıyla Sicile kaydolur. Temsilci, Türkiye'de yerleşik bir tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı bir gerçek kişidir ve irtibat kişisinden farklı olarak asgari konularda temsile yetkilidir. Yurt içi bir KOBİ'nin temsilci atamasına gerek yoktur.
Veri sorumlusunun yükümlülükleri
Rolü doğru belirledikten sonra yükümlülükler netleşir. Ana başlıklar:
| Yükümlülük | Kanun maddesi | Pratikte ne demek? |
|---|---|---|
| Genel ilkelere uyum | md. 4 | Amaçla sınırlı, ölçülü, güncel ve süreli işleme |
| Hukuki sebep | md. 5–6 | Her işleme için açık rıza ya da bir istisna şartı |
| Aydınlatma | md. 10 | Veri toplarken kimlik, amaç, aktarım, hukuki sebep ve hakları bildirmek |
| Veri güvenliği | md. 12 | Teknik ve idari tedbirler, denetim, ihlal bildirimi |
| Başvurulara cevap | md. 13 | En geç 30 gün içinde, ücretsiz |
| VERBİS kaydı | md. 16 | Yükümlüyseniz kayıt ve güncelleme |
| Silme, yok etme, anonim hale getirme | md. 7 | Saklama ve imha politikası, periyodik imha |
Bu tablonun her satırı bir belge veya süreç ister. Hepsini tek sırada gördüğünüz yer KVKK Uyum Rehberi'dir; kendi durumunuzu 5 dakikada görmek için KVKK uyum testini kullanabilirsiniz.
Veri işleyenle sözleşmede neler olmalı?
Kurum'un Kişisel Veri Güvenliği Rehberi (Nisan 2025 baskısı), veri işleyenle ilişkinin yazılı sözleşmeyle yönetilmesini önerir. Rehberin saydığı asgari unsurlar:
- Veri işleyenin yalnızca veri sorumlusunun talimatları doğrultusunda hareket edeceği
- Sözleşmede belirtilen amaç ve kapsamla sınırlı işleme
- Saklama ve imha politikasına uyum
- Süresiz sır saklama yükümlülüğü
- Veri ihlalini veri sorumlusuna derhal bildirme yükümlülüğü
- Aktarılan veri kategori ve türlerinin ayrı bir maddede sayılması
Rehber ayrıca veri sorumlusunun, veri işleyen üzerinde denetim yapma veya yaptırma hakkını saklı tutmasını önerir. Mevcut tedarikçi sözleşmelerinizde bu maddeler yoksa bir ek protokol hazırlatın ve hukukçu kontrolünden geçirin.
Sık yapılan hatalar
- "Veri sorumlumuz IT müdürü." Veri sorumlusu şirkettir. IT müdürü en fazla irtibat kişisi veya süreç sahibi olabilir.
- İrtibat kişisine kişisel sorumluluk yüklemek. Yönetmelik bunu açıkça dışlar; iç yazışmalarda bile bu dili kullanmayın.
- Tedarikçiyi "veri işleyen" sanıp kontrolsüz bırakmak. Veri güvenliğinde müşterek sorumluluk vardır; sözleşme ve denetim şarttır.
- Kargo veya bankayı veri işleyen gibi sözleşmeye yazmak. Kendi amaçları için işleyen taraf ayrı veri sorumlusudur; yanlış nitelendirme aydınlatma metninizdeki "aktarım" bölümünü de bozar.
- Grup şirketlerinde tek VERBİS kaydı. Her tüzel kişi ayrı değerlendirilir.
Pratik ipuçları
- Her tedarikçi için tek satırlık bir not tutun: "Amaç ve aracı kim belirliyor?" Cevap sizseniz o tedarikçi veri işleyendir.
- İrtibat kişisi olarak şirkette uzun süre kalacak ve e-postasını düzenli okuyan birini seçin; Kurum'un yazıları ona gider.
- Veri işleyen listesini kişisel veri envanterinizin "alıcı grupları" sütunuyla eşleştirin. İkisi tutmalıdır.
- Aydınlatma metinlerinizde veri işleyenleri isim isim saymak zorunda değilsiniz, ancak alıcı gruplarını (ör. "bulut hizmet sağlayıcıları") doğru yazmalısınız. Hazır başlangıç için çalışan aydınlatma metni şablonuna bakın; her şablon yayın öncesi uzman kontrolü ister.
Sık sorulan sorular
Veri sorumlusu bir kişi mi, şirket mi?
Tüzel kişilerde veri sorumlusu şirketin kendisidir; belirli bir çalışan değildir. Şahıs işletmelerinde ve serbest meslek erbabında ise işletme sahibi gerçek kişi veri sorumlusudur.
Veri sorumlusu ile veri işleyen arasındaki temel fark nedir?
Veri sorumlusu işlemenin amacını ve araçlarını belirler; veri işleyen bu kararları vermeden, veri sorumlusunun talimatıyla onun adına veriyi işler. Karar yetkisi kimdeyse veri sorumlusu odur.
İrtibat kişisi ceza alır mı?
İrtibat kişisi Kurum ile iletişimi sağlayan gerçek kişidir ve Yönetmelik md. 11/4 uyarınca veri sorumlusunu temsile yetkili değildir. İdari para cezasının muhatabı veri sorumlusu olan şirkettir.
Her şirketin irtibat kişisi olması zorunlu mu?
İrtibat kişisi, VERBİS kaydı sırasında bildirilen bir bilgidir. VERBİS kayıt yükümlülüğünüz varsa irtibat kişisi bildirmeniz gerekir; yükümlü değilseniz Kurum'la iletişim için yine bir sorumlu belirlemeniz iyi uygulamadır ancak Sicil'e bildirim söz konusu olmaz.
Muhasebecim veri sorumlusu mu, veri işleyen mi?
Sizin çalışan ve müşteri verilerinizi sizin talimatınızla işlediği ölçüde veri işleyendir. Mali müşavirlik mevzuatından doğan kendi yükümlülükleri için ise ayrı bir veri sorumlusu olabilir; ilişkiyi sözleşmede tanımlayın ve bir uzmana danışın.
Veri işleyen VERBİS'e kaydolur mu?
Hayır. VERBİS kaydı veri sorumluları için düzenlenmiştir. Veri işleyen, kendi faaliyetleri bakımından veri sorumlusu olduğu alanlar için ayrıca değerlendirilir.
Kaynaklar
- 6698 sayılı Kişisel Verilerin Korunması Kanunu — tam metin (mevzuat.gov.tr) — md. 3, 12, 13, 16
- Veri Sorumluları Sicili Hakkında Yönetmelik — Resmî Gazete 30.12.2017 — md. 4, 5, 11
- Kişisel Veri Güvenliği Rehberi (Teknik ve İdari Tedbirler), KVKK Yayınları No: 72, Nisan 2025 — bölüm 2.5
- Kişisel Verileri Koruma Kurumu
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
