Veri Sorumluları Sicili Nedir?

         Veri Sorumluları Sicili (VERBİS), veri sorumlularının kayıt olmak zorunda oldukları ve veri işleme faaliyetleri ile ilgili bilgileri beyan ettikleri bir kayıt sistemidir. Veri sorumlularının, Kurulun gözetiminde Başkanlık tarafından tutulmakta olan Veri Sorumluları Siciline kaydolmaları zorunludur.[1] Bu kapsamda, Türkiye'de yerleşik gerçek ve tüzel kişi veri sorumluları, yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları ile kamu kurum ve kuruluşu veri sorumlularının Türkiye'de kişisel veri işlemeleri halinde genel kural olarak VERBİS'e kayıt olmaları gerekmektedir.[2]

           24/3/2016 tarihli ve 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak tutulacak olan Veri Sorumluları Sicilinin oluşturulması, idaresi ile Veri Sorumluları Siciline yapılması öngörülen kayıtlara ilişkin usul ve esasları belirlemek ve uygulanmasını sağlamak amacıyla, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek ve tüzel kişileri kapsayan Kişisel Verileri Koruma Kurumu tarafından VERİ SORUMLULARI SİCİLİ HAKKINDA YÖNETMELİK çıkarılmıştır. Bu yönetmelik çerçevesinde sicilin oluşturulması, idaresi, gözetimi ve sicile erişim, kayıt yükümlülüğünün başlangıcı, VERBİS’e girilecek bilgiler, kayıt başvurusu, kaydın yenilenmesi ve silinmesi, kayıt yükümlülüğünün istisnaları konuları detaylıca düzenlenmiştir.

 

VERBİS’e Kayıt Yükümlülüğü

          Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca: ‘Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kayıt yükümlülüklerini yerine getirmek zorundadır.’ İbaresi yer almıştır. Yönetmelikle birlikte kayıt yükümlülüğü altında bulunmayan, sonradan kayıt yükümlüsü haline gelen veri sorumlularının, yükümlülük altına girmelerini müteakip otuz gün içerisinde Sicile kaydolmaları zorunlu tutulmuştur.

          Kayıt yükümlülüğü altında bulunan veri sorumlularının, herhangi bir fiili, teknik ya da hukuki imkânsızlık nedeniyle kayıt yükümlülüklerini yerine getirememesi halinde, bu imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içerisinde Kuruma yazılı olarak başvurmak ve gerekçesini belirtmek şartıyla, kayıt yükümlülüklerini yerine getirmek için Kurumdan ek süre talep edebilirler. Kurum’un, bir defaya mahsus olmak ve her halde otuz günü geçmemek üzere ek süre verebileceği de yönetmelik kapsamında yer alan bir diğer husustur.

          VERBİS’e kayıt olma yükümlülüğü altında olmak için birtakım kriterlerin sağlanması gerekmektedir. Bu kriterler şu şekildedir:

• 2022 yılı 12 ayın 7 ayında çalışan sayısı 50’den fazlaysa 30.01.2023 tarihinde,

• 2022 yılı mali bilanço toplamı 25 milyon TL’den çok olan işletmeler ile yurtdışında yerleşik gerçek ve tüzel kişi veri sorumlularının Sicile kayıt yükümlülüğü “VERBİS” 30.05.2023 tarihinde dolmaktadır.[3]

Çalışan sayısının tespiti ise şöyledir:

• Yıllık çalışan sayısının hesaplanabilmesi için öncelikle TAMAMLANMIŞ 1 SENE olması ve bu tamamlanmış yıl içerisindeki 12 aydan en az 7’sinin her birinde veri sorumlusunca yetkili kamu kurum ve kuruluşlarına aylık verilmekte olan Muhtasar ve Prim Hizmet Beyannamesinde bildirilen çalışan sayısının göz önüne alınması gerekmektedir.

• Ayrıca söz konusu 7 ayın aynı sene içinde olmak kaydıyla ardışık olması zorunlu değildir.

• Dernek, Vakıf veya Sendikaya ait İktisadi işletmenin sicile kayı şartlarından olan yıllık 50 çalışan sayısının tespiti için tamamlanmış bir önceki yıl kayıtlarına bakılır. Yeni kurulan İktisadi İşletmenin yıllık çalışan sayısının tespiti için de o senenin bitmesi ve biten senenin rakamlarına göre işlem yapılması esastır.

