Veri Sorumlusu mu Veri İşleyen mi? GDPR'da Rol Tespiti Nasıl Yapılır?

Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi veri sorumlusudur (GDPR m. 4(7)). Bu kararları başkasının talimatıyla uygulayan taraf ise veri işleyendir (GDPR m. 4(8)). Belirleyici olan sözleşmede yazan sıfat değil, karar yetkisinin fiilen kimde olduğudur.

Bu ayrım, GDPR ve KVKK uyumunun geri kalanını taşıyan yapıdır. Yanlış tespit edilmiş bir rol; yanlış sözleşmeyi, yanlış aydınlatma metnini, yanlış ihlal bildirim zincirini ve nihayetinde yanlış tarafa kesilen cezayı beraberinde getirir.

Veri sorumlusu ve veri işleyen tam olarak nedir?

GDPR m. 4(7) veri sorumlusunu, "tek başına veya başkalarıyla birlikte kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen" gerçek veya tüzel kişi olarak tanımlar. Tanımın kalbi "belirleme" fiilidir: veri sorumlusunun kararı, verinin neden ve nasıl işleneceğini ortaya koyar.

GDPR m. 4(8) ise veri işleyeni, kişisel verileri "veri sorumlusu adına" işleyen taraf olarak tanımlar. Buradaki "adına" ifadesi, bağımsız bir amaç izlememeyi anlatır. Veri işleyen günlük operasyonel kararlar alabilir, ancak izlenen amacı değiştiremez.

Örneğin; başka şirketlere hizmet veren bir yazılım firmanız olduğunu ve müşterinizin, çalışanları için sisteminizde hesaplar oluşturduğunu varsayalım. Bu senaryoda veri sorumlusu (hangi verinin, ne amaçla ve nasıl işleneceğine karar veren taraf) yazılımı satın alan müşterinizdir. Siz ise onlar adına hareket eden veri işleyen konumundasınızdır.

Yazılımın sahibi olmanız sebebiyle veri sorumlusunun siz olduğunuz yanılgısına sıkça düşülür. Oysa çalışan verilerinin hangilerinin, hangi gerekçeyle ve nasıl işleneceğine siz değil, hizmeti satın alan şirket karar verdiği için hukuken veri sorumlusu o şirkettir.

Rol tespiti için üç soruluk test

Pratikte şu üç soruyu sırayla sormak, vakaların büyük çoğunluğunu çözer.

1. Bu işleme faaliyetinin amacını kim belirledi? Verinin neden işlendiğine karar veren taraf, hemen her zaman veri sorumlusudur. Amaç üzerinde karar yetkisi olmayan bir taraf veri sorumlusu olamaz.

2. Temel araçlara kim karar verdi? GDPR'ın "araçlar" kavramı ikiye ayrılır. Temel araçlar, işlemenin özüne dokunan kararlardır: hangi veri kategorileri toplanacak, kimlere aktarılacak, ne kadar süre saklanacak, hangi kişiler erişecek. Bunlar veri sorumlusuna aittir. Teknik araçlar ise uygulama düzeyindeki kararlardır: hangi şifreleme algoritması, hangi sunucu mimarisi, hangi yedekleme yöntemi.

Bu ikinci ayrım pratikte en sık atlanan noktadır. Bir banka arşiv verisini saklaması için bir bilgi teknolojileri firmasıyla çalıştığında, o firma verinin güvenli ve erişilebilir biçimde nasıl saklanacağına dair kendi teknik uzmanlığını ve mesleki muhakemesini yoğun biçimde kullanır. Buna rağmen firma veri işleyen olarak kalır, çünkü verinin hangi amaçla kullanılacağı ve ne kadar süre saklanacağı üzerindeki münhasır kontrol bankadadır. Teknik karar serbestisi, rol değiştirmez.

3. Hizmet sağlayıcı kendi mesleki yükümlülüğü altında mı çalışıyor? Bu, üçüncü ve en az bilinen kriterdir. Bir şirket muhasebe işlerini bir mali müşavire devrettiğinde, mali müşavir müşterinin talimatlarıyla sınırlı hareket etmez; kendi mesleki sorumluluk rejimine tabidir. Kayıtlar üzerinde çalışırken bir usulsüzlük tespit ederse, bunu müşterinin talimatına rağmen ilgili mercilere bildirmek zorunda kalabilir. Bu noktada müşterinin değil kendi yükümlülüğünün gereğini yapıyordur ve dolayısıyla veri sorumlusu sıfatıyla hareket eder.

