Veri Sorumluları Sicili Yönetmeliği: Kayıt ve VERBİS yükümlülükleri

KVKK’nın yönetmelikler sayfasında 28 Nisan 2019 tarihinde yayımlanan Veri Sorumluları Sicili Hakkında Yönetmelik, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında Veri Sorumluları Sicilinin oluşturulması, yönetilmesi ve kamuya açık tutulmasına ilişkin çerçeveyi belirliyor.

Yönetmelik; kişisel verilerin işleme amaçlarını ve araçlarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu gerçek ve tüzel kişileri kapsıyor. Düzenlemenin dayanağını 6698 sayılı Kanunun 16 ncı maddesinin beşinci fıkrası ile 22 nci maddesinin birinci fıkrasının (d) ve (e) bentleri oluşturuyor.

Sicilin amacı ve kapsamı

Veri Sorumluları Sicili, Başkanlık tarafından oluşturuluyor ve kamuya açık biçimde tutuluyor. Sicilin gözetimi Kişisel Verileri Koruma Kurulu tarafından yürütülürken, oluşturma ve idare sorumluluğu Veri Yönetimi Dairesi Başkanlığına veriliyor.

Yönetmelik kapsamında veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kaydolmakla yükümlü. Türkiye’de yerleşik olmayan veri sorumluları ise kayıt işlemini veri sorumlusu temsilcisi aracılığıyla gerçekleştiriyor.

Kayıt ve VERBİS üzerinden bildirilecek bilgiler

Sicile ilişkin işlemler VERBİS üzerinden yapılıyor. Kayıt başvurusunda veri sorumlusu, varsa veri sorumlusu temsilcisi ve irtibat kişisine ilişkin bilgiler ile kişisel verilerin işlenme amaçları, veri konusu kişi grupları, veri kategorileri, aktarılabilecek alıcı veya alıcı grupları, alınan tedbirler ve azami muhafaza süreleri yer alıyor.

Sicile kayıtla yükümlü veri sorumlularının Kişisel Veri İşleme Envanteri hazırlaması gerekiyor. Sicile sunulacak bilgilerin bu envantere dayalı olarak hazırlanması ve bildirilen bilgilerin eksiksiz, doğru, güncel ve hukuka uygun tutulması veri sorumlusunun sorumluluğunda bulunuyor.

Kamuya açıklanan bilgiler ve süreler

Sicilde kamuya açıklanan bilgiler arasında veri sorumlusu ve varsa veri sorumlusu temsilcisi, adres ve alınmışsa KEP adresi; veri işleme amaçları; veri konusu kişi grupları ve veri kategorileri; aktarılabilecek alıcılar; yabancı ülkelere aktarılması öngörülen veriler; kayıt tarihleri, güvenlik tedbirleri ve azami muhafaza süreleri bulunuyor.

Kayıt yükümlülüğü altında bulunmayan ancak sonradan yükümlü hâle gelen veri sorumlularının, yükümlülüğün başlamasını izleyen otuz gün içinde Sicile kaydolması gerekiyor. Fiilî, teknik veya hukuki imkânsızlık hâlinde ise Kuruma, imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içinde yazılı başvuru yapılarak ek süre talep edilebiliyor; bu ek süre bir defaya mahsus ve en fazla otuz gün olabiliyor.

Kurum ve şirketler açısından öne çıkan sonuçlar

Yönetmelik, Sicile kayıt işleminin 6698 sayılı Kanun kapsamındaki diğer yükümlülükleri ortadan kaldırmadığını açıkça belirtiyor. Veri sorumlularının aydınlatma yükümlülüğü, ilgili kişi başvurularının yanıtlanması ve açık rızanın kapsamının belirlenmesinde, Sicile sunulan ve yayımlanan bilgiler esas alınıyor.

Ayrıca Sicile bildirilen azami muhafaza süreleri, kişisel verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesine ilişkin yükümlülüklerin yerine getirilmesinde dikkate alınıyor. Bu nedenle kurum ve şirketlerin envanter, Sicil bildirimleri ve veri saklama süreleri arasındaki uyumu gözetmesi gerekiyor.