6. İlgili kişi, veri sorumlusu ve veri işleyen

Bir başvurunun kime yöneltileceği veya bir sözleşmenin hangi tarafça yapılacağı, veriyi işleyenlerin gerçek rollerinin belirlenmesine bağlıdır. Hesabı kullanan, belgeyi elinde tutan ve işleme hakkında karar veren kişi aynı olmayabilir. Bölümde hak sahibi ve temsil ilişkisinden başlanarak amaç ve vasıtaları belirleme ölçütü incelenmektedir. Çalışanlar, şirketler topluluğu, ortak karar verenler ve mesleki sağlayıcılar bu ölçüt üzerinden ayrılmakta; unvan ve sözleşme etiketlerinin açıklayamadığı ilişkiler somutlaştırılmaktadır.

6.1. İlgili kişi ve hakların temsil yoluyla kullanılması

Bir hastane kaydını anne veya baba, bir banka kaydını avukat, bir çevrim içi hesabın dökümünü ise hesabın ücretini ödeyen aile ferdi isteyebilir. Bu örneklerde başvuruyu yapan kişi ile kişisel verisi işlenen kişi her zaman aynı değildir. İnceleme bu nedenle “başvuruyu kim gönderdi?” sorusuyla başlayıp orada bitmemelidir. Önce talebin hangi kişiye ilişkin veri ve hakka yöneldiği, sonra talepte bulunanın o kişi adına hareket edip edemeyeceği belirlenmelidir.

6698 sayılı Kişisel Verilerin Korunması Kanununda ilgili kişi, kişisel verisi işlenen gerçek kişidir. Kanunun 11. maddesindeki haklar da “kendisiyle ilgili” veriler bakımından tanınmıştır. Bu sebeple ilgili kişi sıfatı, hesabı açan, sözleşmeyi imzalayan, faturayı ödeyen veya belgeyi elinde bulunduran kişiye kendiliğinden geçmez. Bir ebeveynin çocuğuna ait eğitim kaydının masrafını karşılaması ya da bir şirket yetkilisinin çalışan dosyasını yönetmesi, verinin ilişkin olduğu gerçek kişiyi değiştirmez.¹

Temsil ise hak sahipliğini değil, hakkın kullanılma biçimini etkiler. Temsilci, ilgili kişinin yerine yeni bir ilgili kişi olmaz; yetkisi ölçüsünde onun adına talebi iletir ve cevabı alır. Bu ayrımın pratik sonucu önemlidir. Veri sorumlusu, talep sahibinin kimliğini doğrulamanın yanında hangi ilgili kişi adına hareket edildiğini, temsil yetkisinin varlığını ve talebin bu yetkinin kapsamında kalıp kalmadığını da incelemelidir. Başvuru yapma yetkisi, temsilciye ilgili kişinin bütün verilerini sınırsız biçimde alma veya onun adına her türlü işleme için rıza verme yetkisi sağlamaz.²

Kimlik ve yetki kontrolü, başvuruyu güçleştirmek için değil, verinin yetkisiz kişiye açıklanmasını önlemek için yapılır. Başvuru Tebliği, ilgili kişiyi hakkın sahibi olarak tanımlar; başvuruda kimlik ve iletişim bilgileriyle talep konusunun bulunmasını, konuya ilişkin bilgi ve belgelerin eklenmesini öngörür. Kurumun 2025 tarihli rehberi de vekil aracılığıyla başvuruda vekâletname örneğinin sunulmasını, başvuranın ilgili kişi adına hareket ettiğinin belirlenmesiyle ilişkilendirir. Bununla birlikte veri sorumlusunun güvenlik ödevi, başvuruyla ilgisiz ve ölçüsüz ek bilgi toplama yetkisi değildir. İstenen kanıt, kimliği ve temsil bağını doğrulamaya elverişli ve somut riskle orantılı olmalıdır.³

Temsil yetkisinin kanıtlanması ile kanunda bulunmayan bir “özel yetki” şartı ileri sürülmesi birbirinden ayrılmalıdır. Kurulun 16 Aralık 2021 tarihli ve 2021/1262 sayılı karar özetinde sigorta şirketinin genel vekâletnameyi yetersiz görmesi incelenmiş; kişisel verilerin korunması mevzuatında bu başvurular için özel vekâletname şartı bulunmadığı belirtilmiştir. Kurul, 28 Mart 2024 tarihli ve 2024/540 sayılı karar özetinde de aynı yaklaşımı tekrarlamıştır. Bunlar yayımlanmış karar özetleridir; fakat temsil uygulaması bakımından iki somut olayda aynı ayrımın korunduğunu gösterir. Sonuç, yetki belgesinin hiç aranamayacağı değil, temsil sabitken ayrıca veri koruma hukukuna özgü bir özel yetki ibaresinin genel koşul hâline getirilemeyeceğidir.⁴

Kanuni temsil bakımından da ilgili kişi ile temsilci aynılaştırılamaz. Ergin olmayan çocuk kural olarak ana ve babasının velayeti altındadır; ana ve baba, velayetleri çerçevesinde çocuğun üçüncü kişilere karşı yasal temsilcisidir. Burada kişisel veri çocuğa, temsil yetkisi ise kanunun belirlediği sınırlar içinde veliye aittir. Velayet, çocuğun verileri üzerinde mülkiyet benzeri sınırsız bir tasarruf yetkisi vermez. Türk Medenî Kanunu, kararların çocuğun menfaati gözetilerek alınmasını ve olgunluğu ölçüsünde çocuğa hayatını düzenleme olanağı tanınarak önemli konularda düşüncesinin dikkate alınmasını ister.⁵

