Hızlı Cevap: GDPR kapsamında, bir veri sorumlusunun kişisel verilerin neden ve nasıl işleneceğini belirlerken, bir veri işlemcisi yalnızca sorumlu kişinin talimatları doğrultusunda verileri işler. Sorumluluklar önemli ölçüde farklıdır: veri sorumluları en geniş hesap verebilirliğe sahipken, işlemciler yalnızca yasal talimatların dışına çıktıklarında veya kendilerine özel olarak yöneltilen GDPR yükümlülüklerini ihlal ettiklerinde doğrudan sorumluluk taşırlar.
Anahtar Noktalar
- Bir veri sorumlusunun işleme amaçlarını ve araçlarını belirler; bir veri işlemcisi sorumlu adına hareket eder.
- Sorumlular, GDPR kapsamındaki birincil sorumluluğa sahiptir; işlemciler, yalnızca belirli durumlarda Madde 82 uyarınca doğrudan sorumluluk taşır.
- Her iki rol de bir organizasyon içinde aynı anda var olabilir; bir şirket kendi müşterileri için veri sorumlusuyken, başka bir işletme için veri işlemcisi olabilir.
- Bir veri İşleme Sözleşmesi (DPA) imzalamak, bir sorumlu bir işlemci ile çalıştığında zorunludur.
- Alt işlemciler, sorumlu tarafından önceden yazılı onay gerektirir; ana işlemci, alt işlemcinin davranışlarından tamamen sorumludur.
- Rolünüzü yanlış sınıflandırmak, organizasyonunuzu düzenleyici cezalara maruz bırakabilecek bir uyum riskidir.
- Kişisel verileri kendi amaçları için kullanan işlemciler, otomatik olarak o işleme faaliyeti için veri sorumlusuna dönüşür.
- Birleşik Krallık'ın Veri (Kullanım ve Erişim) Yasası 2026, Birleşik Krallık GDPR'sı altında faaliyet gösteren organizasyonların hızlı bir şekilde gözden geçirmesi gereken ek değişiklikler getiriyor.
GDPR Kapsamında Veri Sorumlusu ve Veri İşlemcisi Arasındaki Fark Nedir?
Bir veri sorumlusunun kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen herhangi bir varlık olduğu kabul edilir. Bir veri işlemcisi, bir sorumlu adına kişisel verileri işleyen, yalnızca sorumlu kişinin talimatlarını sıkı bir şekilde izleyen herhangi bir varlıktır [1].
Ayrım, karar verme yetkisine dayanır. Eğer organizasyonunuz verilerin neden toplandığını ve nasıl kullanılacağını belirliyorsa, siz veri sorumlususunuz. Eğer organizasyonunuz yalnızca başka bir varlığın talimatı doğrultusunda verileri işliyorsa ve amacınız üzerinde bağımsız bir söz hakkınız yoksa, siz veri işlemcisiniz.
Pratik örnekler:
| Senaryo | Rol |
|---|---|
| Müşteri satın alma verilerini toplayan bir e-ticaret perakendecisi | Sorumlu |
| O perakendecinin veritabanını depolayan bir bulut barındırma sağlayıcısı | İşlemci |
| Bir işveren için çalışan verilerini işleyen bir bordro SaaS platformu | İşlemci |
| Kendi potansiyel müşteri listesini oluşturan bir pazarlama ajansı | Sorumlu |
| Destek sağlamak için müşteri verilerine erişen bir CRM satıcısı | İşlemci |
ICO, bir sözleşmedeki etiketin rolü belirlemediğini, gerçek davranışın belirlediğini vurgular [1]. Bir sözleşmede "işlemci" olarak adlandırılan bir satıcı, verilerin kullanımına ilişkin bağımsız kararlar alıyorsa, sözleşmenin ne dediğine bakılmaksızın yasal olarak bir veri sorumlusudur.
GDPR Kapsamında Bir Veri Sorumlusunun Ana Sorumlulukları Nelerdir?
Sorumlular, GDPR kapsamında en ağır uyum yükümlülüğünü taşırlar. Veri yaşam döngüsünün tamamından sorumludurlar ve çalıştıkları her işlemcinin GDPR standartlarını karşıladığından emin olmalıdırlar [3].
