Veri Sorumlularını Ne Bekliyor?

Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) hayatımıza girdiği 2016 yılından itibaren, herkesin en çok dikkatini çeken ve en sık karşılaştığı terim Veri Sorumluları Sicil Bilgi Sistemine (“VERBİS”) kaydolma ve bildirim yükümlülüğü olmuştur. Kişisel Verileri Koruma Kurumu (“Kurum”), VERBİS’e kaydolma ve envanter bildirme yükümlülüğünü, kişisel veri işleyen gerçek veya tüzel kişi veri sorumlularından belirli koşulları sağlayanlar için öngörmüş ve söz konusu şart ve koşulları sağlayanlara kayıt ve bildirimlerini tamamlamaları için belli bir süre tanımıştır. VERBİS’e kayıt ve bildirim için tanınan süre 31 Aralık 2021 olarak belirlenmiş ve geçtiğimiz günlerde de bu süre sona ermiştir. Biz bu yazımızı yazarken Kurum’un kayıtların yapılması için belirlediği yeni bir tarih olmadığını ve öngördüğü sürenin sona erdiğini kabul ettiğik.

Veri sorumluları VERBİS kayıtlarını ve bildirimlerini geç de olsa yapabilirler mi?

Kurum geçtiğimiz sene yayınladığı duyurusunda, VERBİS’e kayıt yükümlülüğü bulunan ve belirlenen tarihe kadar kaydını ve bildirimini tamamlamayan veri sorumlularına, kayıt ve bildirim yükümlülüklerini yerine getirmeleri için yazı ile bildirim yapacağını ve ek süre vereceğini belirtmişti. Ancak bu kararın 2020 yılında yayınlandığını ve sonrasında 2021 yılında kayıt için 31 Aralık 2021 olarak son bir tarih belirlediğini düşünürsek, Kurum’un yazı ile tek tek her bir veri sorumlularına bildirim yapacağı uygulamanın halen geçerli olduğunu söylemek güç olacaktır. Bunu Kurum’un kararlarını ve duyurularını takip edip, ilerleyen günlerde görüyor olacağız.

Ancak Kurum’un bu zamana kadar ki yaklaşımlarından yola çıkarak, veri sorumlularının geç kaldıklarını düşünmeden VERBİS’e kayıt ve bildirimlerini tamamlamaları gerektiğini söylemek yanlış olmayacaktır. Zira bu hukuki bir yükümlülüktür şartları karşılayan şirketlerin kayıt yapıp, bildirimlerini tamamlanması tavsiye edilir.  

Kurum, VERBİS kayıtlarını ve bildirimlerini süresinde yapmayan veri sorumluları için inceleme başlatabilir mi?

Kurum’un geçtiğimiz dönemdeki uygulamalara baktığımızda, VERBİS’e kaydını süresinde yapmayan veri sorumlularına, yazı ile bildirimde bulunarak, kaydolmaları için belirli bir süre tanıdığını ve fakat henüz bir cezai işlem yapmadığını görmekteyiz. Bundan sonraki süreçte tutumunun ne olacağı zamanla netleşecek olup, mevcut durumda kayıt yapmayanlara cezai işlem uygulaması için hukuken bir engel yoktur. Dolayısıyla kayıtlarını tamamlamayanların bir an önce usulüne uygun olacak şekilde VERBİS bildirimlerini yapmalarını tavsiye etmekteyiz.

Bununla birlikte süresinde kayıtlarını tamamlayıp, envanterdeki bilgileri doğru ve güncel uygulamasını yansıtacak şekilde doldurmayanlar için ayrı bir değerlendirme yapmak gerekir. Sicile kayıt ve bildirim yükümlülüğünün getirilmesindeki esas amaç, sadece süresinde VERBİS’e kayıt yapılmasını değil, VERBİS’e beyan edilen bilgilerin tüm kişisel veri işleme faaliyetlerini kapsayacak şekilde doğru, güncel ve güvenilir bilgilerin de beyan edilmesini kapsamaktadır.

Kurum’un Kanun’da belirtilen görevlerine baktığımızda şikayet üzerine veya ihlal iddiasını öğrenmesi halinde resen veri sorumluları hakkında gerekli incelemeyi yapma yetkisine sahip olduğunu görmekteyiz. Uygulama açısından henüz net bir cevaba sahip olunmasa da işin doğası gereği Kurum gibi bir otoritenin oluşturulma amacını da göz önünde bulundurarak, doğrudan bir ihbara veya şikayete ihtiyaç duymadan veri sorumluları nezdinde denetim yetkisine sahip olduğunu düşünmekteyiz. Kanaatimizce, kayıtların doğruluğunu sağlamakla görevli Kurum, VERBİS üzerindeki bilgileri şikayet olmaksızın denetleyebilecektir. Dolayısıyla, bu incelemeler neticesinde veri sorumlularının VERBİS’e bildirdikleri envanteri usulüne uygun doldurmadığının tespit edilmesi halinde veri sorumluları için idari yaptırımların da olması beklenilen bir gerçekliktir.

Tanınan tarihten sonra kayıt yapılması açıkça Kanun ihlali olup, Veri sorumluları için yaptırım uygulanmasına sebep olur mu?

Kural olarak VERBİS’e kayıt ve bildirim yükümlülüğüne aykırılık olması halinde Kurum veri sorumlularına yaptırım olarak idari para cezası verebiliyor. Bu miktar her yıl güncellenmekte olup, 2022 yılı için 53.576 TL- 2.678.866 TL aralığındadır.

Ancak Kurum’un bundan önceki uygulamalarına baktığımızda süresinde kaydını ve bildirimini yapmayan veri sorumlularına yazılı bildirim yaparak 30 günlük ek süre verdiğini görmekteyiz. Bundan sonraki süreçte doğrudan denetim yaparak yaptırım uygulayacak mı yoksa yine süre verip o süre içerisinde bildirimin tamamlanmasını mı isteyecek hep birlikte takip edip görüyor olacağız.