Veri Sorumlulari Siciline Kayıt Yükümlülügüne İlişkin Kurulca Belirlenen Tarihler Hakkında 2019/387 Sayılı Kurul Karar Özeti
|
Karar No |
: 2019/387 |
|
Konu Özeti |
:Veri Sorumlulari Siciline kayıt tarihlerinin düzenlenmesi |
Bilindiği üzere 6698 sayılı Kişisel Verilerin Korunmasi Kanununun (Kanun) 16 nci maddesi geregi, kişisel verileri isleyen gerçek ve tüzel kişiler, veri islemeye baslamadan önce Veri Sorumlulari Siciline kaydolmak zorundadir.
Veri Sorumlulari Sicili, Kişisel Verileri Koruma Kurulu (Kurul) gözetiminde Başkanlık tarafından kamuya açık olarak tutulmaktadir. Bu amaçla oluşturulan ve kısa adı VERBİS olan Veri Sorumlulari Sicil Bilgi Sistemine, kayıt yükümlülügü kapsamindaki veri sorumlularinca islemekte oldukları kişisel verilerle ilgili bilgi girisi yapılması gerekmektedir.
Veri Sorumlulari Sicilinin kamuya açık olarak tutulmasi; kişisel verisi islenen gerçek kisilere, kendi verileri üzerinde kontrolün saglanabilmesi imkânı sundugundan VERBİS, seffaflik ve hesap verebilirlik özelligi ile ön plana çikmaktadir.
Sicile kayıt yükümlülügü, kişisel veri islemekte olan gerçek veya tüzel kişiler için Kanunla getirilmis bir yükümlülük olup bu yükümlülüge uyulmamasi halinde yaptirim öngörülmüs olmakla birlikte asil hedeflenen; kişisel verilerin islenmesinde seffafligin sağlanması, veri sorumlularinin Kanuna uyumu konusunda özen göstermeleri, kişisel veri islenmesinin disiplin altına alınması, kişisel verisini isledigi kisilere hesap verebilmesi, kişisel verilerin gelisigüzel islenmesinin önüne geçilmesi ve bu konuda bir kültür ve farkındalık olusmasinin saglanmasidir.
Kayıt yükümlülügünün yerine getirilmesi ile ilgili tarihler de Kanunun geçici 1. maddesine istinaden Kurul tarafından belirlenerek aşağıdaki gibi ilan edilmiştir:
|
|
Veri Sorumlulari |
Baslama tarihi |
Verilen süre |
Son tarih |
|
|
Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplami 25 milyon TL’den çok olan veri sorumlulari |
01.10.2018 |
15 ay |
31.12.2019 |
|
|
Yurtdisinda yerlesik veri sorumlulari |
01.10.2018 |
15 ay |
31.12.2019 |
|
|
Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplami 25 milyon TL’den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlulari |
01.01.2019 |
15 ay |
31.03.2020 |
|
|
Kamu kurum ve kuruluşu veri sorumlulari |
01.04.2019 |
15 ay |
30.06.2020 |
VERBİS üzerinden yapılan değerlendirme sonucunda, bazı veri sorumlularinca söz konusu başvuru formlarinin Baskanligimiza iletilmesi ile yükümlülügün yerine getirilmis olduğu düsünülerek bildirim yapilmadigi gözlemlenmektedir. İrtibat kisisi tarafından “Sicile kayıt” butonu ile giriş yapılarak bildirimin tamamlanmasi ve sistem üzerinden iletilmedigi takdirde Sicile kayıt ve bildirim yükümlülügünün yerine getirilmemis olacaginin bilinmesinde fayda görülmektedir.Bilindiği üzere, Kanunun 16 nci maddesinde istisna kapsamında olmayan veri sorumlulari için getirilmis olan yükümlülük, kayıt ve bildirim yükümlülügünün yerine getirilmesidir. Bu kapsamda veri sorumlularinin, önce VERBİS’e giriş yaparak başvuru formunu sistem üzerinden olusturmasi ve bu formu Kuruma kargo / posta / elden iletilmesi veya Kayıtlı Elektronik Posta (KEP) aracılığıyla iletmesi gerekli görülmektedir. Başvuru formunun iletilmesi üzerine Kurum tarafından kendisine iletilen “kullanici adı” ve “parola” ile VERBİS’e giriş yaparak bildirimi gerçeklestirmesi gerekmektedir.
Öte yandan veri sorumlularinca, Kurul kararinda öngörülen sürede kayıt ve bildirim yükümlülügünü yerine getirmek amacıyla son günlerde yoğun bir şekilde başvuru ve VERBİS üzerinden bildirim iletildigi gözlemlenmektedir.
