---

Kayıt Zorunluluğu

6698 sayılı Kişisel Verilerin Korunması Kanunu veri sorumluları için Veri Sorumluları Sicili'ne kayıt zorunluluğu getirmektedir.

30.12.2017 tarihinde Resmi Gazete'de yayınlanan Veri Sorumluları Sicili Hakkındaki Yönetmelik ile Veri Sorumluları Siciline kayıt ile ilgili düzenlemeler yapılmıştır.

VERBİS

Veri Sorumluları Sicili, Veri Sorumluları Sicil Bilgi Sistemi'nde (VERBİS) tutulacaktır. VERBİS'e sadece internet üzerinden kayıt yapılabilir. Yazılı olarak kayıt yapılamaz. Tüm sicil işlemleri VERBİS üzerinden gerçekleştirilecektir.

Sicil'e Kimler Kayıt Olacak

Veri sorumlusu olan gerçek veya tüzel kişiler Sicil'e kayıt olmak zorundadır. Ancak kişisel verileri işleme yetkisi kanunlarla verilen ve Kurum tarafından Sicil'e kayıttan muaf tutulanlar Sicil'e kayıt olmak zorunda değildir.
Yönetmeliğe göre Kişisel Verileri Koruma Kurulu

---

kriterlerine göre Sicil'e kayıttan muaf tutulacak veri sorumlularını belirleyebilir. Kurul bu kriterlere göre belirlediği istisnaları uygun usulle kamuoyuna duyurur.

Sicil'e kayıt olmak zorunda olmayan ama Sicil'e kayıt olmak isteyen veri sorumluları için yönetmelik açık bir düzenleme yapmamakla birlikte yönetmeliğin geneline bakıldığında kayıt mümkün görülmektedir. Sicil'e kayıt olmak zorunda olmamakla birlikte kayıt olanların Sicil'e bildirdikleri bilgilerdeki kasıtlı bir yanlışlığın müeyyidesi olacaktır.

Kurul'un Sicil'e Kayıttan Muaf Tuttuğu İstisnalar Kimler?

Kurul'un farklı tarihlerde verdikleri kararlar bir araya getirildiğinde

1.Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler.

2.18/01/1972 tarihli ve 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler.

3.04/11/2004 tarihli ve 5253 sayılı Dernekler Kanununa göre kurulmuş derneklerden,
20/02/2008 tarihli ve 5737 sayılı Vakıflar Kanununa göre kurulmuş vakıflardan ve
18/10/2012 tarihli 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanununa göre kurulmuş sendikalardan
yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler.

4.22/04/1983 tarihli ve 2820 sayılı Siyasi Partiler Kanununa göre kurulmuş siyasi partiler.

5.19/3/1969 tarihli ve 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar.

6.1/6/1989 tarihli ve 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu uyarınca faaliyet gösteren Serbest Muhasebeci Mali Müşavirler ve Yeminli Mali Müşavirler.
7.4458 sayılı Gümrük Kanunu uyarınca faaliyet gösteren gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirleri
8.Arabulucular
9.Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan gerçek ve tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar

VERBİS'e kayıttan istisna tutulmuşlardır. Yani sicile kayıt olmaları gerekmemektedir.

Hangi Kişisel Veri İşlemeler Sicil'e Kayıt Olmak Zorunda?

İlke olarak tüm kişisel veri işleme faaliyetlerinin Sicil'e kayıt olması gerekir. Ancak kişisel veri işleme faaliyetleri

• Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması
• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi
• Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması
• Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması

durumlarında Sicil'e kaydettirilmesi gerekmez.

Sicil'e kayıt olması gereken herhangi bir kişisel veri işleme faaliyeti bulunmayan ya da Kurulca istisna tutulan veri sorumlularının Sicil'e kayıt olması gerekmemektedir.

Sicil'e Ne Zaman Kayıt Olunması Gerekir?

Sicil'e kişisel veriler işlenmeye başlanmadan kayıt olunması esastır. Yeni kurulan bir kurum ya da kuruluş Sicil'e kayıttan muaf tutulmamışsa herhangi bir kişisel veri işlemi yapmadan önce Sicil'e kayıt olmalıdır. Sicil'e zaten kayıtlı olan ancak yeni bir iş süreci için kişisel veri işlemeye başlayacak olan veri sorumlusu da yeni durumu Sicil'e kaydettirmek zorundadır.

