6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) 16. maddesinde, Veri Sorumluları Sicili (VERBİS) düzenlenmiş, Kişisel Verileri Koruma Kurulu’nun (“KVK Kurulu”) 2018/ 88 sayılı kararında yazılı şartları taşıyan veri sorumlularının 16. madde gereğince Verbis’e kayıtla yükümlü oldukları kararı alınarak bu yükümlülüğün başlangıç ve bitiş tarihleri belirlenmiştir. Ancak bitiş tarihleri birkaç kez farklı tarihlerde ve en nihayetinde 23 Haziran 2020 tarihinde uzatılmış olup şu an için geçerli son tarihler aşağıdaki gibidir:
- Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan gerçek ve tüzel kişi veri sorumluları için, 30 Eylül 2020;
- Yurtdışında yerleşik gerçek ve tüzel kişi veri sorumluları için 30 Eylül 2020;
- Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon TL’den az olmakla birlikte ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları için 31 Mart 2021;
- Kamu kurum ve kuruluşu veri sorumluları 31 Mart 2021.
Verbis’e kayıt, her şeyden önce, kaydolmamanın karşılığında başlı başına bir yaptırım öngörüldüğü için dahi önemli olduğundan, herkesin -çoklukla- bitiş tarihlerine kadar Verbis’e kaydolmaya odaklandıklarını görmekteyiz. Daha önce belirlenen son tarihlerde de bu yaşanmış idi.
Bununla birlikte KVKK’nin Geçici Madde 1’in 3. fıkrası uyarınca zaten, KVKK’nin yayım tarihi olan 07 Nisan 2016 tarihinden önce işlenmiş olan kişisel verilerin, aynı tarihten itibaren iki yıl içinde bu Kanun hükümlerine uygun hâle getirilmesi (Nisan 2018'e kadar), bu Kanun hükümlerine aykırı olduğu tespit edilen kişisel verilerin ise derhâl silinmesi, yok edilmesi veya anonim hâle getirilmesi gerekmekte idi. Daha açık bir deyişle, halihazırda geç kalınmış bir uyum sürecinin yalnızca bitiş tarihinden önce bir şekilde Verbis’e kaydolmak üzerine odaklandığı bir dönem içerisindeyiz.
Diğer yandan, Kanun hükümleri ve KVK Kurulu kararları ile Verbis’e kayıt yükümlülüğüne getirilen istisnalar nedeniyle sicile kayıt olmak zorunda olmamak ile 6698 sayılı KVKK hükümlerine tabi olmak arasındaki farkın yanlış anlaşıldığı görülmektedir. Nitekim VERBİS kaydının asıl amacı, sadece süresinde bir sisteme kayıt girmek değil, VERBİS’e beyan edilen bilgilerin tüm kişisel veri işleme faaliyetlerini kapsayacak şekilde doğru, güncel ve güvenilir bilgilerin derlenmesi ve beyan edilmesini kapsamaktadır. Bu sayede sicil, şeffaflık, disiplin altına alma ve hesap verilebilirlik ilkelerine uygun hale gelecektir.
Verbis’e kayıt yükümlülüğü, veri sorumlularının yüklü oldukları yükümlülüklerden sadece biridir. Verbis açısından istisnalar kapsamında olan bir veri sorumlusu, yine Kanun uyarınca üzerine düşen diğer yükümlülüklere tabidir. Örneğin, 10. maddede yazılı aydınlatma yükümlülüğünü yerine getirmek, 11. maddede sayılan ilgili kişinin haklarına riayet etmek (ve gereklerini süresi içinde yerine getirmek), 12. maddede öngörülen uygun düzeyde veri güvenliğine ilişkin her türlü idari ve teknik tedbiri almak durumundadır. Bu çerçevede, Verbis'e kayıttan istisna tutulan bir veri sorumlusu, şüphesiz diğer yaptırımların muhatabı olabilecektir.
Kısacası, Verbis’e kayıt yükümlülüğünden istisna olma halinin, 6698 sayılı Kanun hükümlerinden de istisna olmak anlamına gelmediği, ikisinin farklı şeyler oldukları akıllardan çıkarılmamalıdır.
Son olarak, kanımızca, salt 30 Eylül 2020 tarihinden (veyahut diğer sürelere tabi iseniz o tarihlerden) önce sisteme giriş yapmış olmak için yapılmış olan kayıtların tüm uyum süreci gözden geçirilerek yeniden ele alınmasının zorunlu olduğunu ifade edelim. Zira KVK Kurulu da 31 Aralık 2019 döneminde yayınladığı bir bilgilendirmesinde, bizim de uygulamada sıkça karşılaştığımız bazı sorunlar ile ilgili hatırlatmalarda bulunmuş idi. Aşağıdaki uygulama hatalarının ve hatırlatmaların bugün de devam etmekte olduğunu söyleyerek yazımıza son verelim.
- İstisna kapsamında olmayan tüm veri sorumlularının Sicile kaydolmasının sağlanması gerekmektedir.
- Son günlerde VERBİS’e iletilen bildirimler incelendiğinde, birçok bildirimde kişisel veriler ile işleme amaçları, alıcı/alıcı grupları, veri konusu kişi grupları, alınan teknik ve idari tedbirler, yeterli önlemler, yurtdışına veri aktarımı ve saklama sürelerinin örtüşmediği, bu konuda ciddi yanlışlıklar ve mevzuata aykırılıklar olduğu görülmektedir. Girilen veriler, hem uyum sonucunda ortaya çıkan envanteriniz ile uygun ve tutarlı, hem de Verbis bünyesinde çelişkisiz ve birbirine uygun olmalıdır.
- VERBİS’e beyan edilen bilgilerin doğru ve güncel olması gerekmekte olup bunların doğruluğu ve güncelliğinden ilgili veri sorumlusunun sorumlu olduğuunutulmamalıdır.
- Yapılması gereken, sadece sicile kaydolmak değildir. Kişisel veri işleme envanteri hazırlanmak zorunda olup VERBİS’e girilen bilgiler bu envanter baz alınarak hazırlanmalıdır. Kaldı ki, ilerleyen süreçte ortaya çıkacak yeni durumların da hem envanter ve sair belgeler, hem de Verbis üzerinde eş zamanlı ve tutarlı biçimde yapılması gerekmektedir.
- Sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen değişiklikleri, değişikliğin meydana geldiği tarihten itibaren yedi gün içerisinde VERBİS üzerinden bildirilmesi gerekmektedir.
