HUKUK-POSTASI-2019-metin

271 KİŞİSEL VERİLERİN KORUNMASI Veri işleyen ise, veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen, veri sorumlusunun organizasyo- nu dışındaki gerçek veya tüzel kişiyi ifade eder. Veri sorumlusunun kişisel veri işleme sözleşmesi yapmak suretiyle yetkilendirdiği ayrı bir gerçek ya da tüzel kişi olan veri işleyen, kişisel verileri kendisine verilen talimatlar kapsamında ve veri sorumlusu ile arasındaki sözleş- me hükümlerine göre işler. Bu noktada dikkat edilmesi gereken husus, veri işleyenin veri sorumlusunun organizasyonu dışındaki bir gerçek ya da tüzel kişi olmasıdır. Dolayısıyla, şirket çalışanları veri işleme faaliyeti gerçekleştiriyor olsalar dahi, veri işleyen olarak nitelendiri- lemezler. Veri işleyene örnek olarak, muhasebe, çağrı merkezi, insan kaynakları ve bordrolama, bulut işletim ve benzeri konularda müşteri- lerine hizmet veren firmalar örnek gösterilebilir. Ancak, veri işleyen, veri sorumlusundan aldığı yetki ve talimat dışına çıkarak kendisi adına kişisel veri işlemeye başlaması durumunda, o kişisel veriler için veri sorumlusu olarak kabul edilecektir. Veri Sorumlusu ve Veri İşleyen Arasındaki İlişki Bir gerçek ya da tüzel kişi, somut olayın özelliğine göre hem veri sorumlusu hem veri işleyen sıfatına aynı anda sahip olabilir. Örneğin, yukarıda da örneklendirdiğimiz üzere, bir muhasebe şirketi, bulut bili- şim hizmeti sağlayıcısı veya insan kaynakları ve bordro hizmeti sunan bir şirket, kendi personeli ile ilgili tuttuğu verilere ilişkin olarak veri sorumlusu sayılırken, müşterisi olan şirketlere ilişkin tuttuğu veriler açısından veri işleyen olarak kabul edilecektir. Bu konuyla ilgili de- taylı örneklere Kurum tarafından hazırlanan Veri Sorumlusu ve Veri İşleyen Rehberi kapsamında da yer verilmiştir 3 . Veri sorumlusu, topladığı kişisel verilerin kendi adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde (örneğin, şirkete ilişkin kayıtlar dışardan bir muhasebe şirketi tarafından tutuluyor ise), veri güvenliğinin temini adına Kanun’da yer verilen tedbirlerin alın- ması hususunda bu kişilerle birlikte müştereken sorumludur. Ayrıca, veri sorumluları ve veri işleyen kişiler, öğrendikleri kişisel verileri Ka- nun hükümlerine aykırı olarak başkasına açıklayamaz ve işleme amacı 3 Detaylı bilgi için bkz. https://www.kvkk.gov.tr/SharedFolderServer/CMSFiles/ f63e88cd-e060-4424-b4b5-f6413c602060.pdf (Erişim tarihi: 19.09.2019).