VERBİS'te İrtibat Kişisi Atanması Zorunlu mudur? Görev ve Sorumlulukları

KVKK m. 16 ve buna dayanılarak çıkarılan ikincil düzenlemeler uyarınca, VERBİS'e kayıt yükümlülüğü bulunan gerçek ve tüzel kişi veri sorumluları, Kurum ile kendileri arasındaki iletişimi sağlamak üzere bir irtibat kişisi bildirmekle yükümlüdür. Tüzel kişi veri sorumluları bakımından irtibat kişisi, veri sorumlusunun bir çalışanı veya yetkilisi olarak atanır; gerçek kişi veri sorumluları ise bizzat kendileri irtibat kişisi olarak görev yapabilir.

İrtibat kişisinin, veri sorumlusunun yerine geçen bir temsilci olmadığı, yalnız iletişimi kolaylaştıran bir aracı sıfatı taşıdığı özellikle vurgulanmalıdır.

Uygulamada en sık yapılan hata, irtibat kişisinin KVKK yükümlülüklerinden bizzat sorumlu olduğunu düşünmektir. Oysa:

• KVKK'nın öngördüğü temel yükümlülükler (aydınlatma, açık rıza, veri güvenliği, VERBİS kaydı) veri sorumlusuna aittir,
• irtibat kişisi, bu yükümlülüklerin yerine getirilmesinde Kurum ile veri sorumlusu arasında iletişim köprüsü görevi görür,
• irtibat kişisinin kişisel olarak idari para cezasına muhatap olması, kural olarak söz konusu değildir; sorumluluk veri sorumlusu tüzel kişiye veya gerçek kişiye aittir.

Bu ayrım, irtibat kişisi olarak görevlendirilen çalışanların, şirketin KVKK ihlallerinden kişisel olarak sorumlu tutulacağı endişesiyle görevi üstlenmekten çekinmemesi açısından önemlidir.

İrtibat kişisinin başlıca işlevleri şunlardır:

• Kurum'dan gelen yazışma, bildirim ve taleplerin veri sorumlusu adına teslim alınması,
• Kurum'a yapılacak bildirimlerin (VERBİS güncellemeleri gibi) iletişim noktası olarak koordine edilmesi,
• Kurum'un yürüttüğü incelemelerde veri sorumlusu ile Kurum arasındaki yazışma trafiğinin yürütülmesi.

İrtibat kişisi, ilgili kişilerin KVKK m. 11 kapsamındaki başvurularını bizzat yanıtlamakla görevli değildir; bu başvurular veri sorumlusuna yöneltilir ve KVKK m. 13 çerçevesinde veri sorumlusu tarafından yanıtlanır. Ancak uygulamada birçok kurum, iç süreç kolaylığı açısından irtibat kişisini bu başvuruların da koordinasyonunda görevlendirmektedir; bu, kanuni bir zorunluluk değil, kurumsal bir tercih meselesidir.

İrtibat kişisi bakımından belirli bir unvan veya sertifika şartı aranmaz; ancak uygulamada veri sorumlusunun kişisel verilerin korunması mevzuatına aşina, kurum içi süreçlere hâkim bir çalışanının bu görevi üstlenmesi tercih edilmektedir. Yurt içinde yerleşik gerçek kişi olması gerektiği yönündeki uygulama, özellikle yurt dışında yerleşik veri sorumluları bakımından önem taşır.

Türkiye'de yerleşik olmayıp Türkiye'deki kişilere yönelik faaliyet yürüten ve VERBİS kapsamına giren veri sorumluları için, yalnız bir irtibat kişisi bildirilmesi çoğu zaman yeterli görülmemekte; ayrıca bir veri sorumlusu temsilcisi atanması gerekebilmektedir. Temsilci, irtibat kişisinden farklı olarak, veri sorumlusu adına Türkiye'de daha kapsamlı bir muhataplık işlevi görebilir. Bu iki kavramın (irtibat kişisi ve temsilci) birbirine karıştırılmaması, yurt dışı yerleşik şirketlerin VERBİS uyumunda önemli bir noktadır.

İrtibat kişisinin değişmesi (görevden ayrılması, işten çıkması gibi) hâlinde VERBİS kaydının güncellenmesi gerekir. Güncel olmayan irtibat bilgisi, Kurum'un veri sorumlusuyla iletişim kurmasını güçleştirebilir ve bu durum, bir inceleme sürecinde veri sorumlusunun aleyhine yorumlanabilecek gecikmelere yol açabilir.