Çocuğun bizzat hareket edip edemeyeceği yalnız takvim yaşına bakılarak çözülemez. Türk Medenî Kanununun 16. maddesi, ayırt etme gücüne sahip küçüklerin kişiye sıkı sıkıya bağlı hakları kullanırken yasal temsilci rızasına ihtiyaç duymadığını düzenler. Bununla birlikte buradan Kanunun 11. maddesindeki her talebin, talebin konusu ve sonucu incelenmeden daima çocuk tarafından tek başına kullanılabileceği sonucu çıkarılamaz. Ayırt etme gücü somut işlem bakımından; talebin niteliği, çocuğun olgunluğu ve doğuracağı hukuki sonuçlarla birlikte değerlendirilmelidir. Çocuklara özgü rıza, dijital hizmet ve başvuru sorunları 27. bölümde ayrıntılandırılacaktır.⁶

Temsilcinin menfaati ile ilgili kişinin menfaati çatıştığında yalnız temsil belgesine bakmak yeterli değildir. Türk Medenî Kanununun 426. maddesi, yasal temsilcinin menfaati ile küçüğün veya kısıtlının menfaatinin çatıştığı işte temsil kayyımı atanmasını öngörür. Güleş de çocuğun kişilik değerlerine yönelik ihlallerde, ayırt etme gücü bulunmayan çocuğun yasal temsilcisinin ihlali bizzat gerçekleştirmesi hâlinde kayyım ihtiyacını bu hükümle ilişkilendirmektedir. Eserde bir velinin ihlaline karşı diğer velinin tek başına hareket edip edemeyeceği konusunda öğretide ve atıf yapılan yargı yaklaşımında ayrışma bulunduğu da görülür. Bu görüş ayrılığı, asılları tamamlanmadan yazarın kesin kanaati olarak sonuçlandırılmamalıdır.⁷

Veri sorumlusu bakımından uygulanabilir sıra böylece üç basamaklıdır. İlk olarak verinin ilişkin olduğu gerçek kişi belirlenir. İkinci olarak başvuruyu yapanın bizzat ilgili kişi mi, iradi temsilci mi, yoksa kanuni temsilci mi olduğu saptanır. Üçüncü olarak kimlik ve yetki, gereğinden fazla veri toplamadan doğrulanır; yetki eksikse veya talep kapsamı aşılıyorsa karar gerekçelendirilir. Bu sıra, bir yandan ilgili kişinin hakkını etkili kılar, diğer yandan üçüncü kişilere veri açıklanması riskini azaltır. Başvurunun kanalları, süreleri, cevabın içeriği ve Kurula şikâyet 19. bölümde ele alınacaktır.⁸

Bu ayrımlar birlikte değerlendirildiğinde, temsilin hak sahibini değiştirmediği sonucuna ulaşılır. İlgili kişi, verinin ilişkin olduğu gerçek kişidir; temsilci ise kanuni veya iradi yetkisinin sınırları içinde hareket eden kişidir. Ne güvenlik gerekçesi kanunda bulunmayan genel bir özel yetki şartına dönüştürülebilir ne de hakkın etkili kullanılması adına kimlik ve temsil denetiminden vazgeçilebilir. Sağlıklı uygulama, hakkın sahibini, hareket eden kişiyi ve yetkinin kapsamını ayrı ayrı göstermelidir.⁹

6.2. Amaç ve araçları belirleme ölçütü; sözleşmedeki sıfat ile fiilî durum

Bir hizmet sözleşmesinde sağlayıcının “veri işleyen” olarak adlandırılması, rol tespitini tek başına sonuçlandırmaz. Aynı şekilde verilerin sağlayıcının sunucusunda bulunması veya işlemi teknik olarak onun personelinin yürütmesi de sağlayıcıyı kendiliğinden veri sorumlusu yapmaz. Hukuki sıfat, kişisel veri işleme faaliyetinde amaçları ve belirleyici araçları kimin kararlaştırdığına göre saptanır. Sözleşme bu karar dağılımını gösteren önemli bir delildir; fakat kanuni tanımın yerini tutan bir etiket değildir.¹⁰

Kanun, veri sorumlusunu işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu gerçek veya tüzel kişi; veri işleyeni ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi olarak tanımlar. İki tanım arasındaki düğüm, veriyi kimin elinde bulundurduğundan çok, işleme hakkında kimin kendi adına karar verdiğidir. Başkasının belirlediği amaç için ve onun talimatları içinde işlem yapan organizasyon dışındaki hizmet sağlayıcı veri işleyen konumundayken, işleme için kendine ait bir amaç belirleyen taraf o faaliyet bakımından veri sorumlusu alanına yaklaşır.¹¹

Amaç, işlemenin “neden” yapıldığı sorusunun cevabıdır. Müşteri memnuniyetini ölçmek, çalışan ücretlerini ödemek veya bir hizmetin güvenliğini sağlamak birbirinden farklı amaçlardır. Bu amacın yalnız soyut başlığını değil, somut içeriğini kimin belirlediği araştırılmalıdır. Hangi kişilerin sürece alınacağı, hangi sonuç için veri toplanacağı ve elde edilen verinin başka bir kullanım için değerlendirilip değerlendirilmeyeceği, karar yetkisinin merkezini gösterir. Hizmet sağlayıcı, müşterinin belirlediği amacı yerine getirmekle yetinmeyip veriyi kendi ürününü geliştirmek veya bağımsız bir menfaatini gerçekleştirmek için kullanıyorsa, bu ek işleme ayrıca sınıflandırılmalıdır.¹²

Vasıtalar bakımından ise bütün teknik tercihler aynı ağırlıkta değildir. Kurumun 2025 tarihli rehberi; toplanacak veri türleri, verileri işlenecek kişi grupları, kullanım amaçları, alıcılar ve saklama süresi gibi kararları veri sorumlusunun belirlenmesinde dikkate almaktadır. Buna karşılık kullanılacak bilgi teknolojisi, saklama yöntemi, güvenlik önlemlerinin ayrıntısı, aktarım tekniği ve silme yöntemi gibi uygulama tercihleri veri işleyene bırakılabilir. Dolayısıyla bir sağlayıcının yazılım veya güvenlik mimarisini seçmesi, tek başına amaç ve belirleyici vasıtalar üzerinde karar verdiğini göstermez. Ne var ki teknik görünen bir tercih, veri kategorisini, erişebilecek kişileri veya kullanım süresini fiilen değiştiriyorsa artık yalnız uygulama ayrıntısı sayılmayabilir.¹³

