Şirketlerde VERBİS Kaydı ve KVKK Uyumu: Yükümlülükler, İstisnalar ve Hukuki Riskler

Dijitalleşmenin hızlanmasıyla birlikte şirketler; müşterilerine, çalışanlarına, tedarikçilerine ve iş ortaklarına ait çok sayıda kişisel veriyi toplamakta, işlemekte ve saklamaktadır. Bu verilerin hukuka uygun şekilde işlenmesi ve korunması, hem bireylerin temel haklarının güvence altına alınması hem de şirketlerin yasal yükümlülüklerini yerine getirmesi açısından önem taşır.

Türkiye’de kişisel verilerin korunmasına ilişkin temel düzenleme, 6698 sayılı Kişisel Verilerin Korunması Kanunu’dur (KVKK). Kanun kapsamında kişisel veri işleyen şirketlerin, veri sorumlusu sıfatıyla çeşitli hukuki ve teknik yükümlülükleri bulunmaktadır.

Bu yükümlülüklerden biri de şartları oluştuğunda Veri Sorumluları Sicili’ne (VERBİS) kayıt yaptırılmasıdır. Ancak VERBİS kaydı yaptırmak, tek başına KVKK’ya uyum sağlandığı anlamına gelmez. Şirketlerin kişisel veri işleme süreçlerini bir bütün olarak değerlendirmesi gerekir.

VERBİS Nedir?

VERBİS, Kişisel Verileri Koruma Kurumu tarafından oluşturulan ve veri sorumlularına ilişkin bilgilerin kayıt altına alındığı Veri Sorumluları Sicili’dir.

Sicilin temel amaçları şunlardır:

• Veri sorumlularına ilişkin bilgilerin kayıt altına alınmasını sağlamak.

• Kişisel veri işleme faaliyetlerinde şeffaflığı artırmak.

• Veri sorumlularının veri işleme faaliyetlerine ilişkin belirli bilgileri beyan etmesini sağlamak.

• Kişisel verilerin korunmasına ilişkin hukuki denetim ve uygulamaları desteklemek.

VERBİS kaydı, şirketlerin hangi kişisel verileri hangi amaçlarla işlediği, verilerin kimlere aktarılabileceği ve saklama süreleri gibi konulardaki bildirim yükümlülükleriyle bağlantılıdır.

Hangi Şirketlerin VERBİS Kaydı Yaptırması Gerekir?

6698 sayılı KVKK’nın 16. maddesi uyarınca, kişisel verileri işleyen gerçek ve tüzel kişilerin Veri Sorumluları Sicili’ne kayıt yükümlülüğü bulunmaktadır. Bununla birlikte, Kanun ve Kişisel Verileri Koruma Kurulu kararları kapsamında belirli veri sorumluları için istisnalar öngörülebilir.

Ekteki çalışmada yer verilen 2021/238 sayılı Kurul kararı çerçevesinde, genel olarak aşağıdaki gruplar kayıt yükümlülüğü bakımından öne çıkmaktadır:

• Yıllık çalışan sayısı 50’den fazla olan veri sorumluları.

• Yıllık mali bilanço toplamı 25 milyon TL’den fazla olan veri sorumluları.

• Ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumluları.

Bu kriterler değerlendirilirken ilgili Kurul kararlarının kapsamı ve varsa özel düzenlemeler birlikte incelenmelidir. Çalışan sayısı, mali bilanço ve faaliyet konusu bakımından yapılan değerlendirme, her şirketin durumuna göre ayrıca ele alınmalıdır.

Önemli: Bu ölçütler, güncel mevzuat ve Kurul kararları kontrol edilmeden her şirket için kesin sonuç veren tek başına bir kontrol listesi olarak kullanılmamalıdır.

VERBİS Kaydı Zorunluluğunun İstisnaları Nelerdir?

KVKK’nın 16. maddesi, Kişisel Verileri Koruma Kurulu’na objektif kriterleri dikkate alarak VERBİS kayıt yükümlülüğüne istisna getirme yetkisi tanımaktadır.

İlgili düzenlemeler kapsamında, belirli kişisel veri işleme faaliyetleri bakımından sicile kayıt ve bildirim yükümlülüğünün bulunmadığı durumlar söz konusu olabilir.