Veri sorumlularina, 6698 sayılı Kanunla Sicile kayıt ve bildirim yükümlülügü getirilmis olmasinin amacı;
Kişisel verilerin islenmesinde seffafligin,
Kişisel verilerin gelisigüzel islenmesinin önüne geçilerek bu alanda veri sorumlularinin kişisel veri islemesi faaliyetlerinin disiplin altına alinmasinin,
Kişisel verilerin korunmasi alanında toplumun tüm kesimlerinde kültür ve farkındalık olusmasinin, veri sorumlularinin kişisel verisini isledigi kisilere hesap verebilmesinin,
Veri sorumlularinin Kanuna uyumunun,
İstisna kapsamında olmayan tüm veri sorumlularinin Sicile kaydolmasinin
saglanmasidir.
Bu amaçlardan da anlasilacagi üzere Sicile kayıt ve bildirim yükümlülügü, sadece süresinde VERBİS’e kayıt olunmasini değil, bununla birlikte VERBİS’e beyan edilen bilgilerin tüm kişisel veri işleme faaliyetlerini kapsayacak şekilde doğru, güncel ve güvenilir bilgilerin de beyan edilmesini kapsamaktadir.
VERBİS veri tabani üzerinden özellikle son günlerde iletilen bildirimlerle ilgili olarak yapılan arastirmada, bazı bildirimlerde islendigi beyan edilen kişisel verilerle işleme amaçlarinin, aktarim gerçeklestirildigi beyan edilen alici/alici gruplarinin, veri konusu kişi gruplarinin, alınan teknik ve idari tedbirlerin, özel nitelikli kişisel veriler için alınması gereken yeterli önlemlerin, yurtdisina veri aktariminin ve saklamaya ilişkin beyan edilen sürelerin örtüsmedigi, bu konuda ciddi yanlisliklarin ve Kanuna/yönetmeliklere aykiriliklarin olduğu görülmektedir.
Bu durumun nedenlerinden birisinin de Kanunun 18 inci maddesinde öngörülen yaptirimlarla karsilasmamak adına Kurul tarafından belirlenen süre içerisinde bir kayıt gerçeklestirmek olduğu anlasilmaktadir.
Kanunun 16 nci maddesinde Sicile ilişkin bazı hükümler yer almis olup diğer usul ve esaslarin da yönetmelikle düzenleneceği ifade edilmiştir. Buna istinaden 31.12.2017 tarihli Resmi Gazetede yayımlanarak yürürlüğe giren Veri Sorumlulari Sicili Hakkında Yönetmeligin 5 inci maddesinde;
“ç) Sicile kayitla yükümlü olan veri sorumlulari, Kişisel Veri İşleme Envanteri hazirlamakla yükümlüdür. Sicil basvurularinda Sicile açiklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazirlanir.
d) Kanunun 10 uncu maddesinde veri sorumlulari için belirtilen aydinlatma yükümlülügünde, Kanunun 13 üncü maddesinde belirtilen ilgili kişi basvurularinin yanitlanmasinda ve ilgili kişiler tarafından açiklanacak açık rizanin kapsaminin belirlenmesinde kişisel veri işleme envanterine dayalı olarak Sicile sunulan ve Sicilde yayınlanan bilgiler esas alinir.
e) Veri sorumlulari, Sicile sunulan ve Sicilde yayınlanan bilgilerin eksiksiz, doğru, güncel ve hukuka uygun olmasindan sorumludur. Veri sorumlularinin Sicile kaydolmasi Kanun kapsamindaki diğer yükümlülüklerini ortadan kaldirmaz.”
hükümleri yer almıştır.
Buna göre, veri sorumlularinin VERBİS’e kayıt ve bildirim yükümlülügünü yerine getirirken öncelikle kişisel veri islenmekte olan tüm süreçleri içerecek şekilde kişisel veri işleme envanteri hazirlanmasi ve VERBİS’e bildirim yapilirken gelisigüzel değil söz konusu envanter baz alınarak giriş yapılması gerekmektedir.
Ayrıca, Kanunun 16 nci maddesinde Sicile girilen bilgilerde meydana gelen degisikliklerin derhâl Baskanliga bildirilecegi hükmü ile Veri Sorumlulari Sicili Hakkında Yönetmeligin 13 üncü maddesinde yer alan “Veri sorumlulari, Sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen degisiklikleri, degisikligin meydana geldigi tarihten itibaren yedi gün içerisinde VERBİS üzerinden Kuruma bildirir.” hükmü geregi gerekli güncellemelerin belirtilen sürede yapılması gerekmektedir.