Temel sorumlu yükümlülükleri şunlardır:
- Her işleme faaliyeti için yasal bir dayanak oluşturmak ve belgelemek
- Veri sahiplerine şeffaf gizlilik bildirimleri sağlamak
- Veri sahiplerinin haklarını, erişim, düzeltme, silme, taşınabilirlik ve itiraz haklarını kolaylaştırmak
- Yüksek riskli işleme faaliyetleri için Veri Koruma Etki Değerlendirmeleri (DPIA) gerçekleştirmek
- Gerektiğinde bir Veri Koruma Görevlisi (DPO) atamak
- İşlemcileri dahil etmeden önce gerekli özeni göstermek ve onların sürekli uyumunu izlemek
- Çalıştıkları her işlemci ile yazılı bir Veri İşleme Sözleşmesi imzalamak [3]
Sorumlular, hesap verebilirliği dışarıya aktaramazlar. Bir işlemci bir ihlale neden olsa bile, sorumlu, işlemciyi seçme ve sözleşmesel korumaların yeterliliği konusunda denetim otoritelerine karşı sorumlu kalır.
GDPR Kapsamında Bir Veri İşlemcisinin Ana Sorumlulukları Nelerdir?
İşlemcilerin doğrudan GDPR yükümlülükleri vardır, yalnızca sözleşmeye dayalı yükümlülükleri değil ve uyumu yalnızca sorumlu kişinin sorunu olarak göremezler [3].
GDPR kapsamındaki doğrudan işlemci yükümlülükleri şunlardır:
- Verileri yalnızca sorumlu tarafından belgelenmiş talimatlar doğrultusunda işlemek
- Uygun teknik ve organizasyonel güvenlik önlemlerini uygulamak
- Sorumlular adına gerçekleştirilen tüm işleme faaliyetlerinin kayıtlarını tutmak
- Herhangi bir veri ihlalini derhal sorumluya bildirmek
- Sorumluya veri sahiplerinin hak taleplerini yerine getirmede yardımcı olmak
- Sözleşme sona erdiğinde tüm kişisel verileri silmek veya iade etmek
- Alt işlemcileri yalnızca sorumlu tarafından önceden yazılı onay ile dahil etmek [3]
"İşlemcilerin GDPR kapsamında doğrudan yükümlülükleri vardır, yalnızca sözleşmesel yükümlülükler değil ve sorumlu kişinin yasal talimatlarının dışına çıktıklarında düzenleyici riskle karşılaşırlar."
Bir Veri İhlali Durumunda Kimin Sorumlu Olduğu: Sorumlu mu İşlemci mi?
Her ikisi de sorumlu olabilir, ancak kapsam farklıdır. GDPR'nın 82. Maddesi uyarınca, bir GDPR ihlalinden zarar gören herhangi bir kişi, sorumlu veya işlemci olan kişiden tazminat talep etme hakkına sahiptir [2].
Sorumlular, GDPR'yı ihlal eden herhangi bir işleme nedeniyle meydana gelen zararlar için sorumludur. İşlemciler, yalnızca kendilerine özel olarak yöneltilen GDPR yükümlülüklerine uymadıklarında veya sorumlu kişinin yasal talimatlarının dışına çıktıklarında sorumlu olurlar [2].
Sorumluluk tahsisi pratikte:
- Eğer bir işlemci, sorumlu tarafından yetersiz güvenlik talimatları verildiği için bir ihlal yaşarsa, sorumlu muhtemelen birincil sorumluluğu taşır.
- Eğer bir işlemci, sorumlu kişinin güvenlik gereksinimlerini göz ardı ederse, işlemci doğrudan sorumluluk taşır.
- Her ikisi de müteselsil olarak sorumlu tutulabilir, yani bir veri sahibi, zararların tamamı için her iki tarafa da başvurabilir ve sorumluluğu kendileri arasında paylaştırabilir.
Bir işlemci, zarara neden olan olay için suçlu olmadığını kanıtlayarak sorumluluktan kurtulabilir [2]. Bu yüksek bir standarttır: işlemci, GDPR yükümlülüklerine tam uyum sağladığını göstermelidir.
