30 Aralık 2017 tarih ve 30286 sayılı Resmi Gazete'de yayımlanan “Veri Sorumluları Sicili Hakkında Yönetmelik”

Kişisel Verileri Koruma Kurumu tarafından, 24.03.2017 tarihli ve 6698 sayılı Kişisel Verilen Korunması Kanununun (“Kanun”) 16 ncı maddesine dayanılarak hazırlanan “Veri Sorumluları Sicili Hakkında Yönetmelik (“Yönetmelik”) 30 Aralık 2017 tarihli Resmi Gazete’de yayımlanmıştır.

 

01.01.2018 tarihinde yürürlüğe girmiş olan Yönetmelik ile Veri Sorumluları Sicilinin oluşturulması, idaresi ile Veri Sorumluları Siciline yapılması öngörülen kayıtlara ilişkin usul ve esaslar belirlenmiştir.

Veri Sorumluları Sicili, Kişisel Verileri Koruma Kurumu Başkanlığı (Başkanlık) tarafından tutulacak, sicilin oluşturulmasından ve idaresinden sorumlu hizmet birimi ise Veri Yönetimi Dairesi Başkanlığı olacaktır.

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) ise veri sorumlularının Veri Sorumluları Siciline başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen, Başkanlık tarafından oluşturulan ve yönetilen bilişim sistemi şeklinde tanımlanmıştır.

Yönetmelik 01.01.2018 tarihi itibariyle yürürlüğe girmiş olmakla birlikte, Kurul tarafından Yönetmelik’in yayımından sonra yapılan açıklamada; Sicile kayıt yükümlülüğüne getirilecek istisnalar hakkında Kurul Kararının yayımlanması, hazırlanmakta olan Veri Sorumluları Sicili Bilgi Sisteminin (VERBİS) hizmete açılması ve Sicile kayıtla ilgili olarak Kurul tarafından bir başlangıç tarihi belirlenerek kamuya duyurulacağı belirtilmiştir. Buna göre VERBİS’in hizmete açılması ve Kurul tarafından bir başlangıç tarihi belirlenmesi akabinde Sicile kayıt yükümlülüğü başlayacaktır.

 

 

I- İlke, Usul ve Esaslar

 

Yönetmelik ile Sicilin oluşturulması, idaresi ve gözetimi hususunda aşağıdaki ilke, usul ve esaslara uyulacağı belirlenmiştir.

 

• Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kaydolmak zorundadır.

 

• Türkiye’de yerleşik olmayan veri sorumluları, veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle Sicile kaydolmak zorundadır.

 

• Sicil kamuya açık biçimde tutulacaktır.

 

• Aydınlatma yükümlülüğü ve ilgili kişilerin Kanun’da tanınan haklarını kullanmak için yapacakları başvurularının yanıtlanması ile ilgili kişiler tarafından açıklanacak açık rızanın kapsamının belirlenmesinde kişisel veri işleme envanterine dayalı olarak Sicile sunulan ve Sicilde yayınlanan bilgiler esas alınacaktır.

 

• Veri sorumluları, Sicile sunulan ve Sicilde yayınlanan bilgilerin eksiksiz, doğru, güncel ve hukuka uygun olmasından sorumludur.

 

• Veri sorumlularının Sicile kaydolması Kanun kapsamındaki diğer yükümlülüklerini ortadan kaldırmayacaktır.

 

• Veri Sorumlularının Kurul tarafından Sicile kayıtla yükümlü tutulmaması; bu veri sorumlularının Kanun kapsamındaki yükümlülüklerini ortadan kaldırmayacaktır.

 

• Sicile ilişkin işlemler, veri sorumluları tarafından VERBİS üzerinden gerçekleştirilecektir.

 

• Veri sorumluları tarafından Sicile sunulan ve Sicilde yayınlanan kişisel verilerin işlendikleri amaç için gerekli olan azami süre, veri sorumlularının silme, yok etme veya anonim hale getirme yükümlülüklerinin yerine getirilmesinde esas alınacaktır.

 

• Sicil başvuruda Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanacaktır.

