KVKK Kapsamında İlgili Kişi ve Veri Sorumlusu Kavramlarının Hukuki Analizi

Kişisel verilerin korunması hukuku, dijitalleşen dünyada bireylerin temel hak ve özgürlüklerinin güvence altına alınması adına kritik bir öneme sahiptir. Bu hukuki çerçevenin doğru bir şekilde uygulanabilmesi ve doğabilecek uyuşmazlıkların sağlıklı bir zeminde çözülebilmesi için, sürecin temel süjeleri olan ilgili kişi ve veri sorumlusu sıfatlarının kesin sınırlarla belirlenmesi şarttır. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), veri işleme faaliyetlerinin hukuka uygunluğunu denetlerken bu aktörlere çeşitli hak ve yükümlülükler yüklemektedir. Özellikle kamu gücünün kullanıldığı ve geniş çaplı veri işleme faaliyetlerinin yürütüldüğü vergi hukuku uygulamaları bağlamında, mükelleflerin ve kamu kurumlarının kanun kapsamındaki statülerinin netleştirilmesi, olası hak ihlallerinin önüne geçilmesinde kilit rol oynamaktadır. Uzman bir hukuki perspektifle yaklaşıldığında, tarafların sorumluluk rejimlerinin tayininde idare ve mükellef ilişkisinin KVKK mevzuatı ışığında nasıl şekillendiğinin analizi büyük bir gerekliliktir.

KVKK Kapsamında İlgili Kişi ve Vergi Mükellefinin Konumu

Kanun koyucu, ilgili kişi kavramını, kişisel verisi işlenen gerçek kişi olarak tanımlayarak koruma kalkanının sınırlarını net bir biçimde çizmiştir. Kanun metninde de açıkça belirtildiği üzere, tüzel kişiler kural olarak bu korumanın kapsamı dışında bırakılmıştır. Ancak uygulamada sıkça karşılaşıldığı gibi, bir tüzel kişiye ait olan veri, doğrudan veya dolaylı olarak gerçek bir kişiyi belirli ya da belirlenebilir kılıyorsa, bu veri de kanuni koruma şemsiyesi altına girmektedir. Vergi hukuku pratiği açısından ele alındığında, vergi idaresine bilgi veren veya denetim mekanizmaları neticesinde hakkında bilgi toplanan her türlü gerçek kişi, KVKK nezdinde ilgili kişi statüsünü kazanmaktadır. Örneğin, bir vergi beyannamesinde yer alan şahsi bilgiler veya sahip olunan malvarlığı değerlerine ilişkin kayıtlar, vergi mükellefini kimliği belirli hale getirdiğinden, bu şahıslar kanunun sunduğu koruma mekanizmalarından tam anlamıyla faydalanma hakkına sahip olurlar.

Veri Sorumlusu Sıfatı ve İdarenin Hukuki Sorumluluğu

Veri sorumlusu, kişisel verilerin hangi amaçlarla ve ne şekilde işleneceğini tayin eden, veri kayıt sisteminin kurulmasından ve mevzuata uygun bir şekilde işletilmesinden asli derecede sorumlu olan gerçek veya tüzel kişidir. İlgili kişi tanımının aksine, kamu kurumları, vakıflar ve şirketler gibi özel hukuk tüzel kişileri ile kamu hukuku tüzel kişileri de veri sorumlusu sıfatını haiz olabilmektedir. Veri sorumlusu, sürecin "neden" ve "nasıl" işlendiği sorularının nihai muhatabı konumundadır. Vergi sistemi özelinde bu konumu incelediğimizde, veri işleme politikalarına karar veren temel idari mercii olan Hazine ve Maliye Bakanlığı ile ona bağlı Gelir İdaresi Başkanlığı, veri sorumlusu makamında yer almaktadır. Bu kurumlar, mükelleflerin hassas ve mali verilerini işlerken, Kanun'un öngördüğü ilkelere ve veri güvenliği yükümlülüklerine harfiyen uymak zorundadır. Aksi halde idarenin hukuki sorumluluğu doğacaktır.

Veri İşleyen ve Yetki Devri Çerçevesindeki Rolü

Veri işleyen statüsü, veri sorumlusunun verdiği yetkiye ve talimatlara dayanarak, onun adına bizzat veri işleme faaliyetlerini fiilen yürüten gerçek veya tüzel kişileri ifade etmektedir. Burada dikkat edilmesi gereken temel hukuki nüans, veri işleyenin karar verici bir pozisyonda olmaması; sürecin daha ziyade teknik kısmından sorumlu olmasıdır. Vergi hukuku teşkilatlanması boyutunda bakıldığında, Gelir İdaresi Başkanlığının veri sorumlusu olduğu bir sistemde, onun yetkilendirmesiyle hareket eden vergi daireleri, defterdarlıklar ve buralarda fiilen işlem yapan kurum personelleri, KVKK kapsamında veri işleyen konumunda değerlendirilmektedir. Ayrıca hukuki uyuşmazlıklarda bir öznenin aynı olay örgüsü içerisinde hem veri sorumlusu hem de veri işleyen sıfatlarını aynı anda veya farklı süreçler için ayrı ayrı taşıyabileceği de unutulmamalıdır.

Mevzuat hükümleri ve mevcut uygulama bazında, yukarıda detaylandırılan temel KVKK süjelerinin sorumluluk alanları ve güncel hukuki statüleri genel hatlarıyla şu şekilde özetlenebilir:

• İlgili Kişi: Kişisel verisi işlenen, vergi tahsilatı ve denetimi sürecinde bilgileri toplanan gerçek kişi mükelleflerdir. Koruma ve hak talebinde bulunma yetkisine sahiptir.
• Veri Sorumlusu: Veri işleme amaçlarını ve araçlarını belirleyen, Gelir İdaresi Başkanlığı gibi kurumlar olup idari ve hukuki tedbirleri almakla yükümlüdür.
• Veri İşleyen: Veri sorumlusundan aldığı yetkiyle, onun adına teknik işlemleri gerçekleştiren vergi dairesi personeli ve ilgili alt teşkilat birimleridir.