Bunun pratik sonucu şudur: kendi mesleki yükümlülükleri doğrultusunda veri işleyen bir hizmet sağlayıcı, müşterisiyle veri işleyen sözleşmesi imzalayarak veya veri sorumluluğunu müşteriyle paylaşarak bu sıfattan kurtulamaz.

Sözleşmede "veri işleyen" yazması rolü belirler mi?

Hayır. Rol tespiti maddi bir değerlendirmedir, sözleşmesel bir etiketleme değildir. Avrupa Birliği Adalet Divanı, Google Spain kararında veri sorumlusu kavramını "veri sahiplerinin etkili ve eksiksiz korunmasını" sağlamak amacıyla geniş yorumlamış ve bir arama motorunun, üçüncü kişilerin yayımladığı içerikleri erişilebilir kılmasının kendi başına belirleyici bir faaliyet olduğunu tespit etmiştir.

GDPR bu geniş yorumu bir yaptırım kuralına da bağlamıştır. m. 28(10) uyarınca, bir veri işleyen işleme amaçlarını ve araçlarını kendisi belirleyerek Tüzüğü ihlal ederse, o işleme bakımından veri sorumlusu sayılır. Yani veri işleyen, verdiği talimatın dışına çıktığı ölçüde otomatik olarak veri sorumlusu konumuna geçer ve veri sorumlusunun tüm yükümlülükleriyle karşı karşıya kalır.

Aynı mantık sorumluluk hukukuna da yansır. GDPR m. 82(2) uyarınca veri işleyen yalnızca kendisine özgü yükümlülükleri ihlal ettiğinde veya veri sorumlusunun hukuka uygun talimatlarının dışına çıktığında tazminat sorumluluğu taşır. Ancak m. 82(4), aynı işlemeye dâhil birden fazla tarafın bulunduğu hâllerde her birinin zararın tamamından sorumlu tutulmasını öngörür. İlgili kişi karşısında sorumluluk zinciri, iç sözleşmedeki paylaşımdan bağımsız işler.

Ortak veri sorumluluğu ne zaman doğar?

İki veya daha fazla taraf işleme amaçlarını ve araçlarını birlikte belirliyorsa ortak veri sorumlusudurlar (GDPR m. 26). Bu durumda taraflar, özellikle ilgili kişinin haklarını kullanması ve aydınlatma yükümlülüğü bakımından sorumluluk dağılımını şeffaf biçimde belirleyen bir düzenleme yapmak zorundadır. Ancak m. 26(3) uyarınca ilgili kişi, bu düzenlemenin içeriğine bakılmaksızın haklarını taraflardan her birine karşı kullanabilir.

Ortak veri sorumluluğunun sınırları, uygulamada en tartışmalı alanlardan biridir ve ayrı bir incelemeyi hak eder.

Güncel gelişme: tanımlar değişiyor mu?

Avrupa Komisyonu'nun 19 Kasım 2025'te yayımladığı Digital Omnibus paketi, GDPR'ın kişisel veri tanımında bağlama dayalı bir kimliklendirilebilirlik testi öngörüyor. Paketin yapay zekâya ilişkin ayağı Konsey tarafından 29 Haziran 2026'da kabul edildi; GDPR ve ePrivacy'yi ilgilendiren veri ayağı ise hâlen müzakere aşamasında. Kişisel veri tanımının değişmesi hâlinde, m. 28(10)'un işleyişi ve taraflardan birinin GDPR kapsamı dışında kaldığı ortak sorumluluk yapıları belirsizleşebilir.

GDPR ile KVKK arasındaki fark

Rol tespiti bakımından iki rejim yüzeyde benzer, yapıda ayrışır.

• Tanım farkı. KVKK m. 3(1)(ı) veri sorumlusunu, işleme amaçlarını ve vasıtalarını belirlemenin yanında veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişi olarak tanımlar. GDPR m. 4(7)'de bu ikinci unsur yoktur. Sonuç, KVKK'daki tanımın bir kayıt sistemine bağlanması ve bu ölçüde daha dar olmasıdır. Veri işleyen tanımı da farklıdır: GDPR "adına işleyen" derken KVKK m. 3(1)(ğ) "veri sorumlusunun verdiği yetkiye dayanarak onun adına işleyen" ifadesini kullanır ve yetki devrini açıkça arar.

