| Okuma Süresi: 3 Dakika

VERİ SORUMLULARI SİCİLİ BİLGİ SİSTEMİ (VERBİS) KAYIT YÜKÜMLÜLÜĞÜ BAŞLARKEN

AV. ADEM AKKIR

Veri Kayıt Siciline Kayıt Yükümlülüğü istisnalar hariç 01.10.2018 tarihinde başlayacak olup 2020 ilk yarısına kadar uzanan bir zaman diliminde kademeli bir geçiş öngörülmüştür.

 

Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler, noterler, siyasi partiler, avukatlar, serbest ve yeminli mali müşavirler, gümrük müşavirleri, arabulucular ve çalışan sayası 50’den az veya yıllık mali bilanço toplamı 25 Milyon TL’den az olan gerçek ve tüzel kişiler ile mevzuatlarına uygun olarak kurulmuş ve amaçlarına uygun olarak kişisel veri işleyen dernekler, vakıflar, sendikalar VERBİS’e kayıt olma yükümlülüğünden şimdilik istisna tutulmuşlardır. Veri Sorumluları Sicili Hakkında Yönetmelik madde 8/2 gereği bu kişi ve kuruluşlar kayıt yükümlüsü haline gelmeleri halinde ise; yükümlülük altına girmelerini müteakip otuz gün içerisinde Sicile kaydolmaları gerekecektir. Ancak bilinmelidir ki istisna sadece VERBİS’e yönelik olup kanuna uyum ve gerekliliklerini yerine getirme noktasında bu kişi ve kuruluşların yükümlülüğü devam etmektedir.

 

İstisna harici olan veri sorumlusu kişilerin VERBİS’e kayıt olmaları zorunlu olup; VERBİS’e kayıt olmak için başvuru, aşağıdaki bilgileri içeren bir bildirim ile yapılacaktır. Söz konusu bilgiler şunlardır:

 

• Veri sorumlusu  ([i]) ve varsa temsilcisinin ([ii]) kimlik ve adres bilgileri ile irtibat kişilerinin  ([iii]) bilgileri ve

Bir envanter ([iv]) dahilinde;

 

• Kişisel verilerin hangi amaçla işleneceği,

• Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar,

• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,

• Yabancı ülkelere aktarımı öngörülen kişisel veriler,

• Kişisel veri güvenliğine ilişkin alınan tedbirler,

• Kişisel verilerin işlendikleri amaç için gerekli olan azami süreye ilişkin bilgileridir.

 

Yukarıda listelenen bilgilerde herhangi bir değişiklik olması halinde Kuruma ([v]) 7 gün içinde bilgi verilmesi gerekmektedir.

 

Bu doğrultuda tüzel kişiler yönünden veri sorumlusu tüzel kişiliğin kendisi olup, Türkiye’de yerleşik olan ve Türkiye’de yerleşik olmayan veri sorumlularını nasıl davranması gerektiğine dair ikili bir ayrıma gidersek;

 

  1. Türkiye’de yerleşik olan tüzel kişilerin Kanun   ([vi]) kapsamındaki veri sorumlusu yükümlülükleri, ilgili mevzuat hükümlerine göre tüzel kişiliği temsil ve ilzama yetkili organ veya ilgili mevzuatta belirtilen kişi veya kişiler marifetiyle yerine getirilir. Tüzel kişiliği temsile yetkili organ, Kanunun uygulanması bakımından yerine getirilecek yükümlülükler ile ilgili olarak bir veya birden fazla kişiyi görevlendirebilir. Bu görevlendirme Kanun hükümleri uyarınca tüzel kişiliğin kanunun ihlali noktasında gelecek yaptırımlar bakımından sorumluluğunu ortadan kaldırmayacağı ise bilinmelidir. Ancak rücu mekanizması ve Türk Ceza Kanunu anlamında doğacak sorumluluk bakımından görevlendirmenin önemli olduğunu hatırlatmak isteriz.

 

Yine Türkiye’de yerleşik tüzel kişi veri sorumlularının VERBİS’e kayıt olurken irtibatlı kişisinin sicile işlenmesi istenmektedir ki, irtibatlı kişi yalnızca verisi işlenen ilgili kişilerin veri sorumlusuna yönelteceği taleplerin cevaplandırılması konusunda iletişimi sağlayacaktır.

