VERBİS'e Kayıt Yükümlülüğü Kimler İçin Geçerlidir? Muafiyetler ve Sonuçları

VERBİS'in kurulmasına ve işleyişine ilişkin temel hüküm KVKK m. 16'dır. Bu maddeye göre kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Kurul, işlenen kişisel veri sayısı, veri konusu kişi grubunun büyüklüğü, kişisel verinin özel nitelikli olup olmadığı, veri işlemenin kanuni istisna kapsamında bulunup bulunmadığı ve benzeri ölçütleri esas alarak sicile kayıt yükümlülüğüne istisna getirebilir.

Bu istisna yetkisi çerçevesinde Kurul, farklı zamanlarda çeşitli kararlarla:

• yıllık çalışan sayısı ve mali bilanço toplamı belirli eşiklerin altında kalan ve ana faaliyet konusu özel nitelikli veri işleme olmayan gerçek ve tüzel kişileri,
• noterleri belirli koşullarla,
• avukatları, arabulucuları ve bilirkişileri mesleki faaliyetleri çerçevesinde belirli koşullarla,
• siyasi partileri,
• dernek, vakıf ve sendikaları yalnız kendi faaliyet alanlarıyla sınırlı olmak kaydıyla

VERBİS'e kayıt yükümlülüğünden istisna tutmuştur. Bu istisnaların kapsamı zaman içinde değişebildiğinden, somut bir veri sorumlusunun güncel durumda muaf olup olmadığı, güncel Kurul kararları esas alınarak ayrıca teyit edilmelidir.

Muafiyet kapsamına girmeyen ve Türkiye'de yerleşik olan ya da Türkiye'de yerleşik olmasa da Türkiye'deki veri sahiplerine yönelik faaliyette bulunan gerçek ve tüzel kişi veri sorumluları, kural olarak VERBİS'e kayıt yaptırmakla yükümlüdür. Uygulamada özellikle şu gruplar kayıt yükümlülüğüyle karşılaşır:

• belirli çalışan sayısı ve mali bilanço eşiğinin üzerindeki şirketler,
• ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları (örneğin sağlık kuruluşları, özel güvenlik şirketleri),
• yurt dışında yerleşik olup Türkiye'deki kişilere yönelik mal ve hizmet sunumu veya davranış izleme faaliyeti yürüten veri sorumluları,
• kamu kurum ve kuruluşları (kanunda öngörülen özel düzenlemeler saklı kalmak kaydıyla).

Küçük ölçekli olduğunu düşünen bir işletme dahi, işlediği veri özel nitelikli ise ya da faaliyet alanı istisna kapsamına girmiyorsa kayıt yükümlülüğüyle karşılaşabilir. Bu nedenle eşik hesaplaması yalnız çalışan sayısına bakılarak değil, veri sorumlusunun faaliyet konusu ve işlediği veri türü birlikte değerlendirilerek yapılmalıdır.

Kayıt sırasında veri sorumlusu, Kurum tarafından belirlenen sicil bilgi formunu doldurur. Bu formda genel olarak şu hususlar yer alır:

• veri sorumlusunun ve varsa temsilcisinin kimlik ve adres bilgileri,
• kişisel verilerin hangi amaçla işlendiği,
• veri konusu kişi grupları ve veri kategorileri,
• verilerin aktarılabileceği alıcı grupları,
• yurt dışına aktarım öngörülüyorsa buna ilişkin bilgiler,
• kişisel veri güvenliğine ilişkin alınan teknik ve idari tedbirler,
• verilerin işlenme amaçlarının gerektirdiği azami saklama süresi.

Bu bildirim, veri sorumlusunun aydınlatma yükümlülüğü kapsamında verdiği bilgilerle tutarlı olmalıdır. VERBİS'te beyan edilen amaç ve süre ile fiilen uygulanan veri işleme politikası arasındaki çelişki, Kurul denetimlerinde ayrı bir ihlal bulgusu olarak değerlendirilebilir.

VERBİS'e kayıt yükümlülüğüne aykırı davranılması, KVKK m. 18 kapsamında idari para cezasını gerektiren kabahatlerden biridir. Kurul, kayıt yükümlülüğünü yerine getirmeyen veri sorumluları hakkında resen veya şikâyet üzerine inceleme başlatabilir; tespit edilen ihlal için idari para cezası uygulayabilir ve veri sorumlusuna makul bir süre içinde kayıt yükümlülüğünü yerine getirmesi için talimat verebilir.