Ekteki çalışmada, Veri Sorumluları Sicili Hakkında Yönetmelik’in 15. maddesi kapsamında şu faaliyetler belirtilmektedir:

• Kişisel verilerin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.

• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.

• Yetkili kamu kurumları ve kamu kurumu niteliğindeki meslek kuruluşlarının kanuni görevlerini yerine getirmesi kapsamında yürütülen belirli veri işleme faaliyetleri.

• Kişisel verilerin bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarının korunması amacıyla gerekli olması.

Bu istisnalar, her türlü veri işleme faaliyeti veya her şirket için otomatik olarak geçerli kabul edilmemelidir. İstisnanın kapsamı, ilgili düzenleme ve somut olay dikkate alınarak belirlenmelidir.

KVKK Uyum Süreci Nedir?

KVKK uyum süreci, şirketin kişisel veri işleme faaliyetlerinin Kanun’a ve ilgili mevzuata uygun hâle getirilmesi için yürütülen hukuki, idari ve teknik çalışmalardan oluşur.

VERBİS kayıt yükümlülüğü bulunan şirketlerin sicile kayıt yaptırması önemlidir. Bununla birlikte, kayıt işlemi KVKK uyumunun yalnızca bir bölümünü oluşturur.

Etkili bir KVKK uyum sürecinde aşağıdaki çalışmaların yürütülmesi gerekir.

1. Kişisel veri envanterinin hazırlanması

Kişisel veri envanteri, şirketin hangi kişisel verileri işlediğini ve bu verileri nasıl yönettiğini ortaya koyan temel dokümanlardan biridir.

Envanter hazırlanırken şu hususlar değerlendirilmelidir:

• İşlenen kişisel veri kategorileri.

• Verilerin işlenme amaçları.

• Veri işlemenin hukuki sebepleri.

• Verilerin kimlere ve hangi amaçlarla aktarılabileceği.

• Verilerin saklama süreleri.

• Veri güvenliği için uygulanan teknik ve idari tedbirler.

• Veri ihlali durumunda izlenecek süreçler.

Envanter oluşturulurken insan kaynakları, muhasebe, satış, pazarlama, müşteri ilişkileri ve bilgi teknolojileri gibi veri işleme faaliyetlerinin bulunduğu departmanlardan bilgi alınması önemlidir.

2. Veri işleme faaliyetlerinin hukuki açıdan incelenmesi

Şirketin işlediği her kişisel veri için bu işlemenin neden yapıldığı ve hangi hukuki sebebe dayandığı belirlenmelidir.

Bu kapsamda şu sorulara yanıt aranmalıdır:

• Kişisel veri hangi amaçla işleniyor?

• Veri işlemenin KVKK kapsamında geçerli bir hukuki sebebi var mı?

• İşleme faaliyeti için açık rıza gerekiyor mu?

• Veriler üçüncü kişilerle paylaşılıyor mu?

• İşleme amacı için gerekli olmayan veriler toplanıyor mu?

Açık rıza, kişisel veri işlemenin her durumda zorunlu şartı değildir. KVKK’nın 5. ve ilgili durumlarda 6. maddelerinde düzenlenen şartlar değerlendirilmelidir. İşleme faaliyeti başka bir hukuki işleme şartına dayanıyorsa ayrıca açık rıza alınması gerekmeyebilir.

3. Aydınlatma metinlerinin hazırlanması

KVKK’nın 10. maddesi kapsamında veri sorumlusu, kişisel verilerin elde edilmesi sırasında ilgili kişileri aydınlatmakla yükümlüdür.

Aydınlatma metinlerinde, somut veri işleme faaliyetine uygun şekilde şu bilgilere yer verilmelidir:

• Veri sorumlusunun kimliği.

• Kişisel verilerin hangi amaçlarla işlendiği.

• Kişisel verilerin kimlere ve hangi amaçlarla aktarılabileceği.

• Kişisel verilerin toplanma yöntemi ve hukuki sebebi.

• İlgili kişinin KVKK’nın 11. maddesi kapsamındaki hakları.

