Veri işleyen

Kapsam

Tanımın üç unsuru vardır: veri sorumlusundan ayrı bir gerçek ya da tüzel kişi olmak, veri sorumlusunun verdiği yetkiye dayanmak ve işlemeyi onun adına yapmak (m. 3/1-ğ). Veri işleyen, öğrendiği kişisel verileri Kanuna aykırı olarak başkasına açıklayamaz ve işleme amacı dışında kullanamaz; bu yükümlülük görevden ayrıldıktan sonra da sürer (m. 12/4). Veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınmasından bu kişiyle birlikte müştereken sorumludur (m. 12/2). 7499 sayılı Kanunla değişen m. 9 uyarınca veri işleyenler de Kanundaki şartlarla yurt dışına veri aktarabilir; Kurulca ilan edilen standart sözleşmeye dayanan aktarımda sözleşme, imzalanmasından itibaren beş iş günü içinde Kuruma bildirilir ve bu bildirimi yapmayan veri işleyen hakkında da idari para cezası öngörülmüştür (m. 9/5, 18).

Uygulamadaki önemi

Dış hizmet alınan durumlarda taraflar arasındaki sözleşmede işlemenin konusu ve kapsamı, veri sorumlusunun talimatları, alınacak güvenlik tedbirleri, alt yüklenici kullanımı, veri ihlalinin bildirilmesi ve sözleşme sonunda verilerin iadesi veya silinmesi açıkça düzenlenmelidir. Hizmet sağlayıcı verileri kendi amaçları için de kullanmaya başlarsa, bu kullanım bakımından artık veri işleyen değil, veri sorumlusu gibi değerlendirilebilir ve Kanundaki yükümlülükler kendisine yönelir.

Karıştırılan kavramlar

Veri işleyen ile veri sorumlusu arasındaki fark, kararı kimin verdiğidir: amaç ve araçları belirleyen veri sorumlusu, bu çerçevede onun adına işlem yapan veri işleyendir. Veri işleyen, “kişisel verilerin işlenmesi” kavramıyla da karıştırılmamalıdır: işleme, verinin elde edilmesinden kaydedilmesine, depolanmasına ve aktarılmasına kadar her türlü işlemi anlatan bir faaliyettir (m. 3/1-e) ve veri sorumlusu da veri işler; “veri işleyen” ise belirli bir hukukî konumu ifade eder.