Veri sorumlularının Kişisel Verileri Koruma Kanunu (“KVKK”) kapsamındaki en temel yükümlüklerinden biri kamuya açık olarak tutulan Veri Sorumluları Sicili’ne, “VERBİS” adlı çevrimiçi bilgi sistemi üzerinden kaydolmaktır ve kişisel veri işleme faaliyetlerini bildirmektir. Birtakım veri sorumluları açısından bu yükümlülüğe uyum için verilen süre 31 Aralık 2019’da dolmaktadır.
VERBİS nedir?
VERBİS, veri sorumluları tarafından bildirilen veri işleme faaliyetlerinin kamuya açık hale getirildiği çevrimiçi bir sistemdir. VERBİS’in amacı veri sorumlularının kişisel veri işleme faaliyetlerinde şeffaflığı sağlamaktır.
31 Aralık 2019‘a kadar hangi veri sorumluları kaydolmak zorundadır ?
31 Aralık 2019 tarihi aşağıdaki veri sorumluları açısından son tarihtir:
- Yıllık çalışan sayısı 50’den fazla olan veya yıllık mali bilanço toplamı 25.000.000 TL’den fazla olan veri sorumluları;
- Yurt dışında yerleşik olup, KVKK’nın uygulama alanı kapsamına giren veri sorumluları. Bu veri sorumluları açısından herhangi bir eşik uygulanmamakta, hepsinin kayıt ve bildirim yaptırması beklenmektedir.
İstisnalar var mıdır?
Evet, istisnalar mevcuttur. Fakat, bunlar çok sınırlı olup, çoğunlukla ticari işletmeleri kapsamamaktadır. Sicile kayıttan muaf tutulan veri sorumlular içerisinde örneğin noterler, siyasi partiler, avukatlar ve mali müşavirler yer almaktadır.
Kayıt ve bildirim yaptırılmaması halinde olası cezalar nelerdir?
Kayıt yükümlüklerine uymamak, yaklaşık olarak 29.000 TL’den 1.470.000 TL’ye varan idari para cezalarına neden olabilir.
Özellikle Türkiye’de yerleşik veri sorumluları açısından kayıt ve bildirim yükümlülüğü için belirlenen eşikler oldukça nettir. Zira hem yıllık çalışan sayısı hem de yıllık mali bilanço toplamı objektif kriterlerdir. Dolayısıyla Kişisel Verileri Koruma Kurumu (“Kurum”), 31 Aralık tarihinden sonra veri temelli bir inceleme yaparak kaydolması gereken ancak bunu yapmayan veri sorumlularını oldukça kolay bir şekilde belirleyebilecektir. Nitekim Kurum da "Sorularla VERBİS" dokümanında, süresi içinde kayıt yaptırmayan veri sorumlularını resen tespit edeceğini ve bunlara idari para cezaları uygulayacağını açıklamıştır.
Kayıt ve bildirim için yapılması gereken işlemler nelerdir?
Veri sorumluları özetle (1) VERBİS’e kayıt olmak, (2) VERBİS üzerinden bir “irtibat kişisi” atamak ve (3) veri işleme faaliyetlerini irtibat kişileri aracılığıyla VERBİS üzerinden Kurum’a bildirmekle yükümlüdürler.
Üçüncü aşamanın yerine getirilebilmesi açısından tüm veri sorumlularının öncelikle olgusal bir çalışma yaparak kişisel veri işleme faaliyetleri tespit etmeleri gerekecektir. Zira VERBİS’e kayıt ve bildirim sürecinde aşağıdakiler de dahil olmak üzere işleme faaliyetlerine ilişkin detaylı bilgi sunulması beklenmektedir:
- “İrtibat kişisinin” ve/veya “veri sorumlusu temsilcisinin” kimliği ve iletişim bilgileri;
- Toplanan kişisel verilerin kategorileri (ör. kimlik, iletişim, konum, finans);
- İşleme amaçları;
- İlgili kişi kategorisi (ör. çalışan, müşteri, tedarikçi);
- Kişisel verilerin aktarıldığı üçüncü kişi kategorileri (ör. kamu kurumları, tedarikçiler, hissedarlar, bağlı şirketler)
- Yurt dışına aktarımlar;
- Saklama süreleri;
- Veri sorumlusu tarafından uygulanan veri güvenliği önlemleri;
Yukarıda paylaşılan bilgiler basit bir liste şeklinde değil, bilgilerin birbiriyle bağlantılı olduğu bir tablo formatında sunulmaktadır. Aşağıda çok basit bir veri işleme faaliyeti için örnek bir bildirim paylaşmaktayız:
| Veri Kategorisi | İşleme Amacı | İlgili Kişi | Üçüncü Kişilere Aktarım | Yurt Dışına Aktarım | Saklama Süresi |
| Kimlik verisi | Hukuki yükümlüklere uyum | Çalışan | Kamu kurumları | Hayır | 10 yıl |
Son olarak, yurt dışında yerleşik olup KVKK’nın uygulama alanı kapsamına giren veri sorumlularının öncelikle Türkiye’de yerleşik bir tüzel kişi veya Türk vatandaşı olan bir gerçek kişiyi veri sorumlusu temsilcisi olarak atamaları gerekmektedir. Bu temsilci ise daha sonra veri sorumlusu adına irtibat kişisini atayacaktır.
Bize Ulaşın
VERBİS’e kayıt için belirlenen daha önce belirlenen son tarih, kayıt ve bildirim yükümlüklerine uyum için veri sorumlularına son bir fırsat tanımak adına Kurum tarafından 31 Aralık 2019 tarihine ertelenmişti. Bu sebeple veri sorumlularının bir an önce harekete geçmesi ve bu son tarihi kaçırmaması son derece önemlidir.
Konuyla ilgili her türlü sorunuz için veri koruma ekibimizle dataprotection@ersoybilghehan.com üzerinden iletişime geçebilirsiniz.