Güncel idari para cezası tutarları her yıl yeniden değerleme oranına göre güncellendiğinden, somut tutar için ilgili yıla ait Kurul duyurularına bakılmalıdır. Kayıt yükümlülüğüne aykırılık, ayrıca veri sorumlusunun aydınlatma yükümlülüğünü ve veri güvenliği tedbirlerini yerine getirip getirmediğinin de sorgulanmasına zemin hazırlayabilir; zira VERBİS denetimleri çoğu zaman daha kapsamlı bir uyum incelemesinin başlangıcı olur.

Evet. VERBİS'e kayıttan muaf tutulmak, KVKK'nın diğer yükümlülüklerini ortadan kaldırmaz. Muaf bir veri sorumlusu da:

• aydınlatma yükümlülüğünü KVKK m. 10 uyarınca yerine getirmek,
• açık rıza gerektiren işlemlerde geçerli rıza almak,
• veri güvenliğine ilişkin KVKK m. 12'deki teknik ve idari tedbirleri uygulamak,
• ilgili kişilerin başvurularını KVKK m. 13 çerçevesinde yanıtlamak

zorundadır. Uygulamada sıkça karşılaşılan hata, VERBİS muafiyetinin genel bir KVKK muafiyeti gibi anlaşılmasıdır; oysa muafiyet yalnız sicile kayıt yükümlülüğüne ilişkindir.

Veri sorumlusunun sicile bildirdiği bilgilerde değişiklik olması hâlinde (yeni bir veri işleme amacı eklenmesi, saklama süresinin değişmesi, yurt dışı aktarımın başlaması gibi) kaydın güncellenmesi gerekir. Güncelleme yükümlülüğüne uyulmaması da denetimlerde ayrı bir bulgu olarak değerlendirilebilir. Ticaret sicilinden veya ilgili sicilden terkin gibi hâllerde ise VERBİS kaydının silinmesi için ayrıca başvuru yapılması gerekir.

Kurul, VERBİS yükümlülüklerine ilişkin incelemeyi resen başlatabileceği gibi bir ilgili kişinin şikâyeti üzerine de başlatabilir. İnceleme sürecinde veri sorumlusundan bilgi ve belge istenebilir, yerinde inceleme yapılabilir. Veri sorumlusunun süreç boyunca istenen bilgi ve belgeleri süresinde ve eksiksiz sunması, olası idari para cezasının kapsamının belirlenmesinde önemlidir.

Kurul kararına karşı hukuki yollar, genel olarak idari yargıda dava açma sürecini içerir; bu konudaki ayrıntılar, Kurul kararlarına itiraz sürecini ele alan ayrı bir başlık altında değerlendirilmelidir.

• Şirketin küçük olduğu gerekçesiyle hiç inceleme yapmadan muaf olunduğunu varsaymak,
• özel nitelikli veri işlendiği hâlde çalışan sayısı eşiğine bakılarak muafiyet iddia etmek,
• VERBİS'te beyan edilen amaç ve saklama süresi ile fiili uygulama arasında tutarsızlık bırakmak,
• kayıt sonrası değişiklikleri güncellememek,
• VERBİS muafiyetini diğer KVKK yükümlülüklerinden de muafiyet sanmak,
• yurt dışında yerleşik olup Türkiye'deki kişilere yönelik faaliyeti VERBİS kapsamı dışında görmek.

VERBİS uyumu, şirketlerin KVKK mevzuatına genel uyumunun görünür yüzüdür; ancak arkasında aydınlatma metinlerinin doğru hazırlanması, veri envanterinin çıkarılması, saklama sürelerinin belirlenmesi ve veri güvenliği tedbirlerinin uygulanması gibi çok daha kapsamlı bir çalışma bulunur. Muafiyet kriterlerinin yanlış yorumlanması ya da sicile hatalı veya eksik bilgi girilmesi, ilerleyen bir Kurul denetiminde ciddi idari yaptırımlara yol açabilir.

Somut faaliyetinizin VERBİS kapsamında olup olmadığının değerlendirilmesi, kayıt sürecinin yürütülmesi veya devam eden bir Kurul incelemesine karşı savunma hazırlanması için Günser + Partners ile iletişime geçebilirsiniz.