Yapılan faaliyet gereği ya da Kurul'un sonradan Sicil'e kayıt yükümlülüğü getirdiği veri sorumluları, Sicil'e kayıt yükümlüsü oldukları günü müteakip 30 gün içerisinde Sicil'e kaydolmak zorundadır.

Kayıt yükümlülüğü altında bulunan veri sorumluları, herhangi bir fiili, teknik ya da hukuki imkânsızlık nedeniyle kayıt yükümlülüklerinin yerine getirilememesi halinde, bu imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içerisinde Kuruma yazılı olarak başvurmak ve gerekçesini belirtmek şartıyla, kayıt yükümlülüklerini yerine getirmek için Kurumdan ek süre talep edebilirler. Kurum, bir defaya mahsus olmak ve her durumda otuz günü geçmemek üzere ek süre verebilir.

Sicil'e kayıt olmak için verilen 30 günlük süreden sonra yapılacak ek süre başvurularında fiili, teknik ya da hukuki imkansızlığın gerçekleştiği gün çok önemlidir. Ek süre verilebilmesi için imkansızlığın 30 günlük süre içerisinde ortaya çıkmış olması gerekir. Kurum'a başvurunun da sorunun ortaya çıktığı tarihten sonraki yedi gün içerisinde yapılması gerekir. Sorunun devam ettiği sürenin 30 günlük süreye eklenmesi yani Kurum tarafından en az o kadar gün süre verilmesi gerekir. Kurum'un vereceği ek süre 30 günlük normal sürenin bitiminde başlar. Yani her durumda Sicil'e kayıt yükümlülüğünün 60 gün içinde yerine getirilmesi gerekir.

Sorunun Kurum'un verebileceği en uzun süre olan 30 gün içerisinde giderilememesi ve veri sorumlusunun bu durumun oluşmasında ya da sürmesinde kusurunun bulunmaması durumunda Kurum'un veri sorumlusuna idari para cezası vermesi mümkün değildir.

Sicil kayıt belirlenen veri sorumluları için 1.10.2018 tarihinde başlayacaktır. Kanun'un geçici maddesinde tarihin ve sürenin Kurum tarafından belirleneceği ve ilan edileceği yazmaktadır. Kurum internet sitesinden kayıtların başlama tarihi ve süresi ilan edildi. Kayıtlar ilan edilen tarihten sonra ve belirlenen süre içerisinde yapılmalıdır.

Veri sorumlularının niteliğine göre sicile kayıt başlangıç ve bitiş tarihleri:

Veri Sorumlusu	Başlangıç Tarihi	Bitiş Tarihi
Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 25 milyon TL'den fazla olan veri sorumluları	1.10.2018	30.9.2019
Yurt dışında yerleşik gerçek ve tüzel kişi veri sorumluları	1.10.2018	30.9.2019
Yıllık çalışan sayısı 50'den ve yıllık mali bilanço toplamı 25 milyon TL'den düşük olan ancak ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları	1.1.2019	31.3.2020
Kamu kurum ve kuruluşları	1.4.2019	30.6.2019

Kayıt Olmamanın Cezası Var Mı?

Sicil'e kayıt olmak zorunda olan veri sorumlusunun kayıt olmaması durumunda ya da kayıdın yönetmelikte belirlenen şartları sağlamaması durumunda yirmi bin (20.000) TL'den bir milyon (1.000.000) TL'ye kadar idari para cezası verilir.

Bu durumlar arasında Sicile kaydın zamanında yapılmaması, kişisel veri işleme faaliyetlerinin eksik ya da yanlış bildirilmesi, olan değişikliklerin zamanında bildirilmemesi gibi durumlar sayılabilir.

Kurul idari para cezasının miktarını aykırılığın önemine, veri sorumlusunun özelliklerine göre objektif olarak belirler.

Nasıl Kayıt Olunacak?

Türkiye'de yerleşik olan veri sorumluları doğrudan, Türkiye'de yerleşik olmayan veri sorumluları ise yetkilendirecekleri temsilcisi vasıtasıyla Sicil'e kayıt olur.

