Veri Sorumluları Sicili Hakkında Yönetmelik 1 Ocak'ta yürürlüğe girdi. Sicile kayıtlar için Kurum duyuru yapmadığı için henüz kayıtlar başlamadı. Kayıt sırasından bildirilecek bilgiler arasında İrtibat Kişisi bilgileri de var. Yürürlüğe giren yönetmeliğin taslağı kamuoyu ile paylaşıldığında yönetmelikte yer alan irtibat kişisi tanımı ve sorumluluğu ile ilgili düşüncelerimizi ifade eden Yönetmelikteki İrtibat Kişisi Sorunu başlıklı bir yazı yazmış ve yönetmelikten çıkartılması gerektiğini ifade etmiştik. Kurum İrtibat Kişisi'ni yönetmelikten çıkartmadı ve önemli bazı değişiklikler yaptı.

Kanun'da Yok

İrtibat Kişisi tanımı 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda yok. Kanun'da yer almadığında göre Kurum'un yayınladığı yönetmelikte yer alabilmesi için, İrtibat Kişisi konusunun Kanun'un yönetmelikleri hazırlayacak olan Kişisel Verileri Koruma Kurulu'na düzenleme yetkisi verdiği alanlarda olması gerekir. Bize göre Kurul'a düzenleme yetkisi verilen alanlar İrtibat Kişisi konusunu düzenleme yetkisi vermiyor. Bunun yargısal denetimi ise ancak açılacak bir dava sonucunda Danıştay tarafından yapılabilir.

Yönetmelik ve Taslak Arasındaki İrtibat Kişisi Tanımı Farkı

Taslağın Madde 4/1ç bendinde

İrtibat kişisi: Türkiye’de yerleşik olan tüzel kişilerin ve tüzel kişi veri sorumlusu temsilcisinin sicil kapsamındaki yükümlülükleriyle ilgili olarak, Kurul ve Kurum tarafından yapılacak iletişimlerde irtibata geçilmek üzere atanan gerçek kişi

şeklinde tanımlanmaktadır.

Yönetmelik'teki yine Madde 4/1ç bendinde ise

İrtibat Kişisi: Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişi veri sorumlusu temsilcisinin Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile kurulacak iletişim için veri sorumlusu tarafından Sicile kayıt esnasında bildirilen gerçek kişi

şeklindedir.

Şekli düzenlemeleri bir kenara bırakırsak İrtibat Kişisi ile ilgili tanımlamadaki değişiklikler şunlardır:

• 1.İrtibat Kişisi taslakta sadece sicil kapsamındaki yükümlülüklerle ilgili iletişimde aracı olacakken Yönetmelik'te sorumluluk alanı genişletilmiş ve Kanun ve diğer yönetmeliklerle ilgili iletişim için de aracı olması düzenlenmiştir
• 2.Taslakta bir tarafta Kurul ve Kurum var iken Yönetmelik'te Kurul'un bir tüzel kişiliği olmadığı hatırlanmış ve iletişimde taraf olmaktan çıkartılmıştır.
• 3.Taslakta İrtibat Kişisi veri sorumlusu tarafından atanan iken Yönetmelik'te veri sorumlusu tarafından Sicile kayıt esnasında bildirilen kişi olmuştur.

Yönetmelik ve Taslak Arasındaki İrtibat Kişisi'nin Yükümlülüğü Farkı

Taslakta irtibat kişisinin görevi ve yükümlülüğü Madde 11/4'te açıklanmaktadır.

Türkiye’de yerleşik olan tüzel kişiler Sicile kayıt sırasında irtibat kişisi bilgilerini bildirirler. İrtibat kişisi veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir. İrtibat kişisi iletişim noktası olarak ilgili kişilerin veri sorumlusuna yönelteceği taleplerin hızlı ve etkin olarak cevaplandırılmasını sağlamakla yükümlüdür.

Yönetmelikte yine Madde 11/4'te

Türkiye’de yerleşik olan tüzel kişiler Sicile kayıt sırasında irtibat kişisi bilgilerini Sicile işlerler. İrtibat kişisi veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir. İrtibat kişisi, ilgili kişilerin veri sorumlusuna yönelteceği taleplerin cevaplandırılması konusunda iletişimi sağlar.

İki fıkra arasındaki önemli fark taslakta, İrtibat Kişisi taleplerin hızlı ve etkin olarak cevaplandırılmasını sağlamakla yükümlü iken Yönetmelik'te taleplerin cevaplandırılması konusunda iletişimi sağlamak ile yükümlüdür.

