Veri Sorumluları Siciline kayıt yükümlülüğü

Veri Sorumluları Sicili, kişisel veri işleyen kuruluşların şeffaflığını sağlayan kamuya açık bir kayıt sistemidir. Kayıt yükümlülüğü, uyum çalışmasının yalnızca bir adımı olmakla birlikte, denetimlerde ilk bakılan noktalardan biridir.

Sicilin niteliği

KVKK m.16/1: Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur.

İki unsur önemlidir:

• Sicil Kurulun gözetiminde ve Başkanlık tarafından tutulur.
• Sicil kamuya açıktır.

Kamuya açıklık, herkesin bir kuruluşun hangi amaçlarla hangi veri kategorilerini işlediğini görebilmesi anlamına gelir. Bu, sicilin yalnızca bir idari formalite olmadığını; kuruluşun beyanlarının kamuoyu ve ilgili kişiler tarafından denetlenebilir hâle geldiğini gösterir.

Bunun pratik sonucu şudur: sicile yapılan bildirim ile kuruluşun aydınlatma metinleri, veri envanteri ve fiilî uygulaması tutarlı olmalıdır. Bildirimde yer almayan bir amaçla veri işlenmesi veya bildirimde gösterilmeyen bir alıcı grubuna aktarım yapılması, tutarsızlık olarak tespit edilebilir.

Kayıt zorunluluğu

KVKK m.16/2: kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.

İki unsur belirleyicidir:

1. Kapsam: gerçek ve tüzel kişiler. Yükümlülük yalnızca şirketlere değil, kişisel verileri işleyen gerçek kişilere de yöneliktir.

2. Zamanlama: işlemeye başlamadan önce. Kayıt, veri işleme faaliyeti başlamadan önce yapılmalıdır. Faaliyete başladıktan sonra kayıt yaptırmak, yükümlülüğün geç yerine getirilmesi anlamına gelir.

Bu zamanlama kuralı, yeni kurulan kuruluşlar ve yeni bir veri işleme faaliyetine başlayan mevcut kuruluşlar bakımından dikkat gerektirir.

İstisna mekanizması

m.16/2 devamı: ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.

Kanun, istisna getirme yetkisini Kurula bırakmış ve dikkate alınacak kriterleri saymıştır:

• İşlenen kişisel verinin niteliği (özel nitelikli olup olmaması gibi),
• İşlenen verinin sayısı,
• Veri işlemenin kanundan kaynaklanması,
• Verilerin üçüncü kişilere aktarılma durumu.

Bu kriterler objektif olmak zorundadır. Kurulca belirlenen istisna kapsamına girilip girilmediği, her kuruluş bakımından ayrıca değerlendirilmelidir.

Dolayısıyla kayıt yükümlülüğünün bulunup bulunmadığı sorusunun cevabı iki adımlıdır:

1. Kuruluş kişisel veri işliyor mu? (Kural olarak evet ise yükümlülük doğar.)
2. Kurulca belirlenen istisna kapsamında mı?

İstisna kapsamında olduğu değerlendirilen kuruluşlarda dahi, bu değerlendirmenin dayanaklarının belgelenmesi yerindedir; denetim hâlinde istisnadan yararlanıldığının gerekçelendirilmesi gerekir.

Bildirim içeriği

KVKK m.16/3: Veri Sorumluları Siciline kayıt başvurusu aşağıdaki hususları içeren bir bildirimle yapılır:

• a) Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri.
• b) Kişisel verilerin hangi amaçla işleneceği.
• c) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar.
• ç) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları.

Sayım devam eder ve yurt dışına aktarımı öngörülen kişisel veriler, veri güvenliğine ilişkin tedbirler ile kişisel verilerin işlendikleri amaç için gerekli olan azami süre gibi hususları da içerir.

Bu içerik listesi, sicil bildiriminin aslında veri envanterinin özeti olduğunu gösterir. Bildirimin doğru yapılabilmesi için önce envanterin çıkarılmış olması gerekir:

• Hangi kişi grupları (çalışan, müşteri, tedarikçi, ziyaretçi, aday) ?
• Her grup için hangi veri kategorileri ?
• Her kategori için hangi amaç ?
• Hangi alıcı gruplarına aktarılıyor?
• Azami saklama süresi ne?

Bu sorular, KVKK m.4/2'deki ilkelerle doğrudan bağlantılıdır: belirli, açık ve meşru amaçlar için işlenme, amaçla bağlantılı, sınırlı ve ölçülü olma ve gerekli olan süre kadar muhafaza edilme.

Diğer yükümlülüklerle ilişkisi

Sicil kaydı tek başına uyum sağlamaz; diğer yükümlülüklerle birlikte işler.

Güvenlik tedbirleriyle (m.12). m.16/3'teki bildirim, veri güvenliğine ilişkin tedbirleri de içerir. Bu nedenle bildirimde beyan edilen tedbirler ile fiilen alınan tedbirler tutarlı olmalıdır. m.12/1 uyarınca veri sorumlusu, uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbirleri almak zorundadır.