Sözleşme ile fiilî durum arasındaki uyum bu çerçevede denetlenmelidir. Taraflar talimat yetkisini müşteriye bırakmış görünürken sağlayıcı gerçekte veri kategorilerini, hedef kişi grubunu veya bağımsız kullanım amacını belirliyorsa, “veri işleyen” ibaresi kanuni sıfatı değiştirmez. Tersine, müşterinin amaç, kapsam, kişi grubu, alıcılar ve süreyi belirlediği; sağlayıcının yalnız bunları teknik olarak uyguladığı bir ilişkide, sağlayıcının güçlü teknik uzmanlığı onu kendiliğinden veri sorumlusu yapmaz. İnceleme, sözleşme metniyle birlikte talimatları, ürünün gerçek çalışma biçimini, tarafların bağımsız kullanım imkânlarını ve kararların fiilen kim tarafından alındığını kapsamalıdır.¹⁴

Sıfat, kişi veya kuruma bir defa verilip bütün ilişkilerine yayılan sabit bir unvan da değildir. Bir muhasebe ya da bulut şirketi kendi çalışanlarının verileri bakımından amaç ve araçları belirlediği için veri sorumlusu; müşterisi adına ve onun talimatlarıyla yürüttüğü ayrı faaliyet bakımından veri işleyen olabilir. Kurum rehberindeki pazar araştırması örneğinde de ilaç firmasının çalışan anketinde hedef çalışanların, yöntemin ve sonuç sunumunun araştırma şirketine bırakılması, sağlayıcının yalnız teknik icracı olmadığını göstermektedir. Bu örneğin birlikte veri sorumluluğu bakımından sonucu 6.4’te; ödeme, avukatlık ve bulut hizmetleri bakımından sektör ayrımları 6.6’da ayrıca incelenecektir.¹⁵

Uygulamada sağlıklı rol analizi, sözleşmedeki başlıktan önce somut işleme faaliyetini ayırır ve dört soruya cevap arar: İşleme niçin yapılıyor; hangi kişiler ve hangi veriler kapsama alınıyor; veriye kimler hangi süreyle erişebiliyor; sağlayıcının kendi amacı veya talimat dışı kullanım yetkisi var mı? Bu soruların cevapları, karar yetkisinin hangi tarafta toplandığını gösterir. Rolün doğru belirlenmesi yalnız kavramsal bir sınıflandırma değildir; aydınlatma, başvuruların muhatabı, güvenlik yükümlülükleri ve sorumluluğun hangi aktöre yöneltileceğini etkiler.¹⁶

6.3. Veri sorumlusu, veri işleyen ve organizasyon içindeki çalışan

Bir şirketin insan kaynakları uzmanı çalışan dosyasına bilgi eklediğinde, çağrı merkezi görevlisi müşteri kaydını görüntülediğinde veya yönetim kurulu bir saklama politikası kabul ettiğinde kişisel veriyi fiilen gerçek kişiler işler. Buna rağmen her işlemi yapan çalışan ayrı bir veri sorumlusu ya da veri işleyen değildir. Hukuki sıfat, klavyeyi kullanan kişiden önce, işleme amaç ve araçlarının hangi gerçek veya tüzel kişi adına ve hangi organizasyon içinde belirlendiğine göre saptanır.¹⁷

Veri sorumlusu bir tüzel kişi ise onun organları, yöneticileri ve çalışanları görevleri içinde tüzel kişinin faaliyetini yürütür. Kurumun 2025 tarihli rehberi de veri işleyeni, veri sorumlusunun organizasyonu dışındaki ayrı gerçek veya tüzel kişi olarak açıklar. Bu kurumsal açıklama, Kanunun 3. maddesindeki “onun adına” işleme unsurunu organizasyon sınırıyla somutlaştırır; fakat kanun metnine yazılmamış yeni bir tanım gibi kullanılmamalıdır. Sonuç olarak aynı tüzel kişinin birimleri arasındaki iç görev dağılımı, tek başına sorumlu–işleyen ilişkisi kurmaz.¹⁸

Çalışanın belirli teknik veya idari kararlar alabilmesi de bu sonucu kendiliğinden değiştirmez. Satın alma müdürü yazılımı, insan kaynakları yöneticisi erişim seviyelerini veya bilgi işlem personeli yedekleme yöntemini görev yetkisi içinde seçebilir. Bu kararlar tüzel kişinin amaçları ve organizasyonel yetkilendirmesi çerçevesinde alınıyorsa hukuki rol kural olarak tüzel kişiye aittir. Pekmez de tüzel kişinin organ ve çalışanlarının işlemeyi gerçekleştirmesine rağmen, tüzel kişinin faaliyeti içindeki amaç ve araç kararlarının kural olarak tüzel kişiye isnat edildiğini belirtir.¹⁹

Aynı ayrım veri işleyenin organizasyonu için de geçerlidir. Müşteri şirket adına bordro hesabı yapan dış hizmet şirketi veri işleyen olabilir; fakat hizmet şirketinin bordro uzmanı, yalnız işlemi fiilen yürüttüğü için ayrıca veri işleyen sayılmaz. Talimat ve sözleşmenin muhatabı olan dış gerçek veya tüzel kişi veri işleyen sıfatını taşır; onun yetkili çalışanları bu organizasyon içinde hareket eder. Bu, çalışanın kişisel sorumluluğunun hiçbir hukuk alanında bulunmadığı anlamına gelmez; yalnız Kanundaki veri sorumlusu–veri işleyen rolünün kime ait olduğunu gösterir.²⁰

