Veri Sorumluları Sicili (VERBİS)
Kanun’un 16. maddesi uyarınca, belirlenen eşikleri aşan Türkiye’de mukim veri sorumluları ve yurt dışına mukim olan ve Türkiye’de veri sorumlusu olarak kişisel veri işleyen veri sorumluları için de herhangi bir eşik kriterine tabi olmadan Veri Sorumluları Sicili’ne (“VERBİS”) kayıt zorunluluğu bulunmaktadır. Kamuya açık olarak tutulan VERBİS sistemine ilişkin usul ve esaslar ise 30 Aralık 2017 tarihli “Veri Sorumluları Sicili Hakkında Yönetmelik” (“VERBIS Yönetmeliği”) ile belirlenmektedir.
Kurul’un 2018 tarihli kararları ile çeşitli meslek grupları, dernekler, vakıflar, siyasi partiler VERBİS kayıt yükümlülüğünden muaf tutulmuş ve kayıt yükümlülüğü ile kayıt yükümlülüğünden istisna olacakların belirlenmesinde Türkiye’de yerleşik veri sorumluları açısından çalışan sayısı ve bilanço bazlı minimum kriterler getirmiştir.
Söz konusu minimum kriterlere ilişkin olarak ise Kurul, 2023 yılında yayımlandığı karar ile VERBİS kayıt yükümlülüğünden istisna tutulan veri sorumlularının belirlenmesinde kullanılan kriterlerden yıllık mali bilanço toplamı 25 milyon Türk Lirasından fazla olma kriterindeki yıllık mali bilanço toplamı tutarı güncellenerek 100 milyon Türk Lirası seviyesine çıkartılmıştır. Mevcut hali ile belirlenen kriterlerin altında olan, yani yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları VERBİS kaydından istisna tutulmaktadır. Türkiye’de yerleşik veri sorumluları açısından çalışan sayısı ya da yıllık mali bilanço toplamına ilişkin sınırlardan sadece birisinin geçilmiş olmasının VERBİS kayıt yükümlülüğünün başlaması için yeterli olduğuna, ve ayrıca yurtdışına yerleşik veri sorumluları açısından ise yükümlülüğün değerlendirilmesinde söz konusu kriterlerin uygulanmadığına da dikkat edilmesi gerekmektedir.
2025 yılı için VERBİS kayıt yükümlülüğünün ihlali halinde uygulanması öngörülen idari para cezası aralığı 272.380 TL ile 13.620.402 TL olacaktır. Kurul, ceza miktarını belirlemek adına bazı algoritmalar kullanmaktadır ve buna göre belirtilen ceza aralığı içerisinde mali bilanço aktif toplamı ne kadar fazla ise belirlenecek ceza miktarı da üst sınıra o kadar yakın olarak belirlenmektedir.
Kurul, Türkiye’de yerleşik veri sorumlularını Sosyal Güvenlik Kurumu ve vergi dairelerine yaptıkları beyanlar ışığında aktif olarak takip etmekte ve eşikleri geçen veri sorumlularına kayıt yükümlülüklerini yerine getirmemeleri halinde uyarı vermeksizin idari para cezası verebilmektedir. Kurul aynı zamanda yurtdışında yerleşik olan ve Türkiye’de mukim kişilerin verilerini işleyen veri sorumlularını da araştırmakta ve bu veri sorumlularına da ceza uygulayabilmektedir. Dolayısı ile ceza riskini bertaraf edebilmek adına, kayıt yükümlülüğünün düzenli olarak kontrol ve takip edilmesi önerilmektedir.
Bu noktada belirtmek gerekir ki, Kanun, uyruğuna bakılmaksızın, Türkiye’de ikamet etmemelerine rağmen Türkiye’deki veri sahiplerini hedef alan veri sorumluları (Türkiye’de yerleşik veya Türkiye’ye mal ve hizmet sunan) bakımından da uygulama alanı bulmaktadır. Böylece, yurt dışında yerleşik veri sorumlularının Türkiye’de doğrudan ya da şubeleri aracılığıyla kişisel veri işleme faaliyetinde bulunmaları veyahut kendilerine aktarılan kişisel verileri kendi amaçları doğrultusunda işlemeleri halinde VERBİS’e kayıt yükümlülüğü doğmaktadır.
Dolayısıyla, yurt içinde yerleşik bir veri sorumlusunun ortağı olan yurtdışında yerleşik tüzel kişiler, kendilerine aktarılan kişisel verileri kendi amaçları doğrultusunda veri sorumlusu olarak işlemeleri halinde VERBİS’e kaydolmakla yükümlü olacaklardır. Bu noktada dikkat edilmesi gereken ayrım tüzel kişinin faaliyetlerinin Türkiye’deki veri sahiplerini gerçekten hedefliyor olması ve ilgili kişisel verileri kendi amaçları doğrultusunda veri sorumlusu olarak işliyor olmasıdır. Kişisel verilerin sadece yurt dışında yerleşik tüzel kişin veri kayıt sisteminde tutuluyor olması ise VERBİS yükümlülüğü doğurmayacaktır.
Henüz VERBİS’e kaydolmayan yurt içinde yerleşik veri sorumlularının yıllık çalışan sayıları ve yıllık mali bilançoları verilerini her yıl değerlendirerek VERBİS kayıt yükümlülükleri olup olmadığını tespit etmeleri gerekmektedir. Özellikle yurt dışı veri aktarımlarında gerçekleşen gelişmeler çerçevesinde yurt dışı aktarımları ile ilgili imzalanan ve Kurum’a bildirilen standart sözleşmeler ile birlikte VERBIS yükümlülüğünü yerine getirmemiş olan veri sorumluları dikkat çekecektir. Dolayısıyla, veri sorumlusu olarak hareket eden ve yurtdışında bulunan kurumların VERBIS yükümlülüklerini kontrol etmesi ve en geç ilgili standart sözleşmelerin imzalanarak Kurum’a bildiriminin tamamlanmasından önce VERBIS kayıt yükümlülüğünün tamamlanmasını öneririz.
Son olarak belirtmekte fayda var ki, VERBİS’e kaydolmakla yükümlü bulunan yurtdışında yerleşik veri sorumluları VERBIS Yönetmeliği uyarınca Kurul, Kurum ve veri sahipleri ile olan ilişkilerinde bir iletişim noktası olarak hareket etmek üzere bir veri sorumlusu temsilcisi atamak zorundadır. Veri sorumlusu temsilcisi Türkiye’de yerleşik bir tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı bir gerçek kişi olabilir. Temsilci ataması veri sorumlusunun noter onaylı ve apostilli (veya başka biçimde tasdik ettirilmiş) kararı ile gerçekleştirilmelidir. Bir tüzel kişinin temsilci olarak atanması halinde, yabancı veri sorumlusu tarafından irtibat kişisi olarak görev almak üzere bir de gerçek kişi atanmalıdır.