GİRİŞ
6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) hayatımıza girmesiyle beraber tamamlayıcı mevzuat olarak hazırlanan ve 30.12.2017 tarihli Resmi Gazete’de yayımlanan Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca Veri Sorumluları Sicili (“VERBİS”) oluşturulmuştur. Söz konusu yönetmeliğin 8. maddesine göre veri sorumluları kişisel veri işlemeye başlamadan önce sicile kayıt olmak zorundadır. Buna karşın aynı yönetmeliğin 15. maddesinde bir kısım veri işleme faaliyeti yürüten veri sorumluları açısından sicile kayıt yükümlülüğü olmadığı düzenlenmiş, devam eden 16. maddesinde ise Kişisel Verileri Koruma Kurulu’nun kayıt yükümlülüğüne istisna getirmek üzere kullanacağı kriterlere yer verilmiştir.
Kurul, yönetmeliğin 15. maddesinde yer alan yetkisi uyarınca VERBİS’e kayıt yükümlülüğü altında bulunan veri sorumlularını 4 grup halinde şu şekilde tayin etmiştir:
1- Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları,
2- Yurt dışında yerleşik gerçek ve tüzel veri sorumluları,
3- Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olup ana faaliyet konusu özel nitelikte kişisel veri işleme olan gerçek veya tüzel kişi veri sorumluları,
4- Kamu kurum ve kuruluşu veri sorumluları.
Kişisel Verileri Koruma Kurulu, söz konusu veri sorumlularının VERBİS’e kayıt yükümlülüklerinin başlangıç ve bitiş tarihini ise ayrı ayrı tayin ederek ilk olarak 05.10.2018 tarihinde yaptığı duyuru ile “Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları” ve “Yurt dışında yerleşik gerçek ve tüzel veri sorumluları” için kayıt yükümlülüğünün 01.10.2018 tarihinde başladığını duyurmuştur. Söz konusu iki gruptaki veri sorumlularına sicile kayıt için 12 ay süre tanınmış ve 30.09.2019 tarihi son gün olarak belirtilmiştir.
Söz konusu duyuruyu takiben 02.01.2019 tarihinde Kurul, bu kez “Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olup ana faaliyet konusu özel nitelikte kişisel veri işleme olan gerçek veya tüzel kişi veri sorumluları” için kayıt yükümlülüğünün 01.01.2019 tarihinde başladığını duyurmuştur. Bu gruptaki veri sorumlularına ise kayıt için 15 aylık süre tanınmış ve 31.03.2020 tarihi son gün olarak belirtilmiştir.
Kalan son grup olan “Kamu kurum ve kuruluşu veri sorumluları” için ise Kurul, 01.04.2019 tarihinde yapmış olduğu duyuru ile kayıt yükümlülüğünün 01.04.2019 tarihinde başladığını bildirmiştir. Bu grupta yer alan veri sorumluları için de kayıt için 15 aylık bir süre tanınmış ve 30.06.2020 tarihi son gün olarak belirtilmiştir.
İLK ERTELEME
Kurul tarafından alınan 2019/265 sayılı karar ve 05.09.2019 tarihli duyuru ile ilk iki grupta yer alan veri sorumlularının VERBİS’e kayıt sürelerinin 31.12.2019 tarihine kadar uzatıldığı bildirilmiştir. Söz konusu kararda şu ifadelere yer verilmiştir.
“Türkiye Odalar ve Borsalar Birliği (TOBB) ve muhtelif sektör temsilcileri tarafından Kurumumuza intikal ettirilen Veri Sorumluları Siciline kayıt sürelerinin uzatılmasına ilişkin taleplerin değerlendirilmesi neticesinde, Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları ile yurtdışında yerleşik gerçek ve tüzel kişi veri sorumlularının Veri Sorumluları Siciline kayıt yükümlülüğünü yerine getirmeleri için belirlenen sürenin 31.12.2019 tarihine kadar uzatılmasına karar verilmiştir.”