Bir Şirket Aynı Anda Hem Sorumlu Hem de İşlemci Olabilir mi?
Evet. Bir organizasyon, bazı işleme faaliyetleri için aynı anda veri sorumlusu ve diğerleri için veri işlemcisi olarak hareket edebilir, hatta aynı iş ilişkisi içinde bile [1].
Örneğin, bir dijital pazarlama ajansı, kendi çalışanlarının İK verilerini yönetirken veri sorumlusudur ve bir müşterinin müşteri verilerini kullanarak reklam kampanyaları yürütürken veri işlemcisidir. Rol, faaliyet bazında belirlenir, şirket bazında değil.
Bir İşlemci Kendi Amaçları İçin Veri Kullanırsa Veri Sorumlusu Olabilir mi?
Bir işlemci, kişisel verileri sorumlu kişinin talimatlarının ötesinde kullanmaya başladığı anda otomatik olarak veri sorumlusuna dönüşür [1]. Bu, pratikteki en önemli yanlış sınıflandırmalardan biridir.
Eğer bir bulut analitik satıcısı, yetki olmadan müşteri verilerini kendi AI modellerini eğitmek için kullanmaya başlarsa, işlemci rolünden çıkmış ve o faaliyet için veri sorumlu statüsünü üstlenmiştir; bu da tüm GDPR yükümlülükleri ve sorumluluk maruziyeti ile birlikte gelir. Hiçbir sözleşme maddesi bu yeniden sınıflandırmayı engelleyemez; bu bir gerçek meselesidir, anlaşma meselesi değil.
Veri İşleme Sözleşmeleri İşlemcileri Sorumluluktan Nasıl Korur?
Bir Veri İşleme Sözleşmesi (DPA), bir sorumlu bir işlemci ile çalıştığında GDPR kapsamında zorunlu bir hukuki belgedir [3]. İşlemciler için, iyi hazırlanmış bir DPA, sorumluluk maruziyetini sınırlamanın birincil mekanizmasıdır.
Uyumlu bir DPA şunları belirtmelidir:
- İşlemenin konusu, süresi, niteliği ve amacı
- İlgili kişisel veri türü ve veri sahiplerinin kategorileri
- Sorumlunun yükümlülükleri ve hakları
- Yetkilendirilmiş personel için gizlilik gereklilikleri
- Uygulanacak güvenlik önlemleri
- Alt işlemcilerin dahil edilmesi için koşullar
- Sözleşme sona erdiğinde verilerin iade edilmesi veya silinmesi için prosedürler [3]
Bir işlemci, DPA'nın kapsamı içinde hareket ettiğinde, ortaya çıkan zararın sorumluluğu esasen sorumluya kayar. Aksine, bir işlemci bu talimatları aşarsa, DPA, sapmanın kanıtı haline gelir ve bir kalkan olmaz.
Bir İşlemci GDPR Kurallarını İhlal Edersen Ne Olur?
GDPR'yı ihlal eden işlemciler, hem düzenleyici para cezaları hem de tazminat için sivil sorumlulukla karşı karşıya kalırlar. Denetim otoriteleri, en ciddi ihlaller için işlemcilere doğrudan idari para cezaları uygulayabilir; bu cezalar 20 milyon EUR veya küresel yıllık cirosunun %4'ü kadar olabilir, hangisi daha yüksekse [2].
Para cezalarının ötesinde, zarar gören veri sahipleri, 82. Madde uyarınca işlemcilerden tazminat talep edebilir. Ayrıca, DPA kapsamında sorumluya karşı sözleşmesel sorumlulukla karşılaşabilirler, bu da tazminat yükümlülüklerini içerir.
İşlemcilerin Kendi Veri Koruma Görevlisine İhtiyacı Var mı?
İşlemciler, sorumlularla aynı DPO atama eşiklerine tabidir. Bir işlemci, bireylerin büyük ölçekli, sistematik izlenmesini gerçekleştiriyorsa veya özel veri kategorilerini veya suç kaydı verilerini büyük ölçekte işliyorsa bir DPO atamak zorundadır [1].
