6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) ve alt düzenlemelerinin yürürlüğe girmesi ile birlikte; Türk hukuku bir kısmı Avrupa Birliği Genel Veri Koruma Tüzüğü (“GDPR”) ve öncülü düzenlemelerde bulunan bir kısmı da yeni olan kavramlarla tanışmaya ve uygulayıcılar bu kavramlar hakkında detaylı bilgi alma ihtiyacı hissetmeye başladı. Hukukumuz ve veri sorumluları için tamamen yeni olan Veri Sorumluları Sicil Bilgi Sistemi (“VERBİS”) de bu kavramlardan biri oldu.
Kanun’dan sonra; VERBİS ile ilgili olan ilk mevzuat olan 30.12.2017 tarihli Veri Sorumluları Sicili Hakkında Yönetmelik (“Yönetmelik”) o dönem henüz açılmayan VERBİS ile ilgili daha detaylı bilgi almamızı sağlarken; Kişisel Verileri Koruma Kurulunun (“Kurul”) 19/07/2018 tarihli ve 2018/88 sayılı kararı ile sicile kayıt yükümlülüğüne ilişkin ilk süreler verildi. 03/09/2019 tarihli ve 2019/265 sayılı Kurul kararı ile uzatılan süreler; en nihayetinde 23/06/2020 tarihli ve 2020/482 sayılı Kurul kararı ile bir kez daha uzatıldı.
Her ne kadar bu yazının kaleme alındığı gün itibariyle 4 yılı aşkın süredir yürürlükte olan Kanun ve üç yılı aşkın süredir gündemde olan VERBİS için artık “yeni” demek zor olsa da; kayıt için verilen sürenin bir kısım veri sorumluları için bir kez daha uzatma söz konusu olmazsa 30 Eylül 2020 tarihinde dolacak olması nedeniyle yeniden gündeme gelen VERBİS hakkında hala yanlış bilinen noktaların olduğunu söylemek mümkündür. Bu yazıda bu noktalardan birkaçına yer verilmiştir.
- Yanılgıların en büyüğü yıllık mali bilanço toplamı ve çalışan sayısı Kurul kararlarında belirtilen sınırların altında kalan ya da kayıt yükümlülüğünden istisna tutulan veri sorumlularının Kanun’dan tamamen muaf olduğunu düşünmesidir. Oysaki VERBİS’e kayıt; Kanun’daki yükümlülüklerden yalnızca biri olup yükümlülüklerin çok küçük bir bölümünü teşkil etmektedir. Kişisel verileri işlerken riayet edilmesi gereken ilkeler, aydınlatma yükümlülüğü, gerekli teknik ve idari tedbirlerin alınması gibi aslında çok derin bir çalışma ve belli durumlarda ciddi yatırımlar gerektiren yükümlülükler; VERBİS’e kayıt olsa da olmasa da veri sorumluları için bağlayıcıdır.
- Bir diğer yanılgı; VERBİS’e kayıt için belirlenen sürenin Kanun’a uyum sağlamak için belirlenen bir süre olduğunun sanılmasıdır. Oysa Kanun’un bir kısmı 07.04.2016 tarihinde, bir kısmı ise 07.10.2016 yürürlüğe girmiş; 07.04.2018 tarihine kadar Kanun’un yürürlüğe girme tarihinden önce işlenen verilerin Kanun’a uyumlu hale getirilmesi için veri sorumlularına süre verilmiştir. Dolayısıyla uyum sürecini tamamlamak için VERBİS’e kayıt yükümlülüğünü bekleyen veri sorumluları bakımından iki yılı aşan bir gecikme söz konusudur.
- Bir başka yanılgı; VERBİS’e kaydın öneminin farkında olup buzdağının görünmeyen kısmını görmezden gelen veri sorumluları bakımından gündeme gelmektedir. Uyum çalışması yapılmaksızın yani aslında bir temeli olmaksızın VERBİS’e kayıt yükümlülüğünü yerine getiren bazı veri sorumluları için yapılması gereken işlere çok tersten başlandığını söylemek mümkündür. Zira, veri işleme faaliyetlerini gözden geçirmeden yapılmış bir VERBİS bildirimi, veri sorumlusunu ceza almaktan kurtarmayacağı gibi, VERBİS girişlerinin mevcut durumu yansıtmaması halinde veri sorumlusunun içinde bulunacağı durumu daha da güç hale getirebilecektir.
- Bir kısım veri sorumluları ise, VERBİS’e kayıt ile ilgili ilk adımı atarak; şirket bilgilerini içeren evrakı Kurum’a iletip giriş bilgilerini Kurum’dan aldıktan sonra yükümlülüklerini yerine getirdiklerini zannetmektedir. Oysa bu durumdaki veri sorumluları çoğunlukla irtibat kişisi atamamış, veri işleme faaliyetleri ile ilgili bilgi girişlerini yapmamış ve bildirimlerini göndermemiş durumdadır. Dolayısıyla VERBİS’e kaydının tamamladığını düşünen her veri sorumlusunun son kayıt tarihi gelmeden verbis.kvkk.gov.tr internet adresi üzerinden “Sicil Sorgulama” ekranını giriş yaparak unvanlarını aratmaları ve girişlerin doğru olup olmadığını kontrol etmeleri faydalı olacaktır.
Şüphesiz VERBİS ile ilgili en doğru bilinen husus, VERBİS’e kayıt yükümlülüğünün yerine getirilmesinin veri sorumluları açısından çok önemli bir yükümlülük olmasıdır. Ancak bundan daha da önemli olan kayıt yükümlülüğünün verimli bir uyum süreci neticesinde; doğru ve usulüne uygun bir şekilde tamamlanmasıdır. Kayıt yükümlülüğünü yerine getirmiş olmak için yapılan gelişigüzel kayıtlar, veri sorumlularını daha güç durumda bırakabilecektir.
Sonuç olarak; veri sorumlularının öncesi ve sonrasıyla VERBİS’e kayıt yükümlülüğü sürecini iyi bir şekilde planlayarak tamamlamaları, kayıt esnasında doğru ve güncel bilgilerin girildiğinden emin olmaları, VERBİS’e kaydedilen bilgileri güncel tutmaları oldukça önemlidir. VERBİS’e kayıt yükümlülüğünün hiç ya da gerektiği gibi yerine getirilmemesi durumunda 2020 itibariyle Kurul tarafından 36.053,00-TL’den 1.802.636,00-TL’ye kadar idari para cezası uygulanabileceğini, uygunsuz VERBİS kayıtları üzerine ya da başka nedenlerle veri sorumlusu nezdinde yapılacak denetimler sonucunda bu cezalardan çok daha fazlasının da uygulanabileceğini hatırda bulundurmak gerekmektedir.
Av. Kerem Utku ÖRER
Tarlan Avukatlık Bürosu Bloğu 