3 ve 4. grupta yer alan veri sorumluları için sicile kayıt yükümlülüğünün son gününe ilişkin herhangi bir değişiklik getirmeyen söz konusu karar yalnızca ilk iki grupta yer alan veri sorumluları açısından etki doğurmuştur. Bu erteleme özünde bir eşitliği de beraberinde getirmiştir. Zira ilk iki grupta yer alan veri sorumluları açısından sicile kayıt yükümlülüğünü yerine getirmek için 12 aylık bir süre tanınmışken 3 ve 4. grupta yer alan veri sorumluları açısından bu süre 15 ay olarak tayin edilmişti. Yapılan bu 3 aylık erteleme ile ilk iki grupta yer alan veri sorumluları yönünden de sicile kayıt yükümlülüğünün 15 ay içinde yerine getirilmesi mümkün kılınmıştır.
İKİNCİ ERTELEME
Kurul tarafından alınan 2019/387 sayılı karar ve 27.12.2019 tarihli duyuru ile VERBİS’e kayıt zorunluluğu bulunan bütün veri sorumluları yönünden kaydın yerine getirilmesi gereken son gün ertelenmiştir. Söz konusu karar uyarınca:
– Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları için son tarih 30.06.2020,
– Yurt dışında yerleşik gerçek ve tüzel veri sorumluları için son tarih 30.06.2020,
– Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olup ana faaliyet konusu özel nitelikte kişisel veri işleme olan gerçek veya tüzel kişi veri sorumluları için son tarih 30.09.2020 ve
– Kamu kurum ve kuruluşu veri sorumluları için son tarih 31.12.2020 olmuştur.
Kurul tarafından alınan kararda özetle VERBİS’e kayıt yükümlülüğünün kimi veri sorumlularınca yanlış anlaşıldığı ve kaydın yalnızca bir takım evrakların Kurul’a iletilmesinden ibaret görüldüğü yanı sıra VERBİS’e yapılacak olan girişlerin veri sorumluları tarafından hazırlanması gereken kişisel veri işleme envanteri uyarınca yapılması gerekirken bu husus gözetilmeden gelişigüzel veri girişlerinin yapılmış olduğunun görülmesi sebebiyle erteleme kararı alındığı vurgulanmıştır.
Söz konusu erteleme ile tüm veri sorumluları açısından VERBİS kayıt yükümlülüklerini yerine getirmeleri için 6 aylık daha ek süre tanınmıştır. Ancak söz konusu kararın özellikle ilk iki grupta yer alan veri sorumlularının VERBİS sistemine kayıt olmaları için son tarih olan 31.12.2019 tarihinden sadece birkaç gün önce alınmış olması ciddi eleştiri almıştır.
ÜÇÜNCÜ ERTELEME
Kurul’un üçüncü kez süre uzatımı yapmasında açıklanan karara göre temel faktör tüm dünyada ve ülkemizde görülen Covid-19 virüs salgını olmuştur. Kurul tarafından alınan 2020/482 sayılı karar ve yayımlanan 23.06.2020 tarihli duyuru metninde bu husus şu şekilde dile getirilmiştir:
“Tüm dünyada olduğu gibi ülkemizde de etkisini gösteren Covid-19 virüs salgını nedeniyle bazı işyerlerinin fiziksel olarak kapalı olduğu veya uzaktan / dönüşümlü çalışma modeli uygulandığı, bu nedenle veri sorumlularınca kişisel veri işleme envanteri hazırlama çalışmalarının yapılamadığı ve Veri Sorumluları Siciline (Sicil) kayıt yükümlülüğünün süresinde yerine getirilemediği gerekçesiyle Sicile kayıt sürelerinin uzatılmasına ilişkin Türkiye Odalar ve Borsalar Birliği (TOBB) ile muhtelif sektör temsilcileri tarafından Kuruma intikal ettirilen taleplerin değerlendirilmesi neticesinde…”
Alınan söz konusu karara göre veri sorumlularının VERBİS’e kayıt yükümlülüklerine ilişkin takvim ise şu şekilde olmuştur:
– Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları için son tarih 30.09.2020,
– Yurt dışında yerleşik gerçek ve tüzel veri sorumluları için son tarih 30.09.2020,
– Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olup ana faaliyet konusu özel nitelikte kişisel veri işleme olan gerçek veya tüzel kişi veri sorumluları için son tarih 31.03.2021 ve
– Kamu kurum ve kuruluşu veri sorumluları için son tarih 31.03.2021 olmuştur.