Organizasyon bağı, her çalışan davranışını işverene ait yetkili işleme hâline de getirmez. Görevi dışında kayda erişen, veriyi kişisel merakı veya kazancı için kullanan çalışan bakımından önce erişimin yetkili olup olmadığı ve bağımsız bir amaç belirlenip belirlenmediği araştırılmalıdır. Yetkisiz erişim, çalışanı otomatik olarak “veri işleyen” yapmaz. Çalışan veriyi işverenin amacından ayrı kendi amacı için işliyorsa, somut faaliyet bakımından veri sorumlusu tanımının şartları ayrıca oluşabilir. Bu sonuç Türk hukukunda Kanunun işlevsel tanımından çıkar; EDPB’nin çalışanı bağımsız amacı yönünden ayrı sorumlu gören yaklaşımı karşılaştırmalı ve bağlayıcı olmayan bir destek sunar.²¹

Rol tespiti, organizasyon içindeki güvenlik düzenini görünmez kılmamalıdır. Veri sorumlusu, hangi görevin hangi veri kategorisine erişeceğini belirlemeli; erişimi işin gerektirdiği ölçüyle sınırlamalı; çalışanların rol ve sorumluluklarını görev tanımlarında göstermeli ve eğitim, gizlilik ile disiplin tedbirlerini kurmalıdır. Kurumun Kişisel Veri Güvenliği Rehberi, bütün çalışanların konumdan bağımsız biçimde güvenlik sorumluluklarının belirlenmesini ve erişimde “izin verilmedikçe yasak” yaklaşımını önerir. Rehber bağlayıcı norm değildir; bu tedbirlerin normatif temeli Kanunun 12. maddesindeki hukuka aykırı işleme ve erişimi önleme ödevidir.²²

Uygulamadaki inceleme dört soruyla tamamlanabilir: İşlem hangi gerçek veya tüzel kişinin amacı için yapılıyor; işlemi yapan kişi o organizasyonun yetki ve talimatı içinde mi; dışarıdaki ayrı bir kişi veriyi onun adına mı işliyor; görev veya talimat dışına çıkılmışsa yeni ve bağımsız amacı kim belirliyor? İlk iki soru organizasyon içi işleyişi, üçüncüsü veri işleyen ilişkisini, dördüncüsü ise ayrı bir hukuka aykırı işleme ve olası yeni rolü görünür kılar. Birlikte amaç belirleme 6.4’te, grup şirketleri ve alt işleyenler 6.5’te, sektör örnekleri 6.6’da ele alınacaktır.²³

6.4. Birlikte karar verme ve ortak veri sorumluluğu

Bir işleme sürecinde iki veya daha fazla kişinin bulunması, bu kişileri kendiliğinden ortak veri sorumlusu yapmaz. İnceleme, tarafların iş birliği yapıp yapmadığından önce aynı kişisel veri işleme faaliyeti bakımından amaçları ve belirleyici vasıtaları birlikte tayin edip etmediklerine yönelmelidir. Biri diğerinin talimatıyla hareket ediyorsa veri sorumlusu–veri işleyen ilişkisi; her biri kendi amacı ve karar alanında hareket ediyorsa ayrı veri sorumlulukları; aynı faaliyetin yönünü beraber belirliyorlarsa ortak veri sorumluluğu gündeme gelir.²⁴

6698 sayılı Kanunun 3. maddesindeki veri sorumlusu tanımı, GDPR’ın 26. maddesinden farklı olarak amaç ve vasıtaların “birlikte” belirlenmesini açıkça söylemez; ortak veri sorumluları arasındaki görev dağılımını ayrıca düzenleyen bir hüküm de içermez. Bununla birlikte tanım, aynı faaliyette birden çok kişinin amaç ve belirleyici vasıtalar üzerinde karar sahibi olmasını da dışlamaz. Kurulun 23 Aralık 2021 tarihli kararları, bu işlevsel okumayı somutlaştırarak ortak veri sorumluluğu sıfatını kabul etmiştir. Böylece sıfatın Türk hukukunda hiç bulunmadığı değil, kanuni ayrıntılarının eksik olduğu söylenebilir. Öğretide açık düzenleme yapılması önerisi bu ikinci soruna ilişkindir.²⁵

Birlikte belirleme, tarafların aynı toplantıda tek bir karar almasıyla sınırlı değildir. Kararlar ayrı ayrı alınsa bile birbirini tamamlıyor ve taraflardan her birinin belirleyici katkısı olmadan işlem aynı biçimde gerçekleşemiyorsa ortak belirleme oluşabilir. Ortak veya birbirine bağlı amaç, hangi kişi gruplarının ve veri kategorilerinin kapsama alınacağı, kimlere erişim verileceği ve paylaşımın hangi işlev için kurulacağı gibi esaslı vasıtalar üzerindeki nüfuzla birlikte değerlendirilmelidir. Katkıların eşit olması gerekmez; veriye doğrudan erişememek de tek başına ortaklığı ortadan kaldırmaz.²⁶

Buna karşılık ekonomik iş birliği, aynı hizmetten yararlanma, ortak bir teknik altyapı kullanma veya verinin iki taraf arasında aktarılması tek başına yeterli değildir. Aynı veri tabanında kendi müşteri ilişkileri için ayrı kayıtlar tutan iki kuruluş, birbirinin amaç ve esaslı vasıta kararlarına etki etmiyorsa ayrı veri sorumluları olabilir. Benzer biçimde verinin bir zincirde art arda işlenmesi, önceki ve sonraki işlemlerin amaçları bağımsızsa ortak sorumluluk doğurmaz. EDPB’nin bu ayrımları Türk hukuku bakımından bağlayıcı değildir; fakat Kanunun amaç ve vasıta testini çok aktörlü yapılara uygulamak için yararlı bir karşılaştırma sunar.²⁷

Ortaklık bütün veri yaşam döngüsüne yayılmak zorunda da değildir. İki kişi verinin toplanması ve belirli bir platforma aktarılması için birlikte karar verirken, taraflardan biri daha sonraki analiz veya saklama faaliyetini tek başına belirleyebilir. Bu durumda rol, “kuruluşlar genel olarak ortaktır” biçiminde değil, somut işlem ve aşama gösterilerek tanımlanmalıdır. ABAD’ın Fashion ID kararını açıklayan karşılaştırmalı kaynaklar da internet sitesi işletmecisinin toplama ve iletim aşamasıyla sınırlı ortak rolünü, platformun sonraki bağımsız işlemlerinden ayırır; bu örnek Türk hukukuna sonuç kuralı olarak değil, aşama testini görünür kılmak için kullanılabilir.²⁸