• Bu kapsamda, bir veri sorumlusu 2022 yılı içerisinde SGK’ya vermiş olduğu Muhtasar ve Prim Hizmet Beyannamelerinin en az 7 sinin her birinde beyan etmiş olduğu personel sayısının 50’den fazla olması halinde kayıt yükümlülüğü 31.01.2023 tarihinde başlayacaktır.[4]

 

         Mali bilanço toplamının tespit edilmesi:

• Yıllık mali bilanço toplamının hesaplanması için öncelikle tamamlanmış bir sene olması ve bu tamamlanmış sene içinde veri sorumlusu tarafından yetkili kamu kurumuna senelik olarak verilmekte olan gelir veya kurumlar vergisi beyanname ekindeki mali tablolarda yer alan mali bilanço bilgisinin dikkate alınması gerekmektedir.

• Buna göre 2022 yılı veri sorumlusunun beyannamesi ekindeki bilançoda yer alan “aktif” bölümündeki toplam rakam 25 milyon TL üzeri ise 30.05.2023 tarihine kadar VERBİS’e kayıt zorunludur.[5]

 

 

Kayıt Yükümlülüğüne Aykırı Davranış Halinde Uygulanacak Yaptırımlar

           Kurum tarafından getirilen; Sicile kayıt ve bildirim yükümlülüğünü yerine getirmediği tespit edilen işletmeler hakkında Kanun’un 18’inci maddesi uyarınca idari yaptırım uygulanması kararı alınmıştır.[6]

           Kanun’un 18’inci maddesinin (1) numaralı fıkrasında yer alan “(ç) 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler işletmeler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.” hükmü ile aynı maddenin (3) numaralı fıkrasında yer alan “Birinci fıkrada sayılan eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir.” hükmü gereği Sicile kayıt ve bildirim yükümlülüğünü yerine getirmeyen veri sorumluları hakkında Kurul tarafından re’sen idari yaptırım uygulanabilecektir.[7]

            Söz konusu idari para cezalarına örnek teşkil edebilecek yakın zamanda verilmiş bir karar mevcuttur. Bu kararda: ’14.04.2022 tarihi itibarıyla bildirimini tamamlamamış olmakla birlikte 31.12.2021 tarihi itibarıyla VERBİS başvurusunun bulunduğu dikkate alındığında, 14.04.2022 tarihli ve 2022/339 Sayılı Kurul Kararı gereği hafifletici neden uygulanmış olup Kanun’un 18. Maddesi (1) numaralı fıkrası (ç) bendi uyarınca anılan veri sorumlusunun yıllık mali bilanço aktif toplam rakamına ilgili algoritma tablosunda karşılık gelen bir alt limit olan 850.000 TL idari para cezası uygulanmasına karar verilmiştir.’ Şeklinde hüküm kurulmuştur. Bu örnekten de anlaşılacağı üzere açık ve anlaşılır bir gerekçe gösterilmeyen, ceza tutarının hesaplanmasında da tam olarak neye itiraz edileceği bilinmeyen bir kararla karşı karşıya kalınmıştır. Böyle bir karar, belirlilik ve ölçülülük ilkelerine aykırı olmakla beraber, aynı zamanda VERBİS’e kayıt yükümlülüğü bulunan şirketler için büyük bir maddi risk yaratmaktadır. Belirtmek gerekir ki yıllık cirosu yüksek olan, özellikle çok uluslu şirketler için kayıt yükümlülüğüne aykırılık yaptırımı 850.000 TL’nin çok üzerinde olabilecektir. Bu nedenle veri sorumlularının örnekte bahsi geçen gibi bir kararla ansızın karşılaşmamaları adına kayıt yükümlülüğüne aykırı sayılacak nitelikteki işlem ve eylemlerden kaçınmaları büyük önem teşkil etmektedir. VERBİS’e kayıt yükümlülüğüne ilişkin yaptırımlar, kişisel verilerin korunmasına dair mevzuata uygun hareket etmenin önemini bir kez daha gözler önüne sermiştir. Şirketler, kişisel verilerin korunması mevzuatına uyumluluk çalışmalarını tamamlayarak kendilerini hem yüksek idari para cezaları hem cezai yaptırımlar hem de itibar kaybından koruyabilecektir.

 

 

 

 

 

 

 

 

 

 

 

          

 

 

 

 

 

[1] kvkk.gov.tr

[2] verbis.kvkk.gov.tr

[3] nesilteknoloji.com

[4] nesilteknoloji.com

[5] nesilteknoloji.com

[6] nesilteknoloji.com

[7] nesilteknoloji.com