Bir işlemci olmak, bir organizasyonu DPO gerekliliğinden muaf tutmaz. İşlemci olarak hareket eden birçok büyük bulut sağlayıcısı ve SaaS platformu, işledikleri veri hacmi ve hassasiyeti nedeniyle bir DPO bulundurmak zorundadır.
Sorumlular ve İşlemciler Arasındaki GDPR Para Cezalarında Fark Nedir?
GDPR'nın iki aşamalı ceza yapısı, hem sorumlular hem de işlemciler için eşit şekilde uygulanır. Birinci aşama, daha az ciddi ihlalleri kapsar (10 milyon EUR veya küresel cironun %2'sine kadar); ikinci aşama, yasadışı işleme ve veri sahiplerinin haklarına saygı göstermeme gibi en ciddi ihlalleri kapsar (20 milyon EUR veya küresel cironun %4'üne kadar) [2].
İşlemciler için yasal bir indirim yoktur. Ancak, pratikte, denetim otoriteleri, ceza miktarını belirlerken suçluluğu, işbirliğini ve ihlalin niteliğini değerlendirir; bu faktörler, aynı olayda sorumlular ile işlemciler arasında farklı sonuçlar doğurabilir.
Alt İşlemcilerin Ana İşlemcilerden Farklı Sorumluluğu Var mı?
Alt işlemciler, ana işlemcilerle aynı GDPR yükümlülüklerine sahiptir ancak sözleşmesel olarak ana işlemciye bağlıdırlar, doğrudan sorumluya değil. Kritik ayrım: ana işlemci, alt işlemcinin performansından tamamen sorumludur [3].
Eğer bir alt işlemci bir ihlale neden olursa, sorumlu, yasal başvurusunu ana işlemciye karşı yapar. Ana işlemci, alt işlemciyi ayrı olarak takip etmelidir. Alt işlemciler ayrıca, kendi GDPR ihlalleri nedeniyle denetim otoritelerinden doğrudan düzenleyici eylemlerle karşılaşabilirler.
Alt işlemci kuralları özet:
- Herhangi bir alt işlemciyi dahil etmeden önce sorumlu tarafından önceden yazılı onay gereklidir
- Ana işlemci, alt işlemciye eşdeğer veri koruma yükümlülükleri getirmelidir
- Ana işlemci, alt işlemcinin hatasına işaret ederek sorumluluktan kurtulamaz
İşletmeniz İçin Sorumlu mu İşlemci mi Olduğunuzu Nasıl Belirlersiniz?
Belirleme, tek bir soruya dayanır: organizasyonunuz kişisel verilerin işlenme nedenini bağımsız olarak belirliyor mu? Eğer evet ise, siz veri sorumlususunuz. Eğer yalnızca başka bir varlığın talimatı doğrultusunda veri işliyorsanız ve bağımsız bir amacınız yoksa, siz veri işlemcisiniz [1].
Pratik bir karar kontrol listesi:
- Bu verilerin toplanmasına kim karar verdi?
- Verilerin ne amaçla kullanılacağına kim karar verdi?
- Organizasyonunuz verilerin nasıl işlendiği konusunda takdir yetkisine sahip mi, yoksa başka bir tarafın spesifikasyonlarına mı uyuyorsunuz?
- Diğer taraf talimatlarını geri çekerse işleme durur mu?
- Verileri, organizasyonunuza bağımsız olarak fayda sağlayacak bir amaç için mi kullanıyorsunuz?
Eğer bu sorulara verdiğiniz yanıtlar farklı yönlere işaret ediyorsa, siz ortak bir veri sorumlususunuzdur; bu durum, diğer tarafla ayrı bir şeffaflık düzenlemesi gerektirir [1].
Şirketlerin Sorumlu ve İşlemci Rolleriyle İlgili Yaptığı Yaygın Hatalar Nelerdir?
Yanlış sınıflandırma en yaygın hata olup, gerçek uyum sonuçları doğurur. Organizasyonlar sıklıkla, bir sözleşmede "satıcı" veya "hizmet sağlayıcı" olarak adlandırılmanın onları işlemci yaptığı varsayımında bulunurlar, oysa gerçek davranışları onları veri sorumlusuna nitelendirir.
