6698 Kişisel Verilerin Korunması Kanunu’nun “Tanımlar” başlıklı 3. Maddesinde veri sorumlusu kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi olarak tanımlanmıştır.
Kişisel Verilerin Korunması Kanunu uyarınca getirilen yükümlülüklerden biri de “Veri Sorumlusu” olup da Kişisel Verilerin Korunması Kurulu (“Kurul”) tarafından Sicil’e kayıt olma istisnalarından yararlanmayacak olan Veri Sorumluları tarafından Sicil’e kayıt olunmasıdır.
İlgili kanunun “Veri Sorumluları Sicili” başlıklı 16/2 Maddesinde ise aynen;
(2) Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir
denilmektedir.
Bu kapsamda, kural olarak, faaliyeti sebebiyle kişisel verileri işleyen gerçek ve tüzel kişilerin Veri Sorumluları Siciline(VERBİS) kayıt olma zorunlulukları bulunmaktadır. Veri sorumluları tarafından veri işleme faaliyetine başlanmadan evvel kayıt işleminin tamamlanmış olması gerekmektedir.
İlgili kanunda sicile kayıt zorunluluğuna istisna getirilmiş olup; işbu istisnalar kapsamında olmayan tüm gerçek ve tüzel kişilerin sicile kayıt olması gerekmektedir.
i. Veri Siciline Kayıt Yükümlülüğüne Getirilen İstisnalar
Bu kapsamda, Kişisel Verilerin Korunması Kanunu’nun 28/2 maddesinde sayılan hallerde, Veri Sorumluları Siciline kayıt yükümlülüğünü düzenleyen 16. madde hükümleri uygulanmayacaktır.
Veri Sorumluları Sicili Hakkında Yönetmeliğinin “İstisna Kriterleri” başlıklı 16’ncı maddesi uyarınca belirtilen kriterler uyarınca istisna getirilebileceği hüküm altına alınmıştır. Şöyle ki;
a) Kişisel verinin niteliği.
b) Kişisel verinin sayısı.
c) Kişisel verinin işlenme amacı.
ç) Kişisel verinin işlendiği faaliyet alanı.
d) Kişisel verinin üçüncü kişilere aktarılma durumu.
e) Kişisel veri işleme faaliyetinin kanunlardan kaynaklanması.
f) Kişisel verilerin muhafaza edilmesi süresi.
g) Veri konusu kişi grubu veya veri kategorileri.
Yukarıda yer verilen maddelerden görüldüğü üzere, söz konusu istisnanın uygulanmasında; işlenen kişisel verinin niteliği, sayısı, veri işlemenin Kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmaktadır.
Ayrıca, 02.04.2018 tarihli ve 2018/32 sayılı Kurul Kararı ile istisna tutulan veri sorumlularına ilave olarak;
- Yıllık çalışan sayısı 50’den az ve
- Yıllık mali bilanço toplamı 25 milyon TL’den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanların; Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulmasına karar verilmiştir.
Buna göre, Kanun hükümleri veya Kurul kararlarıyla istisna tutulanlar hariç olmak üzere tüm tüzel kişi veri sorumlularının Sicile kayıt olması gerekmektedir.
ii. Veri Siciline Kayıt Halinde Belirlenecek İrtibat Kişisi
Tüzel kişilerde veri sorumlusu, görevlendirilen bir avukat, yönetici, çalışan olmayıp; tüzel kişiliğin kendisidir.
Veri sorumlusu tarafından sicil kaydı yapılırken irtibat kişisi atanmakta ve kişisel veri sahiplerinin veri sorumlusuna yönelteceği taleplerin cevaplandırılması konusunda iletişimi sağlanmaktadır.
Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca aşağıda yer verilen iki ayrı gruba irtibat kişisi atama yükümlülüğü bulunmaktadır;
- Türkiye’de Yerleşik Olan Tüzel Kişiler
- Türkiye’de Yerleşik Olmayan Tüzel Kişi Veri Sorumlusunun Temsilcisi
Yukarıda belirtildiği üzere, veri sorumluları siciline kayıt yükümlülüğü bulunan şirketlerde belirlenecek irtibat kişisi, Türkiye’de yerleşik ve Türkiye Cumhuriyeti vatandaşı bir gerçek kişi olmalıdır.
İrtibat kişisinin, veri sorumlusunun çalışanı olması zorunlu olmamakla birlikte veri sorumlusuna ait veri girişlerinin eksiksiz ve doğru yapılabilmesi için veri sorumlusuna ait veri işleme bilgilerine yeterince sahip olan bir kişinin olması önem teşkil etmektedir. Ayrıca, veri sorumlusu tarafından gerekli görüldüğü halde irtibat kişisi değişikliği yapılabilecek olup; sistem üzerinden de irtibat kişisi değiştirilebilmektedir. Bununla birlikte, veri sorumlusu, irtibat kişisi tarafından girilen tüm bilgileri dilediği zaman kontrol edebilmektedir.
Bu kapsamda, Veri Sorumluları Siciline kayıt yükümlülüğü bulunan ve Kanunda ve Yönetmelikte belirtilen istisna kapsamında olmayan tüm veri sorumlularının “kişisel veri işleme envanteri” ve “kişisel veri saklama ve imha politikası” doğrultusunda VERBİS sistemine kayıt yaptırması gerekmektedir.
Yönetmelik, Türkiye’de yerleşik veri sorumlularına, kişisel veriler ile ilgili konularda verisi işlenen kişiler ile veri sorumluları arasındaki iletişimi sağlamak üzere irtibat kişisi atama yükümlülüğü yüklemektedir. İrtibat kişisi, verisi işlenen kişilerden gelen şikayet ve talepleri veri sorumlusuna iletecek, veri sorumlusu da bu şikayet ve talepleri değerlendirdikten sonra cevabını irtibat kişisi aracılığı ile ilgili kişilere verecektir.
Bu itibarla, VERBİS kaydının yaptırılmasına bağlı olarak; Türkiye’de yerleşik ve Türkiye Cumhuriyeti vatandaşı bir gerçek kişi irtibat kişisi olarak atanacaktır.
Veri Sorumluları Sicili’ne kayıt yükümlülüğe aykırılığın yaptırımı olarak ise; KVKK’nın kabahatlar başlıklı 18. maddesine uyarınca VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı davrananlar hakkında Kurul tarafından 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezasına hükmedilebilir.
Av. İpek Öztaş
Kaynakça:
1. Sorularla Veri Sorumluları Sicil Bilgi Sistemi (VERBİS)- KVKK Veri Yönetimi Dairesi Başkanlığı
2. Ayözger Çiğdem, Kişisel Verilerin Korunması, Beta Yayıncılık, İstanbul 2016
