Veri işleyen, Kişisel Verilerin Korunması Kanunu’nda (“Kanun”) “Veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişi” olarak tanımlanmıştır. Bu tanımdan hareketle, veri işleyenden söz edebilmek için veri sorumlusunun yetkilendirdiği ayrı bir gerçek/tüzel kişi olmalı ve kişisel verileri veri sorumlusu adına işlemelidir.
Günümüzde teknolojik gelişmelerin bir sonucu olarak, elde edilen verilerin çok farklı şekillerde ve farklı amaçlarla işlenmesi söz konusu olabilmektedir. Yine teknolojik gelişmelere bağlı olarak, veri her zaman veriyi elde eden veri sorumlusu tarafından işlenmemekte, veri işleme işi “outsource” edilmekte, verinin işlenmesine ilişkin olarak dışardan hizmet satın alınmaktadır. İşte bu gibi durumlarda, birçok sektörde karşımıza sıklıkla veri işleyen çıkmaktadır.
Örneğin bir şirket, müşterileri ile müşteri memnuniyetini sorgulamak amacıyla bir çağrı merkezi ile anlaşabilir, elde edilen sonuçların bir analiz firması tarafından değerlendirilmesini isteyebilir, elektronik ortamda yer alan verilerinin kendi veri tabanına aktarılarak saklanması için bir şirket ile anlaşabilir. Görüldüğü üzere, şirket her bir işleminde ayrı bir veri işleyen ile çalışabilmektedir.
Ancak burada belirtmek gerekir ki; veri sorumlusu olan şirketin iç birimleri veri işleyen olarak kabul edilmemektedir. Örneğin, bir şirketin iç birimi olarak verileri işleyen muhasebe birimi veri işleyen olarak değerlendirilmeyecek, şirket bizzat veri sorumlusu olacaktır.
Kanun’a göre kişisel verilerin hukuka aykırı olarak işlenmesi ve yetkisiz kişilerce erişilmesi halinde veri işleyen, veri sorumlusu ile birlikte sorumlu olur. Ayrıca veri işleyen kişisel verileri Kanun’a aykırı olarak başkalarına açıklayamaz ve işleme amacı dışında kullanamaz. Verilerin veri sorumlusu adına veri işleyen tarafından işlenmesi durumunda da veri sorumlusunun tüm yükümlülükleri devam etmektedir.
Veri işleyen kavramı her ne kadar kişisel verilerin korunması hukuku kapsamında söz konusu yükümlülükler bakımından arka planda kalmış gibi görünse de, dış kaynak kullanımının artması ile birlikte veri işleyen gerçek kişiler ve şirketlerin de birçok sorumluluğunun gündeme geldiği unutulmamalıdır.