Diğer yaygın hatalar:
- DPA'yı atlamak: Yazılı bir DPA olmadan işlemcileri dahil eden sorumlular, işlemcinin sistemlerinin ne kadar güvenli olduğuna bakılmaksızın GDPR'yı doğrudan ihlal etmiş olurlar.
- Alt işlemcileri denetlememek: Sorumlular, işlemcilerinin yetki olmadan veya eşdeğer sözleşmesel korumalar olmadan alt işlemcileri dahil ettiğini sıklıkla göz ardı ederler.
- İşlemcilerin veri sahipleri haklarını ele aldığını varsaymak: Sorumlular, veri sahiplerinin taleplerine yanıt vermekten sorumludur; işlemciler yalnızca yardımcı olurlar.
- Yeniden sınıflandırma riskini göz ardı etmek: Hizmetlerini genişleten ve müşteri verilerini analiz, model eğitimi veya karşılaştırma için kullanmaya başlayan işlemciler, bu kaymayı fark etmeden veri sorumlusuna dönüşebilirler.
Web siteleri ve dijital mülkler arasında onay ve veri akışlarını yöneten organizasyonlar için, Biscotti CMP gibi bir onay yönetim platformu, sorumluların yasal dayanakları belgelemelerine ve onay kayıtlarını yönetmelerine yardımcı olabilir; bu, GDPR kapsamında sorumlu hesap verebilirliğinin temel bir unsurudur.
Küçük Bir İşletme Sorumlu ve İşlemci Sorumluluklarını Nasıl Yönetmelidir?
Küçük işletmeler, GDPR'nın sorumlu-işlemci çerçevesinden muaf değildir. Eğer bir küçük işletme müşteri verilerini topluyorsa, hatta sadece bir bülten için e-posta adresleri topluyorsa, o bir veri sorumlusudur ve tüm sorumlu yükümlülüklerine uymalıdır.
Küçük işletmeler için pratik adımlar:
- Sizin adınıza kişisel verileri işleyen her araç veya satıcıyı haritalayın (e-posta platformları, analiz araçları, ödeme işlemcileri, CRM'ler).
- Her satıcı ile imzalanmış bir DPA'nın var olup olmadığını doğrulayın.
- Her satıcının DPA'sının GDPR'nın asgari gerekliliklerini karşıladığını kontrol edin.
- İşleme faaliyetlerinizi doğru bir şekilde tanımlayan uyumlu bir gizlilik bildirimi yayınlayın.
- Veri sahiplerinin taleplerine 30 günlük yasal süre içinde yanıt verme sürecini oluşturun.
Birleşik Krallık'ın Veri (Kullanım ve Erişim) Yasası 2026, 19 Haziran 2026'da Kraliyet Onayı almış olup, Birleşik Krallık merkezli küçük işletmelerin güncel sorumlu yükümlülüklerini sağlamak için hukuki danışmanlık ile gözden geçirmesi gereken ek değişiklikler getirmektedir [1].
Sıkça Sorulan Sorular
S: Bir SaaS şirketi her zaman bir işlemci midir? Bir SaaS şirketi, yalnızca müşterileri adına kişisel verileri sıkı bir şekilde işliyorsa işlemcidir ve bağımsız bir amaç için kullanmıyorsa. Eğer müşteri verilerini kendi analizleri, ürün geliştirmesi veya pazarlama amacıyla kullanıyorsa, bu faaliyetler için veri sorumlusuna dönüşür.
S: Bir işlemcinin denetim otoritesine kaydolması gerekir mi? Kayıt gereklilikleri, AB üye devletine göre değişir. Ancak, işlemciler, 250 veya daha fazla çalışan istihdam ediyorlarsa veya işleme, veri sahipleri için bir risk oluşturma olasılığı varsa, GDPR'nın 30. Maddesi uyarınca İç Kayıtlar (RoPA) tutmak zorundadır.
S: Bir işlemci, sorumlu kişinin talimatını reddedebilir mi? Evet, eğer talimatı izlemek, işlemcinin GDPR'yı ihlal etmesine neden olacaksa. Bu durumlarda, işlemci sorumluya bildirimde bulunmalı ve talimat düzeltilmezse ilişkiyi sonlandırması gerekebilir.