Saklama süreleriyle (m.7). Bildirimde beyan edilen azami saklama süresi, m.7/1 uyarınca işlenmesini gerektiren sebeplerin ortadan kalkması hâlinde verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi yükümlülüğüyle uyumlu olmalıdır.

Yurt dışına aktarımla (m.9). Bildirimde yurt dışına aktarımı öngörülen veriler gösterilir. 2/3/2024 tarihli 7499 sayılı Kanunla değişik m.9 uyarınca aktarım, yeterlilik kararı bulunması ya da m.9/4'teki uygun güvencelerden birinin sağlanması hâlinde mümkündür.

Başvuru süreciyle (m.13). m.13/2 uyarınca ilgili kişi başvuruları en geç otuz gün içinde sonuçlandırılmalıdır. Sicile bildirilen envanter, bu sürede cevap verebilmenin ön şartıdır.

Veri işleyenle (m.12/2). Veri sorumlusu, verilerin kendi adına başka bir kişi tarafından işlenmesi hâlinde tedbirlerin alınmasında bu kişilerle müştereken sorumludur. Bildirimde alıcı grupları gösterilirken veri işleyen ilişkileri de gözetilmelidir.

Güncelleme

Sicile yapılan bildirim, kuruluşun veri işleme faaliyetinin bir fotoğrafıdır. Faaliyet değiştiğinde bildirimin de güncellenmesi gerekir:

• Yeni bir işleme amacı eklendiğinde,
• Yeni bir veri kategorisi işlenmeye başlandığında,
• Yeni bir alıcı grubuna aktarım yapıldığında,
• Yurt dışına aktarım başladığında,
• Saklama süreleri değiştiğinde,
• Temsilci veya adres bilgileri değiştiğinde.

Güncelleme yapılmaması, sicildeki beyan ile fiilî durum arasında tutarsızlık doğurur ve denetimde tespit edilir.

Örnek senaryo

Yeni kurulan bir e-ticaret şirketi, müşteri kayıtları oluşturmaya ve yurt dışında bulunan bir bulut hizmet sağlayıcısında veri barındırmaya başlamıştır. Şirket henüz sicile kayıt yaptırmamıştır.

Değerlendirme:

1. Zamanlama. m.16/2 uyarınca kayıt, veri işlemeye başlamadan önce yapılmalıdır. Faaliyet başlamış olduğundan yükümlülük geç yerine getirilmektedir.
2. İstisna değerlendirmesi. Kurulca belirlenen objektif kriterler çerçevesinde istisna kapsamında olunup olunmadığı denetlenir; istisnadan yararlanılıyorsa bu değerlendirme belgelenmelidir.
3. Envanter. m.16/3'teki bildirim için önce envanter çıkarılmalıdır: kişi grupları (müşteri, ziyaretçi, tedarikçi), veri kategorileri, amaçlar, alıcı grupları ve azami saklama süreleri.
4. Yurt dışına aktarım. Bulut sağlayıcısı yurt dışındaysa, bu durum bildirimde gösterilmelidir. Ayrıca m.9 uyarınca yeterlilik kararı veya uygun güvencelerden birinin bulunması gerekir.
5. Güvenlik tedbirleri. Bildirimde beyan edilecek tedbirler, m.12/1 uyarınca fiilen alınan tedbirlerle tutarlı olmalıdır.
6. Veri işleyen sözleşmesi. m.12/2'deki müşterek sorumluluk gözetilerek bulut sağlayıcısıyla sözleşme düzenlenmelidir.
7. Başvuru süreci. m.13/2 uyarınca otuz günlük cevap süresine uyabilmek için başvuru kanalı ve süreç kurulmalıdır.
8. Tutarlılık. Sicil bildirimi, aydınlatma metinleri ve envanter birbiriyle uyumlu olmalıdır.

Sık yapılan hatalar

• Kaydın faaliyet başladıktan sonra yapılması. m.16/2 kaydı işlemeye başlamadan önce arar.
• İstisna varsayımının belgelenmemesi. İstisnadan yararlanıldığı denetimde gerekçelendirilmelidir.
• Envanter çıkarılmadan bildirim yapılması. m.16/3'teki içerik envantere dayanır.
• Yurt dışına aktarımın bildirilmemesi. Bulut hizmetleri çoğunlukla bu kapsamdadır.
• Aktarım için m.9 şartlarının sağlanmaması. Yeterlilik kararı veya uygun güvence aranır.
• Bildirimin güncellenmemesi. Yeni amaç, kategori veya alıcı eklendiğinde güncelleme gerekir.
• Sicil beyanı ile aydınlatma metinlerinin çelişmesi. Sicil kamuya açıktır ve karşılaştırılabilir.
• Kaydın tek başına uyum sağladığının sanılması. m.4, m.7, m.12 ve m.13 yükümlülükleri ayrıca işler.