Veri Sorumlusu ve Veri İşleyen Arasındaki Sorumluluk Paylaşımının Avrupa Birliği Genel Veri Koruma Tüzüğü ve Kişisel Verilerin Korunması Kanunu Çerçevesinde Değerlendirilmesi

In the 21st century, “data” does not only mean a piece of knowledge in a traditional sense. As a result of the increasing value of data and the protection of data as a fundamental right, since 1950s, studies have been carried out in the field of data protection law both at the global and national levels. The European Union General Data Protection Regulation, an inclusive and detailed regulation, came into force in 2016, as a result of years of practices. The first regulation regarding protection of personal data in Turkey is Law on Protection of Personal Data numbered 6698, which came into force in April 7, 2016. The terms of data controller and data processor are central concepst in respect to data protection law. Although the data controller is held responsible for nearly all obligations and sanctions under the Law on Protection of Personal Data numbered 6698, the data processor is getting more important each and every day as the result of technological developments and complex structurings in the businesses. Accordingly, with the European Union Data Protection Regulation, direct obligations are envisaged and the level of responsibility is increased for the data processor. In line with this explanations, the first part of the thesis focuses on the concept of personal data, the need for personal data protection and the historical development of regulations regarding data protection. In the second section, concepts of data controller and processor which constitutes the basis of this thesis are exlained and the general principles of data processing is clarified. In the last part of the thesis, allocation of responsibility among data controller and data processor within the scope of General Data Protection Regulation and Turkish Law On The Protection Of Personal Data is analized.İçinde bulunduğumuz 21. yüzyılda “veri” artık geleneksel anlamda bilginin karşılığı değildir. Verinin giderek artan ekonomik değeri ve verilerin korunmasının bir temel hak olarak kabul görmesi neticesinde, 1950’li yıllardan bu yana küresel ve ulusal düzeyde kişisel verilerin korunması hukuku alanında çalışmalar yapılmaktadır. Avrupa Birliği’nde yıllar süren uygulamaların sonucunda kapsayıcı ve detaylı bir düzenleme olarak kabul edilebilecek Avrupa Birliği Genel Veri Koruma Tüzüğü 2016 yılında yürürlüğe girmiştir. Türk Hukuku bakımından ise kişisel verilerin korunması hukukuna ilişkin ilk yasal düzenleme, 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur. Veri sorumlusu ve veri işleyen kavramları kişisel verileri koruma hukuku bakımından merkezi öneme sahip kavramlardır. Her ne kadar 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nda veri sorumlusu yükümlülüklerin ve yaptırımların neredeyse tamamı bakımından muhatap olarak karşımıza çıkıyor olsa da günümüzde teknolojik gelişmeler ve günden güne karmaşık bir hal alan iş yaşamının bir neticesi olarak veri işleyen kavramının önemi giderek artmaktadır. Avrupa Birliği Genel Veri Koruma Tüzüğü ile, bu doğrultuda veri işleyen bakımından yükümlülükler öngörülmüş ve sorumluluk düzeyi arttırılmıştır. Bu açıklamalar doğrultusunda, üç bölümden oluşan tezimizin ilk bölümünde kişisel veri kavramı, kişisel verilerin korunması ihtiyacı ve kişisel verilerin korunmasına ilişkin düzenlemelerin tarihsel gelişimi üzerinde durulmaktadır. İkinci bölümde, tez konumuzun temelini oluşturan veri sorumlusu ve veri işleyen kavramları açıklanmış, bu kavramlar ekseninde işleme faaliyetinin önemine binaen kişisel verilerin işlenmesine ilişkin temel prensipler ile kişisel verilerin işlenmesinde hukuka uygunluk nedenleri açıklanmıştır. Tezimizin son bölümünde ise veri sorumlusu ve veri işleyen arasındaki sorumluluk paylaşımı Avrupa Birliği Genel Veri Koruma Tüzüğü ve 6698 Sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde değerlendirilmiştir