Kurulun araç kiralama sektöründeki kara liste uygulamasına ilişkin 2021/1303 sayılı karar özeti bu ölçütlerin Türk uygulamasındaki önemini gösterir. Yazılım şirketinin yalnız teknik depolama yaptığını veya veriye erişmediğini söylemesi yeterli görülmemiş; ortak amaç, sistemin diğer kiralama firmalarına veri açacak biçimde kurulması ve esaslı vasıtalar üzerindeki karar gücü incelenmiştir. Aynı tarihli 2021/1304 sayılı ilke kararında da veriler üzerinde hâkimiyet kuran araç kiralama şirketleri ile yazılım şirketlerinin ortak veri sorumlusu sayılabileceği belirtilmiştir. Sonuç, her yazılım veya bulut sağlayıcısının ortak sorumlu olduğu değildir; kara liste faaliyetinin amacı, paylaşım mimarisi ve fiilî hâkimiyet birlikte belirleyicidir.²⁹

Ortak veri sorumlularının yükümlülüklerinin eşit olması zorunlu değildir. Kurulun 2021/1303 sayılı karar özetine göre sözleşme, sorumlulukların belirlenmesinde önem taşır; fakat bir tarafı genel bir kayıtla bütün sorumluluktan çıkaran hüküm fiilî rolü değiştirmez. Türk hukukunda GDPR’ın 26. maddesine denk ayrıntılı bir düzenleme bulunmadığı için sözleşmede en azından işleme kapsamı ve aşamaları, aydınlatma, ilgili kişi başvuruları, güvenlik, ihlal bildirimi, saklama–silme, aktarım ve denetim işlerinin kim tarafından yürütüleceğinin gösterilmesi hesap verebilirliği güçlendirir. Bu dağılım, kanuni sıfatı veya Kurulun somut olaydaki değerlendirmesini ortadan kaldıran bir muafiyet olarak kurulamaz.³⁰

İç görev dağılımının ilgili kişiyi belirsiz bir muhataplar ağı içinde bırakmaması gerekir. Kurulun 2021/1304 sayılı ilke kararı, kara listedeki diğer veri sorumlularının kimliğini bilemeyen kişinin 11. maddedeki haklarını kullanmasının güçleştiğine özellikle işaret eder. GDPR’da ilgili kişinin haklarını ortak veri sorumlularından her birine karşı kullanabilmesi açıkça düzenlenmiştir; bu hüküm Türk hukukunda varmış gibi uygulanamaz. Türk hukuku bakımından güvenli sonuç, her aktörün veri sorumlusu olduğu işlem ve aşamalar yönünden Kanunun yükümlülüklerine tabi olduğu, ortak yapının ise ilgili kişiye görünür ve başvuru yolları bakımından işler kılınması gerektiğidir. Tazminat ve yaptırımın kapsamı 20 ve 21. bölümlerde ayrıca ele alınacaktır.³¹

Uygulamada şu sıra izlenebilir: Önce somut işlem ve aşama tanımlanır; sonra her aktörün amacı, esaslı vasıta kararları, işlemin gerçekleşmesi için vazgeçilmez katkısı, veriye ve sisteme fiilî hâkimiyeti, bağımsız sonraki kullanımı ve ilgili kişi karşısındaki görünürlüğü belirlenir. Ortaklık bu soruların sonunda saptanır; taraf sayısından, sözleşme başlığından veya ortak altyapının varlığından çıkarılmaz. Bu yöntem 6.5’te şirket toplulukları ve hizmet zincirlerine, 6.6’da mesleki ve teknik hizmet sağlayıcılara uygulanacaktır.³²

6.5. Şirketler topluluğu ve hizmet zinciri

Aynı şirketler topluluğuna bağlı olmak, tüzel kişilikleri veri koruma hukuku bakımından tek bir kişiye dönüştürmez. Her topluluk şirketinin rolü, kendi yürüttüğü somut işleme faaliyeti için ayrıca belirlenir. Kurumun 2025 tarihli rehberi de şirket içindeki tüzel kişiliği olmayan birimlerle, ayrı tüzel kişiliğe sahip topluluk şirketlerini ayırır: birimler bağımsız veri sorumlusu olamazken, her grup şirketi veri sorumlusu tanımının unsurlarını taşıdığı ölçüde ayrı veri sorumlusu olabilir.³³

Bu ayrılık, topluluk içindeki veri akışının “şirket içi kullanım” sayılmasını engeller. Kurumun iş başvurusu platformuna ilişkin yayımlanmış açıklamasında, birden çok veri sorumlusu grup şirketi arasındaki paylaşım üçüncü kişiye aktarım olarak nitelendirilmiş ve aynı veri tabanının kullanılması sonucu değiştirmemiştir. O hâlde merkezî insan kaynakları, müşteri ilişkileri veya pazarlama havuzu kurulurken, her şirketin hangi amaçla eriştiği ve Kanunun 8. maddesindeki aktarım şartlarının bulunup bulunmadığı ayrıca gösterilmelidir. Grup adı altında tek aydınlatma yapılması da gerçek veri sorumlularının kimliğini belirsiz bırakamaz.³⁴

Bununla birlikte her ortak altyapı, grup şirketlerini ortak veri sorumlusu yapmaz. Ana şirket yalnız diğer şirketlerin belirlediği amaçlar doğrultusunda depolama hizmeti veriyor ve onların kayıtlarına kendi amacı için erişmiyorsa, bu faaliyet bakımından veri işleyen olabilir. Her şirket kendi müşteri grubunu, erişimleri, saklama süresini ve silmeyi bağımsız belirliyorsa aynı veri tabanını kullanmaları da tek başına ortaklık kurmaz. Buna karşılık ana şirket ve iştirakler ortak kampanyanın hedef kitlesi, veri kategorileri, erişim ve kullanım amaçlarını birlikte belirliyorsa 6.4’teki ortak sorumluluk testi uygulanır.³⁵

