Bir hukuk bürosunun, müvekkillerinin talimatı ve talepleri doğrultusunda gerçekleştirdiği veri işleme faaliyetlerinde hukuki statüsü 'veri sorumlusu' mu yoksa 'veri işleyen' midir? Bu ayrımın KVKK kapsamındaki yükümlülükler açısından önemi nedir?

Bir hukuk bürosu, müvekkillerinin talimatları doğrultusunda veri işleme faaliyeti gerçekleştirdiğinde 'veri işleyen' statüsündedir. 'Veri sorumlusu' ise kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen gerçek veya tüzel kişidir ki bu durumda müvekkil veri sorumlusudur. Hukuk bürosu, kendi çalışanları, çalışan adayları veya pazarlama faaliyetleri gibi konularda ise 'veri sorumlusu' olarak hareket eder (Vona Hukuk Bürosu Politikası). Bu ayrım önemlidir çünkü KVKK'daki birincil yükümlülükler (aydınlatma, açık rıza alma, VERBİS'e kayıt vb.) veri sorumlusuna aittir. Veri işleyen ise veri sorumlusunun talimatları doğrultusunda hareket etmekle ve veri güvenliğine ilişkin teknik ve idari tedbirleri almakla yükümlüdür (vonahukuk.com/kisisel-verilerin-korunmasi-ve-islenmesi-politikasi/).