Veri sorumlusu nedir? Kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen, bu verilerin toplandığı sistemi kuran ve işleyen gerçek ya da tüzel kişidir. Kişisel Verilerin Korunması Kanunu (KVKK) çerçevesinde veri sorumlusu; hangi verinin neden toplandığına, nasıl saklandığına ve kimlerle paylaşıldığına karar veren taraftır. Pazaryeri bağlamında bu rol genellikle platformun kendisine ya da satıcıya düşer.
Bu sayfada veri sorumlusunun yasal çerçevesini, pazaryeri ve marka koruma senaryolarındaki pratik anlamını, sık karıştırıldığı kavramları ve somut bir örneği bulacaksınız.
Veri sorumlusu, bir kişisel veri işleme faaliyetinin "kim, neden, nasıl" sorularına yanıt veren taraftır. KVKK bu kavramı açıkça tanımlar: kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.
Peki bu sorumluluk pratikte ne anlama gelir? Veri sorumlusu üç temel yükümlülük taşır.
Veri sorumlusunun Veri Sorumluları Sicili'ne (VERBİS) kayıt yükümlülüğü belirli eşikler üzerindeki kurum ve şirketler için zorunludur. Bu eşiğin altında kalan küçük işletmeler kayıt yaptırmaktan muaf tutulabilir; ancak aydınlatma ve güvenlik yükümlülükleri devam eder.
Trendyol, Hepsiburada, n11, Amazon Türkiye, Dolap ve Çiçeksepeti gibi pazaryerlerinde veri sorumluluğu bazen tartışmalı bir alan haline gelir. Platformun kendisi mi veri sorumlusudur, yoksa o platform üzerinde satış yapan satıcı mı?
Genel yaklaşım şudur: platform, kullanıcıya ait tüketici verilerini kendi sisteminde işlediği için veri sorumlusu konumundadır. Satıcı ise alıcıdan bağımsız olarak topladığı veriler – sipariş geçmişi, iletişim bilgileri, tercihler – söz konusu olduğunda ayrı bir veri sorumlusu sayılabilir.
Marka koruma açısından bu ayrım kritiktir. Bir marka sahibi sahte ürün tespiti amacıyla ilan verilerini, satıcı profillerini ya da müşteri şikayetlerini sistematik biçimde işliyorsa, bu faaliyetin kendisi de bir veri işleme eylemidir. Hepsiburada'da kategori bazlı risk taraması yapılırken hangi verilerin toplandığı ve bu süreçte kimin veri sorumlusu sayıldığı, markanın kendi iç politikasıyla netleştirilmelidir.
Sahte ürün tespitinde kullanılan araçlar – ister Chrome eklentisi, ister yazılım platformu – işledikleri verinin niteliğine göre ek yükümlülük doğurabilir. SahteAvcı'da temel analiz tarayıcıda yerel çalışır; isteğe bağlı BYOK modunda görseller seçtiğiniz API sağlayıcısına gönderilir.
Veri sorumlusu ile veri işleyen arasındaki fark pratikte en çok karıştırılan noktadır. Bunların yanı sıra ilgili kişi ve veri işleyen kavramları da sıkça birbirine karıştırılır.
| Kavram | Tanım | Fark / Dikkat noktası |
|---|---|---|
| Veri sorumlusu | İşleme amacını ve yöntemini belirleyen taraf | Karar veren; KVKK'ya karşı hesap verir |
| Veri işleyen | Veri sorumlusu adına veri işleyen taraf | Kararı vermez; talimatla hareket eder |
| İlgili kişi | Verisi işlenen gerçek kişi | Haklar bu kişiye aittir; sorumluluğu yoktur |
| Veri işleme | Veriye yapılan her türlü işlem | Sorumluluk doğuran eylemdir, kavramın kendisi değil |
Bir bulut yazılım şirketi, müşteri adına veri barındırıyorsa genellikle veri işleyen konumundadır. Müşteri ise bu verilerin neden ve nasıl işleneceğini belirlediği için veri sorumlusudur. Pazaryeri bağlamında orijinal ürün doğrulama süreçleri bu ayrımı doğrudan etkiler: doğrulama için üçüncü taraf bir servis kullanılıyorsa sorumluluk sınırları sözleşmeyle belirlenmesi gereken bir alan olarak ortaya çıkar.
Bir diğer yaygın karışıklık, ayıplı mal kavramıyla veri sorumluluğunun birbirine karıştırılmasıdır. Ayıplı mal, ürünün fiziksel ya da hukuki eksikliğini tanımlar; veri sorumluluğu ise tamamen kişisel verinin işlenmesiyle ilgili bir kavramdır. Sahte ürün şikayetlerinde her iki alan aynı anda gündeme gelebilir, ama ayrı hukuki çerçeveler altında değerlendirilir.
Bir kozmetik markası, Trendyol üzerinde kendi ürünleri adına sahte ürün listelerini takip etmek için sistematik bir izleme süreci kuruyor. Bu süreçte satıcılara ait kamuya açık profil bilgileri ve ilan verileri bir veritabanında tutuluyor.
Bu senaryoda kozmetik markası, veri işleme amacını ve yöntemini belirleyen taraf olarak veri sorumlusu konumuna girer. İzleme altyapısını teknik olarak çalıştıran yazılım şirketi ise veri sorumlusunun talimatıyla hareket ettiği için veri işleyen sayılır. Telefon aksesuarı markaları için sahte ürün koruma çözümlerinde de aynı sorumluluk yapısı geçerlidir: markayı koruyan taraf veri sorumlusu, teknik aracı kullanan platform ise veri işleyendir.
Bu ayrımı baştan netleştirmeyen markalar, ilerleyen süreçte KVKK kapsamındaki aydınlatma ve güvenlik yükümlülüklerini karşılamakta güçlük çekebilir. Bu da sahte ürünle mücadelenin karmaşıklığını artıran bir unsurdur.
Sahte ürün tespitinde hangi verinin işlendiğini ve bu sürecin yasal çerçevesini takip etmek istiyorsanız, SahteAvcı bültenine abone olun – yeni kılavuzlar ve mevzuat güncellemeleri yayımlandığında size ulaşalım: bültene kaydolun.
Evet, veri sorumluluğu KVKK ile yasal zemine oturtulmuş bir kavramdır. Kişisel veri işleyen her gerçek ya da tüzel kişi potansiyel olarak veri sorumlusu konumuna girebilir. Yükümlülükleri yerine getirmek yasal bir zorunluluktur; yerine getirilmemesi idari yaptırımlara yol açabilir.
Hayır, bu iki kavram tamamen farklı alanlara aittir. Veri sorumlusu, kişisel veri işleme faaliyetini düzenleyen bir hukuki statüdür. Taklit ürün ise bir markanın izni olmadan üretilen ya da pazarlanan ürünü tanımlar. Sahte ürün tespiti sürecinde her iki kavram aynı anda gündeme gelebilir; ancak birbirinin yerine kullanılamaz.
Bir faaliyette kimin veri sorumlusu olduğunu anlamak için şu soruyu sormak yeterlidir: hangi taraf, hangi verinin neden ve nasıl işleneceğine karar veriyor? Kararı veren taraf veri sorumlusudur. Yalnızca teknik altyapıyı işleten ya da başkasının talimatıyla hareket eden taraf ise veri işleyendir. Service worker gibi teknik bileşenler bu değerlendirmede araç konumundadır; sorumluluk bileşeni değil, kararı veren tarafı belirler.