Taslaktaki yükümlü kelimesinin kaldırılması maddenin diğer fıkralarına bakıldığında şekli bir düzenleme olarak görülmektedir. Hızlı ve etkin olarak cevaplandırmak Kurul'ca gereksiz ve belki de sorunlu bulunmuş. Çünkü İrtibat Kişisi'nin hızlı ve etkin cevaplandırmasına ihtiyaç duyuluyorsa veri sorumlusunun cevapları yavaş ve etkisiz miydi ki böyle bir düzenlemeye ihtiyaç olsun? Ayrıca veri sorumlusunun başvuruları nasıl cevaplayacağı Kanun'da belirtilirken cevaplamanın hızlı ve etkin olmasının eklenmesi muğlak bir tanımlamanın işaretiydi. Kaldırılması yerinde olmuş.

İrtibat Kişisi'nin Göreviyle İlgili Çelişki

Yönetmelik'in tanım kısmında İrtibat Kişisi'nin bildirilme sebebi Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile kurulacak iletişimin sağlanması olarak açıklanırken, yükümlülükleri düzenleyen 11'nci maddenin 4'ncü fıkrasında ilgili kişilerin veri sorumlusuna yönelteceği taleplerin cevaplandırılması konusunda iletişimi sağlaması olarak açıklanmaktadır.

Bu durumda tanıma uymayan bir görevlendirme yapılmış olmaktadır. İrtibat Kişisi'nin görevi ile ilgili bu iki ayrı düzenleme hukuki açıdan değerlendirildiğinde İrtibat Kişisi'nin hem Kurum ile hem de ilgili kişiler ile iletişimin sağlanmasında görev alacağı anlaşılmalıdır. Kurum'un, Yönetmelik'teki bu çelişkinin sebebini açıklaması gerekir. Belki de bir başka bakış açısı ile farklı bir amaç da gütmüş olabilirler.

Kurum İle Veri Sorumlusu'nun İletişiminde İrtibat Kişisi'nin Rolü

Yönetmelik'teki düzenleme İrtibat Kişisi'nin veri sorumlusunu temsil yetkisinin bulunmadığını belirtiyor. Yönetmelik'in 12'nci maddesi de Kurum'un veri sorumlusu veya temsilcisi ile iletişimini düzenlerken veri sorumluları ile iletişimin İrtibat Kişisi üzerinden değil Sicil'de yer alan kimlik, adres veya KEP adresi bilgileri üzerinden yapılacağını söylüyor. Bu durum Yönetmelik'in 4'ncü maddesinde İrtibat Kişisi'nin tanımında bildirilme amacı için kullanılan Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile kurulacak iletişim için ifadesiyle çelişmektedir.

Bizce çelişki gibi görünen şey belki, hangi gerekçeyle İrtibat Kişisi düzenlemesini yaptıklarını bilmediğimiz Kurum için geçerli değildir. Şöyle ki Kurum Sicil Yönetmeliği ile ilgili İrtibat Kişisi üzerinden iletişime geçmeyecek ama daha sonra çıkarılacak yönetmeliklerdeki iletişim İrtibat Kişisi üzerinden yapılacak. Bu da çok anlamsız bir uygulama olacaktır.

Yazışmaların Türü ve Tebligat

Hukukumuzda tebligat yani muhataba bildirimin usulüne uygun yapılması çok önemli bir konudur. Kanunda öngörülen süreler ancak tebligatların usulüne uygun yapılması ile başlar. Özellikle resmi işlemlerin mutlaka tebligat usulüne uygun yapılması gerekir. Tebligat usulüne uymayan yazışmalar bildirimin ispatı sorununu ortaya çıkartır.

İrtibat Kişisi veri sorumlusunu temsile yetkili değil. Bu durumda İrtibat Kişisi'yle yapılan yazışmalar da tebliğ edilmiş sayılmayacaklar. Zaten Yönetmelik'in İletişim Düzenlenmesi ile ilgili 12'nci maddesinde Kurum'un Kanunun uygulanmasıyla ilgili olarak Kurum tarafından veri sorumlusuyla kurulacak her türlü iletişim için veri sorumluları ya da varsa temsilcisi ile iletişime geçeceği düzenlenmiş. Bu düzenleme de tebligat usulüne uygun bir iletişimin olacağını göstermektedir.

Kurum ile olan yazışmalarda Kurum'un hangi tür yazışmaları İrtibat Kişisi üzerinden yapacağını bilmiyoruz. Kurum'un savunma isteyeceği, müeyyideleri bildireceği yani resmi yazışmaları İrtibat Kişisi üzerinden yapılmayacak. Bu durumda İrtibat Kişisi ile veri sorumlusunun cevap vermemesi durumunda bir sonuç doğurmayacak anket girişleri, görüş bildirmesi, bayram mesajları, kampanyalar gibi yazışmalar için İrtibat Kişisi ile iletişime geçilecek. Sıradan işler için iletişim kurmak için İrtibat Kişisi'nin bildirilmesi de oldukça manasız görünmektedir.