 

 

II- Kişisel Veri Envanteri

 

Yönetmelik ile Kişisel Veri Envanteri “Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik” hükümlerine paralel şekilde tanımlanmıştır. Buna göre veri sorumluları iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetleri ile ilgili olarak Yönetmelik’te belirtildiği şekilde veri envanteri hazırlayacaklardır. Veri envanterinde yer verilecek ve kamuya açıklanacak bilgiler ise aşağıdaki gibidir:

• Kişisel verilerin hangi amaçlarla işlenebileceği,

 

• Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri,

 

• Kişisel verilerin aktarılabileceği alıcı ve alıcı grupları,

 

• Yabancı ülkelere aktarımı öngörülen kişisel veriler,

 

• Sicile kayıt tarihi ile kaydın sona erdiği tarih,

 

• Kişisel veri güvenliğine ilişkin alınan tedbirler,

 

• Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.

 

 

III- Azami Muhafaza Edilme Süresi

 

Veri sorumluları, kişisel verilerin mevzuatta öngörülen veya işlendikleri amaç için gerekli olan azami muhafaza edilme süresine ilişkin bilgileri veri kategorileri ile eşleştirerek Sicile bildireceklerdir.

Veri sorumlusunun işlenme amacı için belirlediği azami muhafaza edilme süreleri ile mevzuatta öngörülen süreler farklı olabilir. Bu durumda mevzuatta azami muhafaza edilme süresi öngörülmüşse öngörülen bu süre yoksa bunlardan en uzun süre esas alınarak bu veri kategorisi için Sicile bildirim yapılacaktır.

Kişisel verilerin işlendikleri amaç için gerekli olan azami muhafaza edilme süresi belirlenirken ilgili veri kategorisi ve bu kategoriye göre tespit edilen işlenme amacı kapsamında değerlendirilmek üzere;

 

• Veri sorumlusunun faaliyet gösterdiği sektörde genel teamül gereği kabul edilen süre

 

• Kişisel verinin işlenmesini gerekli kılan ve ilgili kişiyle tesis edilen hukuki ilişkinin devam edeceği süre

 

• Veri sorumlusunun elde edeceği meşru menfaatin hukuka ve dürüstlük kurallarına uygun olarak geçerli olacağı süre

 

• Verinin saklanmasının yaratacağı risk, maliyet ve sorumlulukların hukuken devam edeceği süre

 

• Belirlenecek azami sürenin ilgili veri kategorisinin doğru ve gerektiğinde güncel tutulmasına elverişli olup olmadığı

 

• Veri sorumlusunun hukuki yükümlülüğü gereği ilgili veri kategorisinde yer alan kişisel verileri saklamak zorunda olduğu süre

 

• Veri sorumlusu tarafından, ilgili veri kategorisinde yer alan kişisel veriye bağlı bir hakkın ileri sürülmesi için belirlenen zamanaşımı süresi

 

dikkate alınmalıdır.

 

Yönetmelik ile veri sorumlularının kişisel veri saklama ve imha politikası hazırlayarak, bu politikanın uygulanmasını temin etmeleri yükümlülüğü yinelenmiştir.

 

• Türkiye’de yerleşik veri sorumluları, ilgili kişilerin veri sorumlusuna yönelteceği taleplerin cevaplandırılması için Sicil’e irtibat kişisi Fakat irtibat kişisi, veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili olmayacaktır.

 

• Veri sorumlusu tüzel kişiliğin kendisi olup Kanunun uygulanması bakımından tüzel kişiliğin bir veya birkaç kişiyi görevlendirmesi tüzel kişiliğin sorumluluğunu ortadan kaldırmayacaktır.

• Veri sorumluları, sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen değişiklikleri, VERBİS üzerinden 7 gün içerisinde bildirmek zorundadır.

 

• Sicile kayıt zorunluluğuna Kurul tarafından istisna getirilebilecektir.

 

• Veri sorumluları siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk Lirasından 1.000.000 Türk Lirasına kadar idari para cezası uygulanacaktır.

 

Saygılarımızla,

 

Engin Hukuk Bürosu