 

  1. Türkiye’de yerleşik olmayan veri sorumlusunun, veri sorumlusu temsilcisi atanmasına ilişkin yetkili organı veya kişisi tarafından alınacak kararın tasdikli örneği, kayıt başvurusu sırasında kuruma sunulacaktır. Veri sorumlusu temsilcisi atama kararının içeriği ve yetkiler ise asgari olarak aşağıda belirtilen hususları içermelidir.

 

a) Kurum tarafından yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etme,

b) Kurum tarafından veri sorumlusuna yöneltilen talepleri veri sorumlusuna iletme, veri sorumlusundan gelecek cevabı Kuruma iletme,

c) Kurul tarafından başkaca bir esasın belirlenmemiş olması halinde; ilgili kişilerin Kanunun 13 üncü maddesinin birinci fıkrası uyarınca veri sorumlusuna yönelteceği başvuruları veri sorumlusu adına alma ve veri sorumlusuna iletme,

ç) Kurul tarafından başkaca bir esasın belirlenmemiş olması halinde; ilgili kişilere Kanunun 13 üncü maddesinin üçüncü fıkrası uyarınca veri sorumlusunun cevabını iletme,

d) Veri sorumlusu adına Sicile ilişkin iş ve işlemleri yapma.

 

VERBİS’e kayıt olan veri sorumluları ile iletişim ise Türkiye’de yerleşik olanlar için KEP  ([vii]) adresi üzerinden, yerleşik olmayanlar için ise VERBİS’e bildirilen veri sorumlusu temsilcisi üzerinden gerçekleştirilecektir.

 

Türkiye’de yerleşik olsun veya olmasın veri sorumluları tarafından; VERBİS’e verilecek, kişisel verilerin işlendikleri amaç için gerekli olan azami sürenin belirlenmesi, bu sürelerin kişisel veri işleme envanterinde belirtilen bilgilerle uyumu ve azami sürenin aşılıp aşılmadığının takibi için kişisel veri saklama ve imha politikası hazırlanması ve ayrıca bu politikanın uygulanmasını sağlanması gerekmektedir.

 

VERBİS ilgili kişilerin incelemesine açık şekilde aleni şekilde tutulacaktır. Hiçbir şekilde kişisel veri içermeyecek yalnızca kategorik bazda hangi tür kişisel verinin hangi amaçla işleneceği ve ne kadar süre ile saklanacağına ve nereye aktarılacağına dair yukarıda verilen bilgiler başlıklar halinde bulunacak olup Kurum’un internet sayfası olan https://www.kvkk.gov.tr/ üzerinden paylaşılacaktır.

 

Kademeli geçiş ise aşağıda tabloda belirtilen plan dahilinde öngörülmüştür.

 

6698 Sayılı Kanunun 18 inci maddesinin (ç) bendinde, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğü kapsamında olmasına rağmen bu yükümlülüğünü yerine getirmeyen veri sorumluları hakkında ise Kişisel Verileri Koruma Kurulunca 20.000 TL ila 1.000.000 TL arasında idari para cezası yaptırımı uygulanacaktır.

 


([i]) Veri Sorumlusu; Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir.

([ii]) Veri Sorumlusu Temsilcisi: Türkiye’de yerleşik olmayan veri sorumlularını Yönetmeliğin 11 inci maddesinin ikinci fıkrasında belirtilen konularda asgari temsile yetkili Türkiye’de yerleşik tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı gerçek kişidir.

([iii]) Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişi veri sorumlusu temsilcisinin Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile kurulacak iletişim için veri sorumlusu tarafından Sicile kayıt esnasında bildirilen gerçek kişidir.

([iv]) Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanterdir.

([v]) Kişisel Verileri Koruma Kurumu

([vi]) 6698 sayılı Kişisel Verilerin Korunması Kanunu

([vii]KEP: Kayıtlı Elektronik Posta adresinin alınabileceği hizmet sağlayacılarına https://www.btk.gov.tr/kayitli-elektronik-posta-hizmet-saglayicilar adresinden ulaşabilirsiniz.