VERBİS Kayıt Yükümlülüğü ve Sicilin Niteliği
Kişisel verileri işleyen gerçek ve tüzel kişilerin, veri işleme faaliyetine başlamadan önce Kişisel Verileri Koruma Kurulu gözetiminde Başkanlıkça tutulan Veri Sorumluları Siciline (VERBİS) kaydolmaları 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 16. maddesi ve Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca zorunludur. VERBİS kamuya açık bir sicil niteliğindedir. Bununla birlikte sicile işlenen kişisel veriler açık metin olarak kaydedilmez; hangi tür verilerin işlendiği, işleme amaçları ve verilerin korunmasına yönelik alınan güvenlik tedbirleri gibi üst başlıklar altında kategorik olarak sisteme girilir.
Veri Sorumlusunun Tespiti ve Başvuru Usulü
VERBİS kayıt yükümlülüğü doğrudan veri sorumlusu statüsünü haiz gerçek kişi, şirket, vakıf, dernek veya kamu kurumu üzerindedir. Dolayısıyla kayıt işlemleri üst yönetici, şirket ortağı veya idarecilerin kişisel bilgileri üzerinden değil, doğrudan tüzel kişiliğin unvanı, vergi numarası ve vergi dairesi bilgileri girilerek kurum adına gerçekleştirilir. Şirket yöneticisi veya ortaklarının şahsi bilgileriyle yapılan başvurular geçersiz kabul edilmektedir.
Kayıt prosedüründe ilk olarak sistem üzerinden doldurulan ön başvuru formunun çıktısı alınır. Bu formun ıslak imzalı ve tüzel kişiler bakımından ayrıca kaşeli olarak hazırlanması şarttır. Hazırlanan form Kişisel Verileri Koruma Kurumuna posta yoluyla gönderilebilir veya başvuru aşamasında girilmiş olması kaydıyla Kayıtlı Elektronik Posta (KEP) sistemi üzerinden online olarak Kuruma iletilebilir. Başvurunun ardından Kurum tarafından iletilen kullanıcı adı ve parola ile sisteme yönetici girişi yapılır ve irtibat kişisi atanarak kayıt süreci tamamlanır. Gerçek kişi veri sorumluları bizzat kendilerini irtibat kişisi olarak belirleyebilir.
Veri sorumlularının mevzuat çerçevesinde VERBİS yükümlüsü haline geldikleri tarihten itibaren bu kayıt zorunluluğunu yerine getirmeleri için öngörülen kanuni süre 30 gündür.
VERBİS Kayıt Muafiyetleri ve Kriterlerin Hesaplanması
Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla kişisel verileri yalnızca otomatik olmayan yollarla işleyenler VERBİS kayıt yükümlülüğünden muaf tutulmuştur. Bunun yanı sıra Noterlik Kanunu uyarınca faaliyet gösteren noterler, Siyasi Partiler Kanununa uygun faaliyet yürüten siyasi partiler, Avukatlık Kanununa tabi avukatlar, serbest muhasebeci mali müşavirler, yeminli mali müşavirler, gümrük müşavirleri ile yetkilendirilmiş gümrük müşavirleri ve arabulucular da sicile kayıt zorunluluğunun dışındadır.
Ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek veya tüzel kişilerin kayıttan muaf sayılabilmesi için yıllık çalışan sayısının 50'den az ve yıllık mali bilanço toplamının 100 milyon TL'den az olması şartı birlikte aranır. Bu muafiyet hesabında yıllık çalışan sayısı, tamamlanmış bir takvim yılındaki 12 ayın en az 7 ayında yetkili kamu kurumuna sunulmuş olan Muhtasar Prim ve Hizmet Beyannamesindeki çalışan sayısı esas alınarak tespit edilir. Yıllık mali bilanço hesabında ise tamamlanmış bir yıl içinde sunulan yıllık gelir veya kurumlar vergisi beyannamesi ekinde yer alan bilanço verileri dikkate alınır.
Ana faaliyeti özel nitelikli kişisel veri işleme olan eczane, hekim, diş hekimi, poliklinik ve hastane gibi sağlık kuruluşları bakımından çalışan sayısı veya mali bilanço büyüklüğü muafiyet sağlamaz. Bu kuruluşlar yıllık çalışan sayıları 50'den az ve yıllık mali bilanço toplamları 100 milyon TL'nin altında kalsa dahi VERBİS kaydı yaptırmakla yükümlüdür.
VERBİS kayıt yükümlülüğünden istisna tutulan veri sorumluları, veri envanteri hazırlama ile veri saklama ve imha politikası oluşturma yükümlülüklerinden de muaf sayılır. Ancak bu istisna veri sorumlularını 6698 sayılı Kanun kapsamındaki diğer yükümlülüklerden muaf kılmaz.
Veri Güvenliği ve Kanuni İhlal Bildirimi
6698 sayılı Kanun'un 12. maddesinin 1. fıkrası uyarınca veri sorumlusu, kişisel verilerin hukuka aykırı olarak işlenmesini ve bu verilere hukuka aykırı şekilde erişilmesini önlemek ile verilerin muhafazasını sağlamak amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli her türlü teknik ve idari tedbiri almak zorundadır. Kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi halinde, anılan güvenlik tedbirlerinin temini noktasında veri sorumlusu ile veri işleyen müştereken sorumludur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 12Kaynağı aç
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edildiğinin anlaşılması halinde, 6698 sayılı Kanun'un 12. maddesinin 5. fıkrası gereğince veri sorumlusu bu durumu en kısa sürede ilgilisine ve Kişisel Verileri Koruma Kuruluna bildirmekle yükümlüdür. Kurul, gerekli görmesi halinde bu durumu kendi internet sitesinde veya uygun bulacağı başka bir yöntemle ilan edebilir.
VERBİS kaydı için tanınan yasal süre ne kadardır?
Veri sorumlusunun VERBİS yükümlüsü haline geldiği tarihten itibaren kayıt zorunluluğunu tamamlaması için tanınan süre 30 gündür.
VERBİS muafiyeti kapsamındaki veri sorumlularının tüm yükümlülükleri kalkar mı?
Hayır, VERBİS kaydından muaf olan veri sorumluları yalnızca veri envanteri ile veri saklama ve imha politikası hazırlamaktan muaftır; 6698 sayılı Kanun kapsamındaki diğer tüm koruma ve güvenlik yükümlülüklerine uymak zorundadırlar.
Sağlık kuruluşları çalışan sayısı kriterine göre VERBİS kaydından muaf olabilir mi?
Hayır, ana faaliyeti özel nitelikli kişisel veri işleme olan eczane, hekim, poliklinik ve hastane gibi kuruluşlar, çalışan sayısı 50'den az ve yıllık mali bilançosu 100 milyon TL'nin altında olsa dahi VERBİS kaydı yaptırmak zorundadır.
Veri güvenliği tedbirlerinin alınmasında veri işleyenin sorumluluğu var mıdır?
Evet, kişisel verilerin veri sorumlusu adına başka bir kişi tarafından işlenmesi halinde, Kanun'un 12. maddesi uyarınca güvenlik tedbirlerinin alınması hususunda veri sorumlusu ile veri işleyen müştereken sorumludur.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy