GDPR’da Bulunan Ancak KVKK’da Yer Verilmeyen Bir Kavram: Ortak Veri Sorumlusu Kavramı ve Güncel Kararlar Işığında Değerlendirilmesi

Veri sorumlusu kavramı, bizim için artık oldukça bilindik. Zira veri sorumlusu, Kişisel Verilerin Korunması Kanunu’nun (KVKK) ve Kişisel Verilerin Korunması Hukukunun adeta kalbinde yer alıyor . Bu hakkın sağlanması ve korunması için merkezi bir role sahip. Ancak o kadar da aşina olmadığımız bir kavram daha var: Ortak veri sorumlusu (joint controllers). 29 Temmuz 2019 tarihinde Avrupa Birliği Adalet Divanı (ABAD), bir süredir beklenen Fashion Id ve Facebook İrlanda hakkındaki kararını açıkladı ve bize bu konuyu tartışma ortamı sağladı. Ortak veri sorumlusu kavramını bir örnekle somutlaştıralım. Sözgelimi, turistik turlar düzenleyen acenteler, tura katılacak kişilerin verilerini havayolu şirketleri ve otellerle paylaşabilir, bu veriler üzerinde birlikte işlem gerçekleştirebilirler. Ancak bu durum, havayolu şirketinin, otel ve tur acentesinin ortak veri sorumlusu olduğunu göstermez. Burada kişilerin hepsi kendi farklı amaçları doğrultusunda ve farklı araçlarla veri işleme faaliyeti gerçekleştirir, hepsinin farklı bir veri kayıt sistemi bulunur. Elbette bunun aksinin bulunduğu durumlara da rastlanılır. Bu durumları aşağıda inceleyeceğim kararlar bazında ortaya koyacağım.