Veri sorumlularinca Sicile kayıt ve bildirim yükümlülügünün yerine getirilmesi amacıyla VERBİS’e girilen bilgiler üzerinden Kurul tarafından yapılan araştırma ve değerlendirme sonucunda;
a) Sicile kayıt ve bildirim yükümlülügünün yerine getirilmesi kapsamında;
Bazı veri sorumlularinin sadece kayıt başvuru formunu ilettiginin görüldügü, Kanunun 16 nci maddesinde yer alan yükümlülügün kayıt ve bildirimi kapsadigi, bu nedenle Kurumca iletilen “kullanici adı” ve “parola” ile VERBİS’e giriş yapılarak kişisel veri işleme faaliyetlerine ilişkin bildirimin tamamlanmasi gerektiginin,
Sicile kayıt ve bildirim yükümlülügünün asil amacinin kişisel veri islemede seffaflik, kişisel verilerin gelisigüzel islenmesinin önüne geçilerek kişisel veri işleme faaliyetlerinin disiplin altına alınması, bu alanda kültür ve farkındalık olusmasi, veri sorumlularinin kişisel verisini isledigi kisilere hesap verebilmesi, veri sorumlularinin Kanuna uyumu ve istisna kapsamında olmayan tüm veri sorumlularinin Sicile kaydolmasinin sağlanması olduğunun,
Sicile kayıt ve bildirim yükümlülügünün sadece Kanunda öngörülen yaptirimlarla karsilasmamak adına süresi içerisinde bir kayıt gerçeklestirmek olarak anlasilmamasi gerektiginin, bu amaca yönelik kayıt ve bildirimlerin Kanuna aykirilik teskil edebileceginin,
Özellikle son zamanlarda VERBİS’e iletilen bildirimler incelendiginde, birçok bildirimde kişisel veriler ile işleme amaçlari, alici/alici gruplari, veri konusu kişi gruplari, alınan teknik ve idari tedbirler, yeterli önlemler, yurtdisina veri aktarimi ve saklama sürelerinin örtüsmedigi, bu konuda ciddi yanlisliklar ve mevzuata aykiriliklar olduğunun görüldügünün,
VERBİS’e beyan edilen bilgilerin doğru ve güncel olması gerektiginin, bu bilgilerden ilgili veri sorumlusunun sorumlu olduğunun,
Sicile kayitla yükümlü olan veri sorumlularinin Veri Sorumlulari Sicili Hakkında Yönetmelik geregi kişisel veri işleme envanteri hazirlamak zorunda olduğunun ve VERBİS’e girilen bilgilerin bu envantere dayalı olarak hazirlanmasi gerektiginin,
Veri sorumlularinin VERBİS’e kayıt ve bildirim yükümlülügünü yerine getirirken öncelikle kişisel veri islenmekte olan tüm süreçleri içerecek şekilde kişisel veri işleme envanteri hazirlamasi ve VERBİS’e bildirim yapilirken gelisigüzel değil mutlaka söz konusu envanter baz alınarak giriş yapılması gerektiginin,
Sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen degisiklikleri, degisikligin meydana geldigi tarihten itibaren yedi gün içerisinde VERBİS üzerinden Kuruma bildirilmesi gerektiginin
tüm veri sorumlularina hatirlatilmasina,
b) Yukarıda yer verilen açıklamalar doğrultusunda kişisel veri işleme envanteri hazirlamadan gelisigüzel VERBİS’e kayıt ve bildirim gerçekleştiren veri sorumlulari ile envanter hazırlama süreçlerini tamamlayamadigi için süresinde kayıt ve bildirim yükümlülügünü yerine getiremeyecek olan veri sorumlulari dikkate alınarak, VERBİS’e girilmis olan bilgilerde herhangi bir hata veya Kanuna aykirilik varsa bu durumun bir an önce düzeltilmesi için gerekli çalışmaların yapilabilmesini teminen 6698 sayılı Kanunun Geçici 1 inci maddesi geregi;
Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplami 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumlularina Sicile kayıt ve bildirim yükümlülügünü yerine getirmeleri için verilen sürenin 30.06.2020 tarihine,
Yurtdisinda yerlesik gerçek ve tüzel kişi sorumlularina Sicile kayıt ve bildirim yükümlülügünü yerine getirmeleri için verilen sürenin 30.06.2020 tarihine,
Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplami 25 milyon TL’den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek veya tüzel kişi sorumlularina Sicile kayıt ve bildirim yükümlülügünü yerine getirmeleri için verilen sürenin 30.09.2020 tarihine,
Kamu kurum ve kuruluşu veri sorumlularina Sicile kayıt ve bildirim yükümlülügünü yerine getirmeleri için verilen sürenin 31.12.2020 tarihine,
kadar uzatilmasina,
c) Bu kararin Kurum internet sayfasinda duyurulmasi ve Resmî Gazete’de yayimlanmasina
karar verilmistir.