OSB Müdürlüğü Veri Sorumlusu mu? Bölge ile Katılımcı Firma Arasında Sorumluluk Ayrımı

Ortak Bölge, Ayrı Sorumluluklar

Organize sanayi bölgelerinde yüzlerce firma aynı giriş kapısını, aynı yolları, aynı elektrik ve su şebekesini, çoğu zaman aynı güvenlik ve kamera sistemini paylaşır. Bu ortaklık veri koruma açısından sık sorulan bir soruyu doğurur: bölgedeki kamera kayıtlarından, giriş kartlarından veya katılımcı firma çalışanlarının listelerinden kim sorumludur? OSB KVKK uyumunun başlangıç noktası bu sorunun doğru yanıtıdır.

Bu yazıda OSB yönetiminin işlediği kişisel verileri, katılımcı firmaların kendi sorumluluğunu, ortak altyapılarda rol dağılımını, OSB'nin VERBİS durumunu ve protokol ihtiyacını ele alıyor, sonda bir rol tablosu sunuyoruz.

OSB Yönetiminin İşlediği Kişisel Veriler

4562 sayılı Organize Sanayi Bölgeleri Kanunu'na göre OSB, kuruluş protokolünün Bakanlıkça onaylanması ve sicile kaydıyla tüzel kişilik kazanır. Kanun'un 6. maddesi OSB'nin organlarını müteşebbis heyet (işletme aşamasında genel kurul), yönetim kurulu, denetim kurulu ve bölge müdürlüğü olarak sayar; bölge müdürü, yönetim kurulunun kararları doğrultusunda OSB'nin sevk ve idaresini yürütür. Kişisel veri işleme faaliyetlerinde veri sorumlusu, bu organlardan biri değil OSB tüzel kişiliğidir; uygulamada süreçleri bölge müdürlüğü yürütür.

Kanun'un 20. maddesi elektrik, su, kanalizasyon, doğalgaz, arıtma, yol ve haberleşme gibi altyapı ve genel hizmet tesislerini kurma, işletme ve dağıtım hakkını OSB'nin yetki ve sorumluluğuna bırakır. Bu görevler, OSB'yi sıradan bir site yönetiminden çok daha geniş bir veri işleyiciye dönüştürür. Tipik veri grupları şunlardır:

KVKK'nın 2. maddesi Kanun'u kişisel verileri işlenen gerçek kişiler bakımından uygular. Katılımcı firmanın unvanı, vergi numarası veya sicil bilgisi tüzel kişiye ait olduğu için tek başına kişisel veri değildir; ancak firma adına işlem yapan yetkilinin adı, telefonu ve imzası kişisel veridir.

OSB Müdürlüğünde Tipik Veri Grupları

Katılımcı Firmaların Kendi Sorumluluğu

OSB'de yer almak, bir firmanın KVKK yükümlülüklerini bölge yönetimine devretmesi anlamına gelmez. Her katılımcı firma; kendi çalışanları, adayları, müşterileri, tedarikçileri ve tesisine gelen ziyaretçileri bakımından ayrı bir veri sorumlusudur. Kendi parselindeki kameralar, kendi turnikeleri ve kendi insan kaynakları sistemleri firmanın sorumluluğundadır.

Uygulamada sık görülen bir yanılgı, bölge girişinde bir aydınlatma levhası bulunduğu için firmanın kendi girişinde ayrıca bilgilendirme yapmasına gerek olmadığının düşünülmesidir. Levha, yalnızca levhayı asan veri sorumlusunun işlemlerini anlatır. OSB'nin kamerası için OSB'nin, firmanın kamerası için firmanın aydınlatma yapması gerekir. Kamera sistemlerindeki genel kuralları güvenlik kamerası KVKK riski yazımızda ele aldık.

Ortak Altyapılarda Rol Dağılımı

KVKK, veri sorumlusunu kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen kişi olarak, veri işleyeni ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel veri işleyen kişi olarak tanımlar. Ortak altyapılarda rol, sistemin kime ait olduğuna değil, amacı ve yöntemi kimin belirlediğine göre tespit edilir.

Bölge girişindeki kamera ve plaka tanıma sistemi, bölgenin genel güvenliği için OSB tarafından kurulup yönetiliyorsa OSB bu kayıtların veri sorumlusudur. Bir katılımcı firmanın, kendi tesisinde yaşanan bir olay nedeniyle bu kayıtlardan görüntü istemesi, OSB'den firmaya bir aktarımdır ve ayrıca değerlendirilmelidir.