Kurum, İrtibat Kişisi'nin veri sorumlusunu temsile yetkili olmadığını belirtip kendisi ile olan yazışmalarda muhatap almayacağını belirtirken, ilgili kişinin İrtibat Kişisi'ne yazması durumunda hukuki olarak veri sorumlusunun 30 günlük cevap verme süresinin başlamasını da bekleyemez. Her ne kadar ülkemizdeki bazı düzenlemelerde sadece bildirimde bulunmak yeterli görünse de konu yargıya taşındığında talepte bulunanın bildirimin ulaştığına dair bir ispat yükü vardır.

İrtibat Kişisi'nin Bildirilmesinde Türkiye'de Yerleşik Olma Farkı

Yönetmelik'teki düzenleme, Türkiye'de yerleşik olsun ya da olmasın Sicil'e kayıt olmakla yükümlü olabilecek gerçek kişiler için İrtibat Kisişi'nin bildirilmesini istememektedir. Veri sorumlusu ya da veri sorumlusu temsilcileri ile ilgili uygulamada ise bir farklılık var.

Yönetmelik'in tanım kısmında İrtibat Kişisi'nin "Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişi veri sorumlusu temsilcisi" tarafından bildirileceği ifade edilirken, yükümlülüklerin düzenlendiği 11'nci maddenin 4'ncü fıkrasında sadece Türkiye’de yerleşik olan tüzel kişiler için Sicil'e kayıtta İrtibat Kişisi'nin bildirilmesinden bahsedilmektedir. Yani tanım ile yükümlülük maddesi arasında bir çelişki var. Tanımın genel, yükümlülük maddesinin özel olduğu düşünüldüğünde İrtibat Kişisi'nin Sicil'e kaydının sadece Türkiye'de yerleşik olan veri sorumluları için geçerli olduğunu kabul etmek gerekir.

O zaman sorulması gereken soru belki de şudur: İrtibat Kişisi'nin bildirilmesi veri sorumluları için bir avantaj ise, Türkiye'de yerleşik tüzel kişi veri sorumlusu temsilcisi bu avantajdan hangi gerekçe ile yararlandırılmamaktadır? Sorunun diğer şekli ise eğer bu bir dezavantaj ise Türkiye'de yerleşik tüzel kişi veri sorumlularına bu cezanın sebebi nedir?

Sonuç

Kurum'un İrtibat Kişisi düzenlemesi yukarıda da açıkladığımız üzere bir çok açıdan çelişkilerle doludur. Kanun'da olmaması Kurum'un İrtibat Kişisi düzenlemesinin hukuka uygunluğunu da şüpheli hale getirmektedir. Türkiye yönetmelik düzenleme yetkisini aşan kurumların sık rastlandığı bir ülkedir. Bu yetki aşımları zaman zaman yargıdan dönmekte bazen de yargı denetime götürülmemesinden ya da hatalı kararlar sonucu uygulanmaya devam etmektedir.

Veri Sorumluları Sicili Hakkında Yönetmelik'in metnindeki çelişkilerin de düzeltilebilmesi için iki yöntem var. Dava yoluyla Danıştay'ın yargı denetimine tabi tutulması uzun ve zor bir yoldur. Daha kolay olan Kişisel Verileri Koruma Kurumu'nun yanlıştan dönmesidir. Hazırlık aşamalarında da dile getirdiğimiz uyarılar dikkate alınmamıştı. Umarım bu sefer bu kadar açıklamanın sonuncunda yanlışın farkına varılır.

Bir başka sorun da kişisel verilerin korunması sürecinde bu işten para kazanmaya çalışan hukukçular. Onlara düşen tek görev müvekkillerinin mevcut mevzuata uygun çalışmalar yapmalarını sağlamak olmamalıdır. Yönetmeliklerin iptal edilebilecek maddeleri konusunda müvekkillerini bilgilendirmeleri gerekirse müvekkillerin haklarını dava açarak korumayı tercih etmeleri gerekir. Bu süreçte çok para kazanan ve kazanmaya devam edenler yazdıkları ve paylaştıkları yazılarında Kurumla ilişkilerinden dolayı Kurum'u övmekten ve "Ne de güzel yapmışsınız" demekten başka bir şey söylememektedirler. Yönetmeliklerin en önemli maddeleri iptal edildiğinde müvekkillerine karşı ne diyeceklerini şimdiden düşünmelerinde fayda var.