Şirketlerin internet sitelerinde, çalışan ilişkilerinde, müşteri kayıt süreçlerinde ve diğer veri toplama noktalarında kullandıkları metinleri ayrı ayrı değerlendirmesi gerekebilir.

4. Kişisel veri saklama ve imha politikasının oluşturulması

Şirketler, kişisel verileri işleme amacı için gerekli olan süre boyunca ve ilgili mevzuata uygun şekilde saklamalıdır.

Saklama ve imha süreçleri oluşturulurken şu hususlar dikkate alınmalıdır:

• Verilerin saklanmasını gerektiren hukuki ve işlevsel nedenler.

• Saklama sürelerinin belirlenmesi.

• Süresi dolan verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi.

• İmha işlemlerinin kayıt altına alınması gereken durumlar.

• Veri saklama ve imha süreçlerinin düzenli olarak gözden geçirilmesi.

Saklama süresinin belirlenmesinde ilgili mevzuattan doğan yükümlülükler de dikkate alınmalıdır.

5. Teknik ve idari güvenlik tedbirlerinin alınması

KVKK’nın 12. maddesi kapsamında veri sorumluları, kişisel verilerin hukuka aykırı işlenmesini ve kişisel verilere hukuka aykırı erişilmesini önlemek ve verilerin muhafazasını sağlamak amacıyla gerekli teknik ve idari tedbirleri almakla yükümlüdür.

Şirketin faaliyetlerine ve risklerine uygun olarak şu önlemler değerlendirilebilir:

• Bilgi sistemlerine erişim yetkilerinin sınırlandırılması.

• Kullanıcı hesaplarının ve erişim kayıtlarının yönetilmesi.

• Kişisel verilerin yetkisiz kişilerle paylaşılmasının önlenmesi.

• Bilgi sistemlerinin ve güvenlik uygulamalarının düzenli olarak kontrol edilmesi.

• Çalışanların veri güvenliği kurallarına uygun hareket etmesinin sağlanması.

• Olası veri ihlallerinde uygulanacak müdahale prosedürlerinin belirlenmesi.

Alınacak tedbirler, işlenen verilerin niteliği, olası riskler ve şirketin faaliyetleri dikkate alınarak belirlenmelidir.

6. Çalışan eğitimlerinin ve farkındalık çalışmalarının yürütülmesi

KVKK uyumunun kalıcı hâle gelmesi için çalışanların kişisel verilerin korunması konusunda bilinçlendirilmesi gerekir.

Eğitimlerde özellikle şu konular ele alınabilir:

• Kişisel veri ve özel nitelikli kişisel veri kavramları.

• Verilerin hukuka uygun işlenmesi.

• Aydınlatma ve açık rıza süreçleri arasındaki fark.

• Yetkisiz erişim ve veri paylaşımı riskleri.

• Şüpheli olayların ve olası veri ihlallerinin bildirilmesi.

• Şirket içi veri koruma politika ve prosedürleri.

Eğitimlerin yalnızca işe giriş aşamasında yapılmasıyla yetinilmemeli; ihtiyaçlara ve mevzuattaki gelişmelere göre güncellenmesi değerlendirilmelidir.

VERBİS Kaydı Yapmak KVKK Uyumu İçin Yeterli midir?

Hayır. VERBİS kaydı, kayıt yükümlülüğü bulunan veri sorumluları bakımından yerine getirilmesi gereken yükümlülüklerden biridir. Ancak bu kayıt, şirketin bütün kişisel veri işleme faaliyetlerinin hukuka uygun olduğu anlamına gelmez.

KVKK uyumu kapsamında şirketlerin, durumlarına göre aşağıdaki alanları da değerlendirmesi gerekir:

• Kişisel veri envanteri ve veri işleme süreçleri.

• İşleme faaliyetlerinin hukuki sebepleri.

• Aydınlatma metinleri ve gerekli durumlarda açık rıza süreçleri.

• Veri saklama ve imha uygulamaları.

• Teknik ve idari güvenlik tedbirleri.

• İlgili kişilerin başvurularının yönetilmesi.

• Veri ihlallerine müdahale prosedürleri.

• Çalışan eğitimleri ve kurum içi denetimler.