Rol, tüzel kişinin grup içindeki unvanına değil karar ve talimat ilişkisine bağlıdır. Ana şirketin ekonomik hâkimiyeti veya merkezî politika hazırlaması tek başına bütün işlemler için veri sorumluluğu sonucu doğurmaz; ancak somut işlemin amaç ve esaslı vasıtalarını fiilen belirliyorsa yalnız “destek şirketi” olarak adlandırılamaz. Tersine, ayrı tüzel kişiliğe sahip bir grup şirketi, başka bir grup şirketinin amaçları için ve onun talimatıyla sınırlı işlem yapıyorsa veri işleyen olabilir. EDPB’nin grup içindeki bir şirketin diğerine veri işleyen olabileceği açıklaması Türk hukukunda bağlayıcı değildir; Kanunun işlevsel tanımını uygulamak için karşılaştırmalı destek sağlar.³⁶

Dış hizmet zincirinde de ilk adım, her halkayı adıyla değil işleviyle sınıflandırmaktır. Veri sorumlusu bordro, barındırma veya çağrı merkezi hizmetini bir sağlayıcıya; sağlayıcı da işin bir bölümünü başka bir kuruluşa bırakabilir. İkinci sağlayıcı ilk sağlayıcının talimatıyla ve veri sorumlusu adına işlem yapıyorsa “alt veri işleyen” işlevi görür. 6698 sayılı Kanun veri işleyeni tanımlamakta, fakat GDPR’ın 28. maddesindeki gibi alt işleyenin görevlendirilmesi için genel ve ayrıntılı bir ön izin, bildirim ve aynı yükümlülükleri zincire aktarma rejimi kurmamaktadır. Bu boşluk, AB kuralını Türk hukukuna doğrudan taşımayı değil, sözleşme ve denetimde zinciri görünür kılmayı gerektirir.³⁷

Sağlam bir hizmet zinciri kaydı; hangi sağlayıcının hangi veri kategorisini, hangi ülkede ve hangi amaçla işlediğini; alt hizmet alıp alamayacağını; değişikliklerin nasıl bildirileceğini; güvenlik, ihlal, silme–iade ve denetim yükümlülüklerini göstermelidir. EDPB, GDPR bakımından veri sorumlusunun özel veya genel yazılı yetkisini, alt işleyene özde aynı yükümlülüklerin geçirilmesini ve ilk işleyenin alt işleyenin ediminden sorumluluğunu öngörür. Bunlar 6698 sayılı Kanunda aynı ayrıntıyla yazılı değildir; yine de veri sorumlusunun m.12/3 denetimi ile m.12/2 güvenlik sorumluluğunu fiilen yerine getirebilmesi için sağlayıcı zincirini bilmesi ve denetlenebilir kılması gerekir.³⁸

Hizmetin dışarıdan alınması, veri sorumlusunun güvenlik ödevini ortadan kaldırmaz. Kanunun 12. maddesinin ikinci fıkrası, kişisel veriler kendi adına başka bir kişi tarafından işlendiğinde birinci fıkradaki teknik ve idari tedbirler bakımından veri sorumlusunu bu kişiyle birlikte sorumlu tutar. Kurulun 2023/1796 sayılı karar özetinde, CDN hizmetindeki teknik sorunun veri işleyenden kaynaklandığı savunması veri sorumlusunu kurtarmamış; sözleşmeyle tedbir yükünün sağlayıcıya bırakılması yeterli görülmemiştir. Bu müştereklik bütün yükümlülükler için sınırsız bir eşitleme değil, m.12/1’deki güvenlik tedbirleri bakımından açık kanuni düzenlemedir.³⁹

Veri sorumlusunun rolü bu nedenle sağlayıcıyı seçmekle bitmez. Kurulun 2020/71 sayılı karar özeti, veri sorumlusunun işleyeni denetleme ve ilgili kişilerin haklarını kullanabilmesini sağlama sorumluluğunu; veri işleyenin ise temel amaç ve araçlara bağlı kalmak koşuluyla teknik ayrıntılarda özerk olabileceğini belirtir. Sözleşme; talimatı, izin verilen işlemleri, alt hizmetleri, güvenlik seviyesini ve iş birliğini somutlaştırır. Ancak veriye erişim, saklama veya güvenlik yöntemi üzerinde teknik karar yetkisi verilmesi, amaç ve esaslı vasıta kararlarının da devredildiği anlamına gelmez; fiilî durum tersini gösterirse rol yeniden sınıflandırılır.⁴⁰

Uygulamada iki ayrı harita çıkarılmalıdır. Tüzel kişi haritası, grup içindeki her şirketi ve aralarındaki aktarımı; işlem haritası ise veri sorumlusu, veri işleyen, alt işleyen ve bağımsız sonraki sorumluları işlem/aşama bazında gösterir. Her ok için amaç, talimat, veri kategorisi, erişim, ülke, saklama, silme ve denetim bilgisi yazılmalıdır. Böylece “aynı grup” veya “tek tedarik sözleşmesi” gibi genel etiketlerin örttüğü rol ve aktarım sorunları görünür olur. Mesleki ve teknik hizmet sağlayıcıların özgül örnekleri 6.6’da incelenecektir.⁴¹

6.6. Mesleki ve teknik hizmet sağlayıcılar

Bir avukatın, mali müşavirin, ödeme kuruluşunun, araştırma şirketinin, bulut sağlayıcısının veya kargo şirketinin hizmet sunması, onu kendiliğinden veri işleyen yapmaz. “Müşteri adına çalışma” ifadesi ticari ilişkiyi anlatabilir; Kanundaki veri işleyen sıfatı ise belirli bir kişisel veri işleme faaliyetinin başkasının amacı ve talimatı içinde yürütülmesini gerektirir. Bu nedenle inceleme meslek veya sözleşme türünden değil; her işlemde amaç, yasal görev, karar yetkisi, talimat ve fiilî erişimden başlamalıdır.⁴²

