6698 sayılı Kişisel Verilerin Korunması Kanununun (kısaca “Kanun”) 16.  maddesi gereği, kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Sicile kayıt yükümlülüğü, kişisel veri işlemekte olan gerçek veya tüzel kişiler için Kanunla getirilmiş bir yükümlülük olup bu yükümlülüğe uyulmaması halinde yaptırım öngörülmüştür. Bununla birlikte Kanun’un Geçici 1. Maddesi, Veri Sorumluları Siciline en geç hangi tarihe kadar kayıt yaptırılması gerektiğini belirleme yetkisini Kişisel Verileri Koruma Kurulu’na (kısaca “Kurul”) vermiştir ve Kurul da bu konuda son olarak aldığı 2019/387 sayılı kararı ile kayıt yükümlülüğü için öngörülen son tarihleri şu şekilde belirlemiştir:

Veri Sorumluları	Kayıt Yükümlülüğü Başlangıç Tarihi	Kayıt Yükümlülüğü Son Tarihi
Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları	01.10.2018	30.06.2020
Yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları	01.10.2018	30.06.2020
Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları	01.01.2019	30.09.2020
Kamu kurum ve kuruluşu veri sorumluları	01.04.2019	31.12.2020

Belirtmek gerekir ki; bu tarihlerin Kurul tarafından yeniden düzenlenmesi ve kayıt yükümlülüğü için öngörülmüş son tarihlerin ileri bir tarih olarak değiştirilmesi mümkündür. Ancak, işbu yazının hazırlandığı tarih itibari ile kayıt yükümlülüğü için öngörülmüş son tarihler yukarıdaki gibidir.

1. VERBİS nedir?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), Kanun’un 16. Maddesine göre kişisel veri işleyen gerçek ve tüzel kişi veri sorumlularının kişisel veri işlemeye başlamadan önce kaydolmaları gereken sicil bilgi sistemidir. www.kvkk.gov.tr internet adresi üzerinden bu sicil bilgi sistemine erişim sağlamak ve kayıt işlemlerini gerçekleştirmek mümkündür.

2. Veri Sorumlusu kimdir?

Veri sorumlusu; kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişilerin tümündür.

Örnek verecek olursak; personelin maaşını ödeyebilmek için isim, telefon numarası, banka hesap numarası gibi bir takım kişisel verilerini bir veri tabanında tutan bir beyaz eşya imalat firması bu kapsamda hem kişisel veri işleme amacını hem veri işleme araç ve yöntemlerini belirlemekte ve ayrıca buna yönelik bir veri kayıt sistemi de oluşturmuş durumdadır. Kısaca neden ve nasıl kişisel veri işlediğine kendisi karar vermektedir. Bu nedenle söz konusu firma, Kanun bakımından veri sorumlusudur.

3. Her Veri Sorumlusu’nun VERBİS’e kaydolması zorunlu mudur?

Kural olarak bir veri sorumlusunun VERBİS’e kaydolması gerekmekle birlikte, Kanun’un ve Kanun’un verdiği yetkiye dayanarak Kurul’un getirdiği birtakım istisnalar da vardır. Buna göre, VERBİS’e kaydolmaktan istisna tutulanlar şu şekilde sıralanabilir:

• Kanun’un 28. Maddesinde belirtilen faaliyetleri gerçekleştiren veri sorumluları, sadece bahsi geçen madde kapsamında işlediği kişisel veriler bakımından VERBİS’e bilgi girişi yapmaktan istisna tutulmuşlardır,

Ayrıca, Kurul tarafından bazı veri sorumluları için Sicile kayıt yükümlülüğüne istisna getirilmiş olup, bu kapsamda alınmış olan 2018/32 sayılı Kurul Kararı 15.05.2018 tarihli Resmi Gazete’de; 2018/68, 2018/75 ve 2018/87 sayılı Kurul Kararları ise 18.08.2018 tarihli Resmi Gazete’de yayımlanmıştır ve buna göre;

• Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler,

• 18/01/1972 tarihli ve 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler,

• 04/11/2004 tarihli ve 5253 sayılı Dernekler Kanununa göre kurulmuş derneklerden, 20/02/2008 tarihli ve 5737 sayılı Vakıflar Kanununa göre kurulmuş vakıflardan ve 18/10/2012 tarihli 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanununa göre kurulmuş sendikalardan yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler,

• 22/04/1983 tarihli ve 2820 sayılı Siyasi Partiler Kanununa göre kurulmuş siyasi partiler,

• 19/03/1969 tarihli ve 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar,

• Gümrük müşavirleri,

• Arabulucular,

• 01/06/1989 tarihli ve 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu uyarınca faaliyet gösteren Serbest Muhasebeci Mali Müşavirler ve Yeminli Mali Müşavirler,

• Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar,

Yukarıda sayılanlar VERBİS’e kayıt zorunluluğundan istisna tutulmuş olmakla birlikte, önemle belirtmek gerekir ki, VERBİS’e kayıt yükümlülüğünden istisna olma durumu Kanun hükümlerinden de istisna olmak anlamına gelmemektedir. Tüm Veri Sorumluları, Kanun’un öngördüğü yükümlülüklere uymakla mükelleftir.

4. İstisna kapsamında olmadığı halde VERBİS’e kaydolmayan bir Veri Sorumlusu’nun başına ne gelebilir?

Kurul’un ilan ettiği son tarihe kadar usulüne uygun şekilde VERBİS’e kayıt işlemini gerçekleştiremeyen ve bildirim yükümlülüğüne aykırı hareket eden Veri Sorumluları hakkında, Kanun’un 18. Maddesinden 1. Fıkrasının ç bendi uyarınca 20.000 Türk lirasından 1.000.000 Türk lirasına kadar, idari para cezası verilir. İstisna kapsamında olmadığı halde, Sicile kayıt yükümlülüğünü yerine getirmeyen veri sorumlularının tespiti Kişisel Verileri Koruma Kurumu tarafından yapılacak ve yukarıda belirtilen aralıkta bir idari para cezası takdir edilecektir.

5. Ana faaliyetin konusunun özel nitelikli kişisel veri işlemek olması ne demektir?

Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olduğu halde, ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumlularının da VERBİS’e kaydolması zorunludur. Bu bakımdan özel nitelikli kişisel verinin ve ana faaliyet konusunun özel nitelikli kişisel veri işlemek olmasının önemi artmaktadır.

Kanun’un 6. Maddesinin 1. Fıkrasındaki tanıma göre; kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veridir.

Ana faaliyetin özel nitelikli kişisel veri işleme olup olmadığının tespitinde, veri sorumlularının en çok katma değer ürettiği faaliyetleri veya yürüttükleri temel iş ve görevleri gereği özel nitelikli kişisel veri işlenmesi durumu olup olmadığı dikkate alınmalıdır. Diğer bir deyişle burada değerlendirilmesi gereken; veri sorumlularının herhangi bir faaliyeti içerisinde özel nitelikli kişisel veri işlenmesi değil, temel olarak yürütmekte oldukları işlerinin kapsamının özel nitelikli kişisel veri işlenmesi durumudur.

            VERBİS’e kayıt için öngörülmüş sürelerin dolmasına sayılı günler kaldığını hatırlatmak maksadı ile hazırladığım bu yazıda, VERBİS ve kayıt süreci ile ilgili ilk akla gelen birkaç basit soruyu cevaplamaya çalıştım. Ancak, Kişisel Verilerin Korunması Kanunu Uyum Süreci, oldukça kapsamlı ve profesyonel hukuki destek alınması elzem olan bir süreçtir. Bu bakımdan, işbu yazıda anlatılanların tek başına VERBİS’e kayıt sürecini yürütmek için yeterli olmayacağını belirtmek isterim.

Av. Eray YAĞCI