Görüleceği üzere bu kez süre uzatımı kayıt yükümlülüğü altında olan veri sorumluları yönünden eşit bir şekilde yapılmamış, yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olup ana faaliyet konusu özel nitelikte kişisel veri işleme olan gerçek veya tüzel kişi veri sorumluları dışındaki veri sorumluları açısından 3 aylık bir erteleme yapılmışken söz konusu 3. grupta yer alan veri sorumluları yönünden bu uzatım 6 ay olmuştur.
11.03.2021 TARİHİNDE YAPILAN SON ERTELEME
Kurul tarafından alınan 2021/238 sayılı karar ve yayımlanan 11.03.2021 tarihli duyuru ile beklenmedik bir erteleme kararı alınmıştır. Söz konusu erteleme kararında da temel sebep olarak ülkemizde halen etkisini gösteren Covid-19 virüs salgını gösterilmiş olmakla bu erteleme kararını diğerlerinden ayıran temel bir farklılık bulunmaktadır.
Yukarıda açıklanan ve Kurul tarafından alınan 2020/482 sayılı karar ile ilk iki grupta yer alan veri sorumluları yönünden VERBİS’e son kayıt tarihi 30.09.2020 olarak tayin edilmiştir. Nitekim söz konusu tarih geldiğinde Kurul tarafından herhangi bir erteleme kararı alınmadığı için ilk iki grupta yer alan veri sorumluları yönünden tanınan süre bitmişti. Öyle ki Kurul tarafından yapılan araştırmalar neticesinde VERBİS’e kayıt yükümlülüğü olmasına rağmen kaydolmayan veri sorumlularına posta vb. kanallardan yapılan bildirim ile 30 gün içerisinde kayıt yükümlülüklerinin yerine getirilmesi istenmiştir.
Veri sorumlularının kendilerine tanınan süre içinde VERBİS’e kayıt olmamalarının yaptırımı ise Kişisel Verilerin Korunması Hakkında Kanun’un m.18/1-(ç) maddesinde “Bu Kanunun 16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir.” şeklinde düzenlenmiştir. Ancak söz konusu idari para cezasının 2021 yılı için tatbikinde alt sınır 39.337 TL üst sınır ise 1.966.862 TL olarak hesaplanmıştır. İlk iki grupta yer alan veri sorumluları yönünden Kurul’un 30.09.2020 tarihinden itibaren bu yükümlülüğe aykırı davrananlar yönünden idari para cezası uygulaması önünde ise hiçbir engel bulunmamaktaydı.
11.03.2021 tarihinde yapılan duyuruda ise VERBİS’e kayıt olmaları gereken son süre üzerinden yaklaşık 5 aya yakın süre geçmiş olan ilk iki grupta yer alan veri sorumlularına da tekrardan 31.12.2021 tarihine kadar VERBİS’e kayıt olma imkânı getirilmiştir. Dolayısıyla teknik olarak ilk iki grupta yer alan veri sorumluları açısından Kurul’un aldığı bu son karar bir erteleme değil yeniden süre tanınması şeklinde yorumlanmıştır.
Son iki grupta yer alan veri sorumluları açısından da Kurul VERBİS’e son kayıt tarihini 31.12.2021 olarak belirlemiştir. Şu halde her dört grup veri sorumlusu açısından da VERBİS’e son kayıt tarihi birleştirilerek 31.12.2021 tarihi işaret edilmiştir. Özellikle son iki kararın özünde yatan sebep olan Covid-19 virüs salgının ertelemenin yapıldığı sene sonu itibariyle ülkemizdeki seyri belki de alınacak yeni bir karara etkili olacaktır.