Avukatlık bunun belirgin örneğidir. Avukat, hukuki hizmetin yürütülmesi için hangi bilgi ve belgelerin gerekli olduğuna, bunların nasıl kullanılacağına ve mesleki yükümlülüklerin nasıl yerine getirileceğine bağımsız biçimde karar verdiğinde veri sorumlusudur. Kurumun 2026 tarihli avukatlık rehberi bunu genel yaklaşım olarak benimsemekle birlikte, avukatın amaçlar ve araçlar üzerinde hiçbir kontrolü bulunmadan açık ve özel talimatlarla veri işlemesi hâlinde veri işleyen olabileceğini de kabul eder. Nitekim rehber, Kurulun 2021/115 sayılı kararındaki banka talimatıyla yürütülen icra işlemi örneğini bu istisna için aktarır. Sonuç, “avukat daima veri sorumlusudur” veya “müvekkil adına çalıştığı için daima veri işleyendir” biçiminde kurulamaz.⁴³

Mali müşavirlik ve muhasebe hizmetlerinde de yasal meslek ödevleri ile müşterinin talimatına bağlı operasyonlar ayrılmalıdır. Meslek mensubu, saklanacak kayıtlar, yapılacak bildirimler veya mesleki mevzuatın gerektirdiği kontroller üzerinde kendi hukuki yükümlülükleri nedeniyle karar veriyorsa bu faaliyet bakımından veri sorumlusu olabilir. Buna karşılık müşterinin belirlediği bordro verilerini, kişi gruplarını ve süreleri değiştirmeden yalnız hesaplayan ayrı bir hizmet sağlayıcı, o işlem bakımından veri işleyen olabilir. Aynı büro kendi çalışanları yönünden veri sorumlusu, müşterinin belirli operasyonu yönünden veri işleyen olabilir; rol kişi bazında değil işlem bazında kaydedilmelidir.⁴⁴

Ödeme hizmeti sunan kuruluş da sırf satıcının ödeme akışına katıldığı için onun veri işleyeni sayılmaz. Kurumun rol rehberindeki örnekte ödeme kuruluşunun müşterilerle kendi koşullarıyla ilişki kurması, işlenecek verilere karar vermesi ve özel mevzuattan doğan yükümlülükleri bulunması ayrı veri sorumluluğuna işaret eder. Bu saptama bütün finansal teknoloji ilişkilerine yayılamaz: yalnız satıcının belirlediği işlem için teknik iletişim sağlayan bir alt hizmet ile kendi ödeme hizmetini ve uyum amaçlarını yürüten lisanslı kuruluş ayrı ayrı incelenmelidir. Sektöre özgü işleme şartları, saklama ve aktarım sorunları 25. bölümün konusudur.⁴⁵

Pazar araştırmasında belirleyici olan, araştırma şirketine ne kadar karar alanı bırakıldığıdır. Müşteri yalnız genel araştırma hedefini belirtirken araştırma şirketi katılımcı grubunu, toplanacak verileri, yöntemi ve sonuçların sunumunu belirliyorsa, tarafların amaç ve esaslı vasıtaları birlikte belirlediği sonucuna varılabilir. Kurum rehberindeki ilaç şirketi–çalışan araştırması örneği bu yöndedir. Buna karşılık soru listesi, örneklem, iletişim kanalı ve saklama süresi müşteri tarafından belirlenmiş; araştırma şirketi yalnız uygulama yapıyorsa veri işleyen değerlendirmesi güçlenir. Aynı sektör adı, farklı karar dağılımlarını tek role dönüştürmez.⁴⁶

Bulut hizmetinde teknik uzmanlık ile bağımsız amaç birbirinden ayrılmalıdır. Sağlayıcı yalnız müşterinin seçtiği veri ve süreyle depolama yapıyor, güvenlik ve kapasite gibi uygulama araçlarını seçiyor ve veriyi kendi amacı için kullanmıyorsa veri işleyen olabilir. Sağlayıcının hizmet telemetrisi, ürün geliştirme, reklam veya model eğitimi gibi kendi amaçları için içerik ya da kullanıcı verisi işlemesi ise ayrı bir faaliyet ve rol analizi gerektirir. Sözleşmede “hizmeti geliştirme” şeklindeki geniş bir yetki bulunması tek başına sonucu çözmez; hangi verinin, hangi zorunlulukla ve kimin menfaati için kullanıldığı fiilen gösterilmelidir.⁴⁷

Kargo hizmeti, veriye fiziksel olarak yakın olmanın dahi rol için yeterli olmadığını gösterir. Kurulun 24 Mart 2022 tarihli ve 2022/277 sayılı karar özetine göre kargo şirketi, gönderici adı ve alıcı adresi gibi sevkiyatı yönetmek için elde ettiği veriler bakımından veri sorumlusudur. Buna karşılık kapalı paket içindeki kredi kartı bilgilerine ulaşması mümkün olmadığından, bu bilgiler bakımından ne veri sorumlusu ne de veri işleyen kabul edilmiştir. Aynı taşıma ilişkisinde rolün veri kümesi ve erişim olanağına göre değişebilmesi, salt fiziksel zilyetlik veya sözleşme tarafı olmanın yeterli olmadığını ortaya koyar.⁴⁸

Uygulamada her sağlayıcı için tek satırlık bir unvan yerine işlem envanteri hazırlanmalıdır. Her satırda işleme amacı, bu amacı doğuran sözleşme veya yasal görev, kişi ve veri kategorileri, esaslı kararları alan taraf, talimat veren taraf, fiilî erişim, bağımsız kullanım ve saklama–silme yetkisi gösterilmelidir. Aynı sağlayıcı için satırlar farklı sonuç verebilir: ayrı veri sorumlusu, ortak veri sorumlusu, veri işleyen veya erişemediği veri bakımından bu rollerin dışında. Bu kayıt, 6.2’deki işlevsel testi meslek ve teknoloji örneklerine uygular; temsilci ve irtibat kişisinin kurumsal rolden ayrılması ise 6.7’de ele alınacaktır.⁴⁹