Türkiye'de yerleşik olan veri sorumluları ilgili mevzuatlarına uygun şekilde tüzel kişiliği temsil ve ilzama yetkili organ veya ilgili mevzuatta belirtilen kişi veya kişiler marifetiyle yerine getirecekler. Tüzel kişiliği temsile yetkili organ, Kanunun uygulanması bakımından yerine getirilecek yükümlülükler ile ilgili olarak bir veya birden fazla kişiyi görevlendirebilir. Bu görevlendirme Kanun hükümleri uyarınca ilgili organın sorumluluğunu ortadan kaldırmaz.

Türkiye'de yerleşik olmayan veri sorumluları ise yetkili organı veya kişisi tarafından alınacak kararla temsilci atarlar. Atama kararında

• Kurum tarafından yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etme
• Kurum tarafından veri sorumlusuna yöneltilen talepleri veri sorumlusuna iletme, veri sorumlusundan gelecek cevabı Kuruma iletme
• Kurul tarafından başkaca bir esasın belirlenmemiş olması halinde; ilgili kişilerin Kanunun 13 üncü maddesinin birinci fıkrası uyarınca veri sorumlusuna yönelteceği başvuruları veri sorumlusu adına alma ve veri sorumlusuna iletme
• Kurul tarafından başkaca bir esasın belirlenmemiş olması halinde; ilgili kişilere Kanunun 13 üncü maddesinin üçüncü fıkrası uyarınca veri sorumlusunun cevabını iletme
• Veri sorumlusu adına Sicile ilişkin iş ve işlemleri yapma

hususlarının bulunması gerekir. Atama kararının tasdikli örneği kayıt başvurusu sırasında veri sorumlusu temsilcisi tarafından Kurum'a sunulmalıdır.

İrtibat Kişisi Kimdir?

İrtibat kişisi Kanun'da tanımlanmamıştır. Yönetmelikte tanımların yapıldığı 4'ncü maddede

Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişi veri sorumlusu temsilcisinin Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile kurulacak iletişim için veri sorumlusu tarafından Sicile kayıt esnasında bildirilen gerçek kişi

olarak tanımlanırken irtibat kişisinin yükümlülüklerinin düzenlendiği 11'nci maddenin 4'üncü fıkrasında

Türkiye’de yerleşik olan tüzel kişiler Sicile kayıt sırasında irtibat kişisi bilgilerini Sicile işlerler. İrtibat kişisi veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir. İrtibat kişisi, ilgili kişilerin veri sorumlusuna yönelteceği taleplerin cevaplandırılması konusunda iletişimi sağlar.

düzenlemesi yapılmıştır.

Tanım ile düzenleme arasında bir aykırılığın bulunması durumunda tanımı da kapsayan ama daha özel olan Madde 11/4'ün uygulanması gerekir.

Buna göre sadece Türkiye'de yerleşik olan veri sorumluları irtibat kişisi bildirmek zorundadır. Ancak Verbis ile ilgili yapılan sunumda Türkiye'de yerleşik olmayan kişilerin temsilcilerinin de irtibat kişisi bildirmesi gerekiyor. İrtibat kişisi gerçek bir kişidir. Veri sorumlusu bünyesinde bir bölüm ya da e-posta adresi, telefon numarası olamaz.

İrtibat kişisi ve veri sorumlusu ilişkisi bire bir şeklindedir. Yani her veri sorumlusu bir irtibat kişisi bildirebilir ve her irtibat kişisi sadece bir veri sorumlusunun irtibat kişisi olabilir. Örneğin bir şirketler grubunun her şirketi farklı bir irtibat kişisi bildirmek zorundadır.

İlgili kişilerin veri sorumlusuna yönelteceği taleplerin cevaplandırılması konusunda iletişimi sağlayacaktır. İrtibat kişisinin değişmesi durumunda Sicil'deki bilgilerde değişiklik yapılması gerekeceğinden yedi gün içinde Sicil'deki bilgilerin güncellenmesi gerekir. İrtibat kişisi bilgisinin yanlış olması durumunda da idari para cezası uygulanır.