Giriş kartı süreci daha karmaşıktır. Katılımcı firmalar, çalışanlarına bölge giriş kartı çıkarılması için çalışan listelerini OSB'ye gönderir. Burada firma, çalışan verisini kendi amacı için OSB'ye aktarır; OSB ise bölge güvenliği amacıyla bu listeyi kendi sistemine kaydeder. Bu tür durumlarda hangi tarafın hangi işlemden sorumlu olduğu, verinin ne kadar süre tutulacağı ve işten ayrılan çalışanın kartının nasıl kapatılacağı yazılı olarak belirlenmezse boşluklar oluşur. Benzer ortak alan sorunlarının daha küçük ölçekli bir örneğini site yönetimi süreçlerinde KVKK yazımızda bulabilirsiniz.

OSB'nin VERBİS Durumu

KVKK'nın 16. maddesi, kişisel veri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını zorunlu tutar ve Kurul'a işlenen verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması gibi objektif kriterlerle kayıt istisnası getirme yetkisi verir. Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) kaydı bu yükümlülüğün uygulamasıdır.

OSB tüzel kişiliği de bu değerlendirmeyi diğer veri sorumluları gibi, Kurul'un güncel istisna kriterlerine göre yapmalıdır. Çalışan sayısı ve mali bilanço gibi ölçütlerin nasıl hesaplandığını VERBİS zorunluluğu yazımızda, küçük işletmelere getirilen istisnayı ise VERBİS istisnası yazımızda anlattık. OSB'nin kayıt yükümlülüğü, katılımcı firmaların yükümlülüğünü etkilemez; her katılımcı kendi durumunu ayrıca değerlendirir.

VERBİS'ten muaf olmak da KVKK'dan muaf olmak anlamına gelmez. Aydınlatma, veri güvenliği, ilgili kişi başvurularının yanıtlanması ve ihlal bildirimi gibi yükümlülükler kayıt durumundan bağımsız olarak devam eder.

Protokol ve Sözleşme İhtiyacı

Ortak altyapılardaki belirsizliği gidermenin en etkili yolu yazılı düzenlemedir. OSB'lerde üç tür metin öne çıkar:

OSB ile katılımcılar arasında veri paylaşım protokolü: Giriş kartı listeleri, kamera görüntüsü talepleri, ortak etkinlik ve eğitim katılımları gibi karşılıklı veri akışlarını, amaçlarını, kanallarını ve saklama sürelerini tanımlar.

OSB ile hizmet sağlayıcıları arasında veri işleme sözleşmeleri: Özel güvenlik şirketi, kamera ve plaka tanıma sistemi sağlayıcısı, fatura ve sayaç yazılımı gibi OSB adına veri işleyen tedarikçilerle yapılır. KVKK'nın 12. maddesi uyarınca OSB, veri güvenliği tedbirlerinden bu tedarikçilerle birlikte sorumludur.

Bölge içi uygulama kuralları: Kamera kayıtlarına kimin, hangi talep üzerine erişebileceğini, taleplerin nasıl kayda alınacağını ve ilgili kişi başvurularının nasıl yönlendirileceğini belirleyen iç düzenlemedir.

Bu metinler, bir olay veya şikâyet anında “bu kayıttan kim sorumlu?” sorusunun tartışmasız yanıtlanmasını sağlar. Somut olay özelinde hukuki değerlendirme alınmalıdır.

OSB ve Katılımcı Firma Rol Tablosu

Aşağıdaki tablo tipik durumlar için bir başlangıç önerisidir. Gerçek rol, her bölgenin yapısına ve sözleşmelerine göre değişebilir.

Faaliyet Bazında Rol Dağılımı

Tablo kvkkrehberi.com tarafından hazırlanmış bir çalışma aracıdır; resmî bir sınıflandırma değildir.

Sonuç ve Sonraki Adım

OSB KVKK açısından tek bir veri sorumlusunun değil, aynı coğrafyada birbirine bağlı çok sayıda veri sorumlusunun bulunduğu bir yapıdır. OSB tüzel kişiliği kendi personeli, altyapı hizmetleri ve bölge güvenliği için; katılımcı firmalar ise kendi çalışanları ve müşterileri için sorumludur. Riskin en yüksek olduğu yer, bu iki alanın kesiştiği ortak altyapılardır.

İlk adım olarak bölgenizdeki ortak sistemleri listeleyin ve her biri için yukarıdaki rol tablosunu doldurun. Organize sanayi bölgelerine özgü diğer başlıklar için organize sanayi bölgeleri KVKK çözüm sayfamıza göz atabilirsiniz.

Sık Sorulan Sorular