VERBİS'e kayıt yükümlülüğü bulunduğu hâlde irtibat kişisi bildirilmemesi, kayıt yükümlülüğünün tam olarak yerine getirilmediği anlamına gelir ve bu, KVKK m. 18 kapsamında idari para cezası riskini beraberinde getirebilir. Ayrıca irtibat kişisi bilgisinin eksik olması, Kurum'un veri sorumlusuna ulaşamaması nedeniyle bir incelemenin veri sorumlusu aleyhine ilerlemesine yol açabilir.

İrtibat kişisinin, sırf bu görevi üstlenmiş olması nedeniyle KVKK ihlallerinden şahsen idari para cezasına muhatap olması kural olarak beklenmez; idari yaptırımların muhatabı veri sorumlusudur. Bununla birlikte irtibat kişisi, aynı zamanda şirketin başka bir sıfatla (örneğin yönetim kurulu üyesi veya genel müdür olarak) karar alma yetkisine sahipse, bu sıfatı nedeniyle doğabilecek sorumluluk, irtibat kişisi olmaktan değil, o ayrı sıfattan kaynaklanır.

İrtibat kişisinin etkin çalışabilmesi için, veri sorumlusunun iç süreçlerinde:

• kişisel veri envanterinin güncel tutulması,
• veri ihlali hâlinde kimin, hangi sürede, hangi bilgiyle irtibat kişisine ulaşacağının belirlenmesi,
• Kurum'dan gelecek yazışmaların hangi birimler tarafından hızlıca değerlendirileceğinin netleştirilmesi

önerilir. İrtibat kişisi atanmış olması, tek başına KVKK uyumunu sağlamaz; bu atamanın işlevsel bir iç süreçle desteklenmesi gerekir.

İrtibat kişisinin görevini etkin biçimde yerine getirebilmesi için, kişisel verilerin korunması mevzuatı konusunda temel düzeyde bilgi sahibi olması önerilir. Uygulamada birçok veri sorumlusu, irtibat kişisi olarak görevlendirdiği çalışana KVKK'nın temel kavramları, VERBİS süreçleri ve Kurum ile yazışma usulleri konusunda kısa süreli bir eğitim aldırmaktadır. Bu eğitim, kanuni bir zorunluluk olmasa da, irtibat kişisinin Kurum'dan gelen yazışmaları doğru değerlendirip ilgili birimlere zamanında yönlendirebilmesi açısından pratik fayda sağlar.

Aynı grup çatısı altında birden fazla tüzel kişiliği bulunan şirket topluluklarında, her bir tüzel kişinin kendi VERBİS kaydı ve kendi irtibat kişisi bulunması esastır. Grup içi ortak bir irtibat kişisinin birden fazla şirket adına görev yapması mümkün olsa da, bu kişinin her bir tüzel kişilik için ayrı ayrı ve doğru biçimde VERBİS'e bildirilmiş olması gerekir. Aksi hâlde bir tüzel kişinin VERBİS kaydında güncel olmayan veya eksik irtibat bilgisi bulunması, o tüzel kişi bakımından ayrı bir uyum sorunu doğurur.

• İrtibat kişisini, KVKK'nın tüm yükümlülüklerinden sorumlu bir "veri koruma görevlisi" gibi görmek,
• irtibat kişisi değiştiğinde VERBİS kaydını güncellememek,
• yurt dışı yerleşik veri sorumlularının irtibat kişisi ile temsilci kavramlarını birbirine karıştırması,
• irtibat kişisini atadıktan sonra iç süreçleri (veri ihlali bildirim akışı, başvuru yönetimi) hiç kurgulamamak,
• irtibat kişisinin kişisel olarak idari para cezasına muhatap olacağı endişesiyle görevin üstlenilmesinden kaçınılması.

İrtibat kişisi kurumu, VERBİS uyumunun teknik ama önemli bir parçasıdır. Görevin kapsamının doğru anlaşılması, hem irtibat kişisi olarak görevlendirilen çalışanların kendi hukuki konumlarını bilmesi hem de veri sorumlusunun Kurum ile sağlıklı bir iletişim kurabilmesi açısından değerlidir. İrtibat kişisi atamasının, gerçek bir uyum kültürüyle desteklenmemesi hâlinde yalnız kağıt üzerinde kalan bir formalite olması riski unutulmamalıdır.

VERBİS kaydınızda irtibat kişisi atanması, güncellenmesi veya yurt dışı yerleşik veri sorumluluğu bakımından temsilci yapılandırması için Günser + Partners ile iletişime geçebilirsiniz.