El KVKK distingue entre controladores de datos (veri sorumlusu) y procesadores de datos (veri işleyen). El controlador determina los propósitos y medios del procesamiento, mientras que el procesador procesa datos en nombre del controlador según sus instrucciones. Esta distinción es crucial para asignar responsabilidades.
Cuando un controlador utiliza un procesador (por ejemplo, servicios de hosting en la nube, call centers, procesadores de pago), debe: seleccionar procesadores que proporcionen garantías suficientes de cumplimiento, celebrar contrato escrito que especifique claramente el alcance del procesamiento, propósito, tipo de datos, duración, y obligaciones de seguridad, asegurar que el procesador solo actúe según instrucciones documentadas, implementar medidas para garantizar que el procesador cumpla el KVKK, y supervisar regularmente el cumplimiento del procesador.
El contrato debe prohibir al procesador: procesar datos para propósitos propios, subcontratar sin autorización del controlador, y transferir datos a terceros no autorizados. Aunque el procesador también tiene obligaciones de seguridad y confidencialidad, el controlador retiene responsabilidad principal hacia los titulares y la Autoridad. Los procesadores pueden ser sancionados directamente por incumplimientos en sus obligaciones específicas. La Autoridad puede inspeccionar tanto a controladores como a procesadores.