Veri sorumlusu, kişisel verilerin "neden" ve "nasıl" işleneceğine karar veren taraftır. Örneğin müşterilerinin bilgilerini toplayan bir e-ticaret şirketi bu veriler için veri sorumlusudur.
Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına veri işleyen gerçek veya tüzel kişidir; bulut barındırma, bordro veya çağrı merkezi hizmeti sunan firmalar tipik örneklerdir. KVKK m.12/2'ye göre veri işleyenin veri güvenliğine ilişkin yükümlülükleri yerine getirmesinden veri sorumlusu da müştereken sorumludur.
Veri sorumlusunun başlıca yükümlülükleri:
- İlgili kişileri aydınlatmak
- Gerekli teknik ve idari güvenlik tedbirlerini almak
- Veri ihlallerini Kurul'a ve ilgili kişilere bildirmek
- İlgili kişi başvurularını süresi içinde yanıtlamak
- Gerekli hâllerde VERBİS'e kayıt olmak
- Kişisel veri saklama ve imha süreçlerini yönetmek
Veri işleyenlerle yapılan sözleşmelerde güvenlik tedbirleri ve ihlal bildirim süreleri açıkça düzenlenmelidir.