• KVKK'da ortak veri sorumluluğu yoktur. GDPR m. 26'nın karşılığı Kanun'da bulunmamaktadır. Amacı ve vasıtaları birlikte belirleyen iki taraf, KVKK bakımından iki ayrı veri sorumlusu olarak değerlendirilir.

• Talimat dışına çıkma sonucu düzenlenmemiştir. GDPR m. 28(10), amacı ve araçları kendisi belirleyen işleyeni o işleme bakımından veri sorumlusu sayar. KVKK'da bu otomatik dönüşüm kuralı yoktur.

• Sorumluluk dağılımı terstir. GDPR m. 82(2) veri işleyenin tazminat sorumluluğunu kendi yükümlülükleriyle ve talimat dışına çıkma hâliyle sınırlar. KVKK m. 12(2) ise veri sorumlusunu, verinin kendi adına başkası tarafından işlenmesi hâlinde güvenlik tedbirleri bakımından o kişiyle müştereken sorumlu tutar. Bu noktada KVKK daha serttir.

• İdari para cezası yalnızca veri sorumlusuna kesilir. KVKK m. 18(2) uyarınca Kanun'daki idari para cezaları kural olarak veri sorumlusuna uygulanır; veri işleyene uygulanabilen tek ceza, m. 9(5)'teki standart sözleşme bildirim yükümlülüğüne aykırılıktır. GDPR'da ise veri işleyen doğrudan ceza muhatabı olabilir. Türkiye'de faaliyet gösteren bir veri işleyen için bu, GDPR kapsamına girdiği anda maruz kaldığı riskin niteliksel olarak değiştiği anlamına gelir.

Sıkça Sorulan Sorular

1. Bir şirket aynı anda hem veri sorumlusu hem veri işleyen olabilir mi? Evet. Rol, kuruluşa değil işleme faaliyetine bağlıdır. Bir bulut yazılım sağlayıcısı, müşteri verileri bakımından veri işleyen, kendi çalışanlarının özlük verileri ve kendi pazarlama faaliyetleri bakımından veri sorumlusudur.

2. Veri işleyen, hizmet verdiği verileri kendi ürününü geliştirmek için kullanabilir mi? Kullandığı anda bağımsız bir amaç belirlemiş olur ve o işleme bakımından GDPR m. 28(10) uyarınca veri sorumlusu sayılır. Böyle bir kullanım isteniyorsa, ayrı bir hukuki dayanağa ve ayrı bir şeffaflık katmanına ihtiyaç vardır.

3. Grup şirketleri arasında veri paylaşımında roller nasıl belirlenir? Otomatik bir kural yoktur. Her aktarım için amaç ve temel araçlara kimin karar verdiği ayrıca değerlendirilir. Ana şirketin talimatıyla hareket eden bir bağlı ortaklık veri işleyen, kendi ticari amacını izleyen bir bağlı ortaklık ise veri sorumlusu olur.

4. Rol tespiti yanlış yapılırsa ne olur? En sık sonuç, yanlış sözleşme türünün imzalanmasıdır. Bu durumda GDPR m. 28(3)'te sayılan zorunlu unsurlar eksik kalır ve m. 83(4) uyarınca 10 milyon avroya veya küresel yıllık cirosunun %2'sine kadar idari para cezası gündeme gelebilir. İkinci sonuç, aydınlatma yükümlülüğünün hiç yerine getirilmemiş olmasıdır.

5. Veri işleyenin talimatı hukuka aykırı bulması hâlinde ne yapması gerekir? GDPR m. 28(3) son fıkrası uyarınca veri işleyen, bir talimatın Tüzüğü veya ilgili mevzuatı ihlal ettiği kanaatindeyse bunu derhâl veri sorumlusuna bildirmekle yükümlüdür.

KVK ve GDPR Uyum Serisi

Bu yazı serisi ile Avrupa’da faaliyet göstermek isteyen Türkiye’de kurulu firmalara GDPR ve uyum hakkında bilgi vermek amaçlanmıştır.

1) Veri Sorumlusu mu Veri İşleyen mi?
2) Yurt Dışına Veri Aktarımı Nasıl Yapılır?
3) Veri İşleme Sözleşmesi (DPA) Nedir, Ne Zaman Yapılır?
4) Standart Sözleşme Hükümleri (SCC) Nedir?

Sorularınız mı var?