Dolayısıyla KVKK uyumu, tek seferlik bir belge hazırlama veya kayıt işlemi olarak değil, düzenli şekilde takip edilmesi gereken bir süreç olarak ele alınmalıdır.

KVKK Yükümlülüklerine Aykırılığın Hukuki Sonuçları Nelerdir?

KVKK kapsamındaki yükümlülüklerin ihlali, ihlalin niteliğine ve somut olayın özelliklerine göre hukuki sonuçlar doğurabilir.

Bunlar arasında:

• KVKK kapsamında idari yaptırımlarla karşılaşılması.

• İlgili kişilerin kanuni haklarını kullanarak başvuruda bulunması.

• Kişisel veri ihlali nedeniyle hukuki uyuşmazlıkların ortaya çıkması.

• Şirketin veri güvenliği süreçlerini yeniden düzenlemek zorunda kalması.

• Somut olayın şartlarına göre diğer hukuki sorumlulukların gündeme gelmesi.

Uygulanabilecek yaptırımın türü ve kapsamı, ihlal edilen yükümlülüğe ve yürürlükteki mevzuata göre belirlenir. Bu nedenle her veri ihlalinin aynı sonucu doğuracağı söylenemez.

Şirketler İçin KVKK Uyum Kontrol Listesi

Şirketler, KVKK uyum durumlarını değerlendirirken aşağıdaki kontrol listesinden yararlanabilir:

• VERBİS kayıt yükümlülüğünün bulunup bulunmadığı incelendi.

• Kişisel veri envanteri hazırlandı ve güncellendi.

• Veri işleme faaliyetlerinin amaçları ve hukuki sebepleri belirlendi.

• Aydınlatma metinleri gözden geçirildi.

• Gereken durumlarda açık rıza süreçleri oluşturuldu.

• Veri aktarımı ve saklama süreçleri incelendi.

• Saklama ve imha kuralları belirlendi.

• Teknik ve idari güvenlik tedbirleri değerlendirildi.

• İlgili kişi başvuruları için süreç oluşturuldu.

• Veri ihlali müdahale prosedürleri belirlendi.

• Çalışanlara yönelik eğitim ve farkındalık çalışmaları planlandı.

• Mevzuat ve Kurul kararlarındaki değişikliklerin takibi için düzen kuruldu.

Bu liste genel bir başlangıç rehberidir. Her şirketin faaliyet alanı, işlediği veri türleri ve hukuki yükümlülükleri farklı olabileceğinden, uyum çalışmaları somut duruma göre yürütülmelidir.

Sonuç

Şirketlerde VERBİS kaydı ve KVKK uyumu, kişisel verilerin hukuka uygun işlenmesi ve korunması bakımından birbirini tamamlayan ancak aynı anlama gelmeyen iki konudur.

VERBİS kayıt yükümlülüğü bulunan şirketlerin ilgili sicil işlemlerini yerine getirmesi gerekir. Bunun yanında, kişisel veri işleme faaliyetlerinin hukuki dayanaklarının belirlenmesi, aydınlatma yükümlülüğünün yerine getirilmesi, veri güvenliği tedbirlerinin alınması ve saklama-imha süreçlerinin düzenlenmesi de önem taşır.

Şirketlerin KVKK uyumunu yalnızca belge ve kayıt işlemleriyle sınırlı tutmaması; veri işleme faaliyetlerini düzenli olarak gözden geçirmesi ve mevzuat değişikliklerini takip etmesi gerekir.

Fulya Hukuk, şirketlerin VERBİS kayıt yükümlülüklerinin ve KVKK uyum süreçlerinin hukuki açıdan değerlendirilmesine yönelik destek sunulması konusunda yardımcı olabilir. Somut olayın özelliklerine göre hukuki değerlendirme yapılması, şirketin yükümlülüklerinin doğru belirlenmesine katkı sağlayabilir.

Bilgilendirme notu: Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Şirketinizin VERBİS kayıt yükümlülüğü ve KVKK kapsamındaki sorumlulukları, güncel mevzuat, Kurul kararları ve somut veri işleme faaliyetleri dikkate alınarak değerlendirilmelidir.