S: Ortak veri sorumlusu düzenlemesi nedir? Ortak veri sorumluları, iki veya daha fazla varlığın işleme amaçlarını ve araçlarını ortaklaşa belirlediği durumlarda vardır. Sorumlular, kendi sorumluluklarını şeffaf bir düzenlemede belgelemeli ve bu düzenlemenin özünü veri sahiplerine sunmalıdır [1].
S: Bir DPA ne kadar süre geçerli olmalıdır? Bir DPA, işleme ilişkisi süresince geçerli olmalıdır. Sona erdiğinde, işlemcinin tüm kişisel verileri silme veya iade etme yükümlülüğünü düzenler.
S: İşlemciler, sorumlulara kesilen cezalardan sorumlu mu? Hayır. Cezalar, ihlali gerçekleştiren varlığa karşı uygulanır. Ancak, işlemciler kendi ihlalleri nedeniyle ayrı para cezaları ile karşılaşabilir ve DPA kapsamında sorumlulardan tazminat talepleri ile karşılaşabilirler.
S: GDPR, AB dışındaki işlemcilere uygulanır mı? Evet. GDPR, AB dışındaki işlemcilere, AB merkezli sorumlular adına AB sakinlerinin kişisel verilerini işlediklerinde veya başka bir şekilde GDPR'nın bölgesel kapsamına tabi olduklarında uygulanır.
S: DPA ile Standart Sözleşme Maddeleri arasındaki fark nedir? Bir DPA, yerel düzeyde sorumlu-işlemci ilişkisini düzenler. Standart Sözleşme Maddeleri (SCC'ler), AB/AEA dışındaki üçüncü ülkelere kişisel veri transferi için özel sözleşmesel mekanizmalardır.
Sonuç
Veri Sorumlusu ve İşlemci: GDPR Kapsamında Sorumluluğunuzu Anlamak, soyut bir hukuki egzersiz değildir; bu, kimin düzenleyici cezalara maruz kalacağını, kimin veri sahiplerine tazminat ödeyeceğini ve bir şeyler ters gittiğinde kimin denetim otoritelerine hesap vereceğini belirler. Ayrım, karar verme yetkisi ile ilgili bir gerçek sorusuna dayanır, sözleşme etiketlerine değil.
Eyleme geçirilebilir sonraki adımlar:
- Her işleme faaliyetini ve organizasyonunuzun her birindeki rolünü belirlemek için bir veri haritalama çalışması yapın.
- Çalıştığınız her işlemci ile uyumlu DPA'ların mevcut olduğunu doğrulamak için mevcut satıcı sözleşmelerini denetleyin.
- Alt işlemci düzenlemelerini gözden geçirerek önceden onay alındığından ve eşdeğer yükümlülüklerin getirildiğinden emin olun.
- Farklı faaliyetler arasında hem veri sorumlusu hem de işlemci olarak hareket ediyorsanız, her rolü ayrı olarak belgeleyin.
- Birleşik Krallık organizasyonları için, 2026 Veri (Kullanım ve Erişim) Yasası'nın etkilerini nitelikli hukuki danışmanlık ile gözden geçirin.
- Biscotti CMP gibi bir onay yönetim çözümü kullanarak denetlenebilir onay kayıtlarını sürdürün ve sorumlu yükümlülüklerinizi destekleyin.
Yanlış sınıflandırma bir teknik detay değildir; doğrudan finansal ve itibar kaybı ile sonuçlanabilecek bir uyum açığıdır. Rolleri baştan doğru belirlemek, herhangi bir organizasyonun yapabileceği en maliyet etkin GDPR yatırımıdır.
Referanslar
[1] Sorumlular ve İşlemciler Nedir - https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/controllers-and-processors/controllers-and-processors/what-are-controllers-and-processors/?utm_source=openai
[2] Madde 82 GDPR - https://gdpr-info.eu/art-82-gdpr/?utm_source=openai
[3] Sorumlu ve İşlemci İlişkileri - https://dataprotection.ie/en/organisations/know-your-obligations/controller-and-processor-relationships?utm_source=openai