6.7. Veri sorumlusu temsilcisi, irtibat kişisi ve sorumluluğun sınırı

“Temsilci” ve “irtibat kişisi” ifadeleri gündelik dilde birbirine yakın görünse de veri koruma hukukunda aynı görevi anlatmaz. Veri sorumlusu, işleme amaç ve vasıtalarını belirleyen kişidir; temsilci ve irtibat kişisi ise belirli iletişim ve Sicil işlemlerini yürütmek üzere görevlendirilir. Bir kişinin başvuruyu alması, Kurumla yazışması veya VERBİS ekranına bilgi girmesi, onu bu işlemlerin arkasındaki veri işleme faaliyetinin veri sorumlusu hâline getirmez. Rol tespiti yine amaç ve esaslı vasıtalar üzerindeki karar yetkisine dayanır.⁵⁰

Türkiye’de yerleşik bir tüzel kişide veri sorumlusu, tüzel kişiliğin kendisidir. Veri Sorumluları Sicili Hakkında Yönetmeliğin 11. maddesi, Kanundaki yükümlülüklerin tüzel kişiliği temsil ve ilzama yetkili organ veya ilgili mevzuatta gösterilen kişiler aracılığıyla yerine getirileceğini; bu kişilerin başkalarını görevlendirebileceğini, fakat görevlendirmenin tüzel kişiliğin sorumluluğunu ortadan kaldırmayacağını düzenler. Böylece yönetim kurulu üyesi, yönetici veya çalışan, yalnız iç görev dağılımı nedeniyle tüzel kişiden ayrı bir veri sorumlusu sayılmaz. Yetki ve gözetim düzeni, tüzel kişinin yükümlülüklerini nasıl yerine getireceğini gösterir; hukuki sıfatı kendiliğinden devretmez.⁵¹

İrtibat kişisi daha dar bir işleve sahiptir. Yönetmelik onu, Kanun ve ikincil düzenlemeler kapsamındaki yükümlülüklerle ilgili olarak Kurumla iletişimi sağlamak amacıyla Sicile bildirilen gerçek kişi olarak tanımlar ve veri sorumlusunu temsile yetkili olmadığını açıkça belirtir. İrtibat kişisi VERBİS bildirimini hazırlar, güncellemeleri izler ve iletişim akışını yürütür; fakat aydınlatmanın içeriğini, işleme şartını veya güvenlik politikasını kendi adına belirleyen kişi hâline gelmez. Kurumun bilgilendirmesi de yükümlülük ve yaptırım sorumluluğunun irtibat kişisine geçmediğini vurgular.⁵²

Bu ayrım, irtibat kişisinin önemsiz olduğu anlamına gelmez. Sicil bildiriminin envantere dayanması, doğru ve güncel tutulması ve değişikliklerin süresinde işlenmesi gerekir. Kurulun 2020/542 sayılı karar özeti, irtibat kişisinin veri sorumlusunun işleme faaliyetlerine ait doğru ve güncel bilgiye sahip olması ve faaliyetleri yakından izleyebilmesi gereğini, Türkiye’de yerleşik birden çok veri sorumlusu için aynı anda irtibat kişisi olamaması sonucuyla ilişkilendirir. Yurt dışında yerleşik veri sorumlularında ise asıl iletişim muhatabı temsilci olduğundan, aynı gerçek kişinin birden çok yabancı veri sorumlusu için irtibat kişisi olması uygun bulunmuştur. Bu sonuç, işlev farklılığını gösterir; ilgili kişilerin veya Kurumun asıl muhatabını değiştirmez.⁵³

Veri sorumlusu temsilcisi, Türkiye’de yerleşik olmayan veri sorumlusu için öngörülen ayrı bir kurumdur. Temsilci Türkiye’de yerleşik bir tüzel kişi veya Türk vatandaşı gerçek kişi olmalı; atama kararı en azından Kurum yazışmalarını kabul etme, talepleri yabancı veri sorumlusuna ve cevapları Kuruma iletme, ilgili kişi başvurularını alma ve veri sorumlusunun cevabını ulaştırma, ayrıca Sicil işlemlerini yapma yetkilerini içermelidir. Kurumla iletişim yabancı veri sorumlusu bakımından temsilci vasıtasıyla kurulur. İrtibat kişisinin aksine burada asgari bir temsil yetkisi vardır; fakat yetkinin kapsamı Yönetmelik ve atama kararıyla sınırlıdır.⁵⁴

Temsilci atanması, yurt dışında yerleşik kişinin veri sorumlusu sıfatını veya Kanundan doğan yükümlülüklerini temsilciye taşımaz. Kurumun resmî bilgilendirmesi, yükümlülük ve yaptırımlar bakımından sorumluluğun temsilciye geçmediğini ve görevlendirmenin yabancı veri sorumlusunun sorumluluğunu ortadan kaldırmadığını açıklar. Temsilci, başvurunun ve tebligatın Türkiye’deki erişilebilir muhatabıdır; işleme amaçlarını kendi adına belirlemedikçe yalnız temsil görevinden dolayı veri sorumlusu olmaz. Bununla birlikte temsilcinin kendi çalışan, iletişim ve dosya kayıtları için yürüttüğü bağımsız işlemler ayrıca sınıflandırılır.⁵⁵

Uygulamada üç ayrı kayıt tutulmalıdır. Rol kaydı, amaç ve vasıtaları belirleyen veri sorumlusunu; kurumsal yetki kaydı, tüzel kişilik içinde Kanun yükümlülüklerini yerine getirecek organ ve görevlileri; iletişim kaydı ise irtibat kişisini ve varsa yabancı veri sorumlusu temsilcisini göstermelidir. İlgili kişi başvurusu veya Kurum yazısı geldiğinde, belge doğru muhatap tarafından alınmalı, içerik hakkında karar yetkili veri sorumlusunda kalmalı ve cevap yetkili kanal üzerinden iletilmelidir. Böylece iletişim görevi hukuki sorumlulukla, iç görev dağılımı da veri sorumlusu sıfatıyla karıştırılmaz.⁵⁶