6698 sayılı KVKK’ya uyum sürecini tamamlamak ile Veri Sorumluları Sicil Bilgi Sistemi (Verbis)’ne kaydolmak aynı şey mi?
Kişisel Verilerin Korunması Kanunu (“KVKK”) 7 Nisan 2016’da yayımlanarak yürürlüğe girmiştir. KVKK’nın amacı, kişisel verilerin işlenmesinde temel hak ve özgürlükleri koruma altına almak ve kişisel verileri1 işleyen süjelerin yükümlülüklerine ilişkin usul ve esasları belirlemektir (KVKK m.1).
KVKK, Geçici 1’inci maddesi ile KVKK’nın yayımı tarihinden önce işlenmiş olan kişisel verilerin, yayımı tarihinden itibaren iki yıl içinde KVKK hükümlerine uygun hale getirileceğini düzenlemiştir. Uygulamada, “uyum süreci” olarak anılan bu proses, veri işleme politikasının hazırlanması, veri saklama ve imha politikalarının hazırlanması, Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından önerilen teknik ve idari tedbirlerin alınması, veri güvenliği protokollerinin tanzim edilmesi, farkındalık çalışmalarının yapılması, kişisel veri işleme envanterinin oluşturulması, ilgili veri sorumluları için VERBİS’e kayıt ve bildirim gibi birçok adımdan oluşmaktadır. Altını çizmek gerekir ki, VERBİS’e bildirimde bulunmak da uyum sürecinin dışında bir şey olmamakla birlikte yalnızca VERBİS’e kayıt yaptırmak sürecin tamamlandığı anlamına gelmemektedir.
VERBİS nedir? Kayıt zorunluluğu var mıdır?
KVKK m.16 kişisel veri işleyen gerçek ve tüzel kişilerin, veri işlemeye başlamadan önce VERBİS’e kaydolmalarının zorunlu olduğunu düzenlemiştir (KVKK m.16/2). Veri sorumluları sisteme, dahil oldukları veri sorumlusu kategorisine göre belirli tarihlerden önce kaydolmak zorundadır.
VERBİS kısaca; veri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan evvel kaydolmakla yükümlü bulunduğu, verilerin kategorik olarak tutulduğu, internette kamuya açık olarak tutulan, Kişisel Verileri Koruma Kurumu tarafından oluşturulan ve yönetilen bilişim sistemini ifade eder.2
Türkiye’de veya yurtdışında yerleşik veri sorumluları ile veri sorumlusu kamu kurum/kuruluşları şayet Türkiye’de veri işliyorlar ise VERBİS’e kaydolmak zorundadır. Buna göre, yıllık çalışan sayısı 50’den fazla veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları ile yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları 31 Aralık 2019’a kadar VERBİS’e kayıt olmak zorundadır. Örneğin, İstanbul’da yerleşik olup 51 çalışanı olan bir denizcilik şirketinin veya İzmir’de yerleşik olup 2018 mali bilançosu 30 milyon TL olan bir turizm şirketinin 1 Ocak 2020’den önce veri envanterini hazırlaması, bir veri sorumlusu irtibat kişisi ataması ve VERBİS kaydını gerçekleştirmesi gerekmektedir.
VERBİS’e kaydolmamanın bir yaptırımı var mı?
KVKK’nın 18’inci maddesinde, yükümlülükleri yerine getirmeyenler için 5 bin TL ile 1 milyon TL arasında değişen idari para cezaları öngörülmüştür. Örneğin, KVKK m.12 uyarınca veri güvenliğine ilişkin yükümlülüklerini yerine getirmeyenler hakkında 1 milyon TL’ye kadar idari para cezası öngörülmüştür. Yukarıda anılan nitelikleri haiz şirketler şayet VERBİS’e kayıt yaptırmadılar ise haklarında 1 milyon TL’ye kadar idari para cezası verilebilecektir.
Envanter oluşturulması
VERBİS’e kaydın en önemli adımı, kişisel veri işleme envanterinin (“Envanter”) oluşturulmasıdır. VERBİS’e kayıt yükümlülüğü altında bulunan veri sorumluları Envanter hazırlamak ile yükümlüdür. Veri Sorumluları Sicili Hakkında Yönetmelik m.4 uyarınca Envanter:
“Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri” ifade etmektedir.
Kayıt yükümlülüğü kapsamında bildirilecek bilgilere ilişkin Yönetmelik’in 9’uncu maddesi bu sayılanların VERBİS kayıt başvurusunda yer alacak bilgiler olarak saymıştır. Dolayısıyla şirketlerin, Envanter hazırlarken, süreci ve şirketin yapısını iyi analiz etmesi, boşluk analizini dikkatli biçimde yapması ve istenilenler ile mevcut arasındaki köprüyü özenle kurması gerekmektedir. Diğer türlü VERBİS’e yapılan bildirimler hatalı olacak ve şirketler idari yaptırım riski ile karşı karşıya kalabilecektir. İfade etmek gerekir ki, şirketin faaliyet gösterdiği saha, VERBİS kaydı açısından bir önem taşımamaktadır. Örneğin, Türkiye’de yerleşik; denizcilik sektöründeki 100 çalışanı bulunan bir holding de; inşaat sektöründe faaliyet gösteren ve mali bilançosu 25,1 milyon TL olan bir anonim şirket de 20 bin TL ile 1 milyon TL arasında bir idari para cezası riski ile karşı karşıya kalmamak için VERBİS’e kayıt ve bildirim yükümlülüğünü yerine getirmelidir.
Şirketler VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı davranırlarsa hangi olumsuz sonuçlar ile karşılaşabilirler?
Belirtilen tarihlerden önce VERBİS’e kaydolmayan şirketler 1 milyon TL’ye kadar idari para cezası riski ile karşı karşıya kalacaklardır. Buradaki risk, Kanun’un 18. maddesinde Kabahatler başlığı altında düzenlenen idari para cezalarının 5326 sayılı Kabahatler Kanunu rejimine tabi oluşudur. Kabahatler Kanunu rejimi dolayısıyla da, bu tür idari para cezalarına karşı Sulh Ceza Hâkimliği nezdinde yargı yoluna başvurulacaktır. Örneğin KVKK m.18/1-ç’ye aykırılık dolayısıyla hakkında 1 milyon TL idari para cezası uygulanan bir şirketin buna ilişkin bir savunma hazırlaması söz konusu savunmanın bu alanda ihtisası olmayan bir hakimlik tarafından yine kısıtlı bir süre içerisinde karara çıkacak olması uygulamada endişe verici olarak addedilmektedir.