İrtibat kişisi Avrupa Birliği mevzuatındaki Kişisel Verileri Koruma Görevlisi (Data Protection Officer) değildir. İrtibat kişisinin Avrupa Birliği mevzuatındaki sorumluluk ve yükümlülükleri gibi sorumluluk ve yükümlülükleri yoktur. Hatta Kurul açısından irtibat kişisi muhatap olmadığından irtibat kişisinin sorumlu tutulduğu iletişimi sağlama görevinin yerine getirilmemesinden dolayı da veri sorumlusunu cezalandırılamaz.

Sicil'e Hangi Bilgiler Bildirilecek?

Sicil'e kayıt olunurken ya da sonraki değişikliklerde

• Veri sorumlusu, varsa veri sorumlusu temsilcisi ve irtibat kişisine ait kimlik ve adres bilgilerine ilişkin Kurul tarafından belirlenecek başvuru formunda yer alan bilgiler
• Kişisel verilerin hangi amaçla işleneceği
• Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları
• Yabancı ülkelere aktarımı öngörülen kişisel veriler
• Kişisel verilerin mevzuatta öngörülen veya işlendikleri amaç için gerekli olan azami muhafaza edilme süresi

bilgilerinin Sicil'e bildirilmesi gerekir. Her ne kadar yönetmelikte bildirilecek bilgiler arasında sayılmasa da Kayıtlı Elektronik Posta (KEP) adresinin de bildirilmesi gerekir. Çünkü kamuyla paylaşılacak sicil bilgileri arasında KEP de sayılmaktadır.

Bildirilecek bilgilerden kişisel verilerin işlenme amaçları, veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar, kişisel verilerin aktarılabileceği alıcı veya alıcı grupları ve yabancı ülkelere aktarımı öngörülen kişisel veriler bilgileri Kişisel Verileri İşleme Envanteri'ne dayalı olarak hazırlanmalıdır.

Veri sorumlusunun

• Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek
• Kişisel verilere hukuka aykırı olarak erişilmesini önlemek
• Kişisel verilerin muhafazasını sağlamak

amacıyla uygun güvenlik düzeyini temin etmeye yönelik ve Kurul tarafından belirlenen kriterlere göre aldığı gerekli her türlü teknik ve idari tedbirler de Sicil'e bildirilir.

Veri Sorumlusunun Durumunda Değişiklik Olursa Ne Yapılacak?

Veri sorumlusunun kişisel verileri işleme faaliyetlerinde değişiklik olacaksa ya da bildirilen bilgilerin güncellenmesi gerekiyorsa güncelleme yedi gün içinde yapılmalıdır.

Kişisel veri işlemeye başlamadan önce Sicil'e kayıt gerektiğinden kişisel veri işleme faaliyetlerindeki değişiklikler hayata geçmeden Sicil değişikliğinin yapılması gerekir.

Yedi günlük süre mevcut olan bilgilerdeki değişiklikler için geçerlidir. Örneğin veri sorumlusunun adresinin değişmesi, irtibat kişisinin değişmesi, veri sorumlusunun faaliyetine son vermesi, alınan güvenlik tedbirleri gibi.

Sicil'den Silinme Nasıl Olacak?

Veri sorumlusunun Sicil'e kayıt olmasını gerektiren şartlar ortadan kalkarsa (kişisel veri işleme faaliyetinin sona ermesi, Kurul tarafında muafiyet tanınması, mevzuat sonrası muaf tutulması gibi), veri sorumlusu sicilin silinmesi için Kurum'a başvurabilir.

Başvuru kabul edilirse kayıtlar üzerinde değişiklik yapabilme hakkı olmayan farklı bir yapıya geçirilerek Sicil'den silinir.

Silinen kayıtların kamuya açık olup olmadığı ile ilgili bir düzenleme yönetmelikte yapılmamakla birlikte ilgili kişilerin haklarını kullanabilmeleri için kamuya açık olması gerekir.

Veri Sorumlusu İle İletişim Nasıl Olacak?

Türkiye’de yerleşik tüzel ve gerçek kişiler için, Sicile bildirilen kimlik, adres veya KEP adresi bilgileri üzerinden, Türkiye’de yerleşik olmayan veri sorumluları için, Sicile bildirilen veri sorumlusu temsilcisi üzerinden gerçekleştirilir.

Sicile Kayıt Ücretli Mi?

Hayır Sicil'e kayıt ücretsiz. Bir defalık ya da yıllık ücret adı altında herhangi bir ödeme yapılmamaktadır.