Kişisel Verileri Koruma Kurulu, daha önce dernek, vakıf ve sendikaları VERBİS (Veri Sorumluları Sicili) kayıt yükümlülüğünden muaf tutmuştu. Ancak bu kuruluşlara bağlı olarak faaliyet gösteren iktisadi işletmelerin durumu uygulamada ciddi tereddütlere yol açmıştı. 2021/571 sayılı karar, bu belirsizliği ortadan kaldırarak “iktisadi işletmesi olan” ve “olmayan” STK’lar için farklı yükümlülükler getirmiştir.

Kararın Getirdiği Yeni Şart: İktisadi İşletme Varlığı

Kurul, 2018/32 sayılı ana istisna kararını bu yeni kararla revize etmiş ve muafiyetin kapsamını daraltmıştır.

1. İktisadi İşletmesi “Bulunmayan” STK’lar

Eğer bir dernek, vakıf veya sendikanın kendisine bağlı herhangi bir iktisadi işletmesi yoksa; yalnızca mevzuatına ve amacına uygun, faaliyet alanı ile sınırlı veri işliyorsa VERBİS muafiyeti devam etmektedir.

2. İktisadi İşletmesi “Bulunan” STK’lar

Eğer kuruluşun bünyesinde bir iktisadi işletme (lokal, tesis, satış birimi vb.) varsa, durum tamamen değişmektedir:

• Kayıt Zorunluluğu: Bu kuruluşlar, VERBİS’e kayıt olmak zorundadır.
• Kısıtlı Bildirim: Kayıt sırasında tüm dernek/vakıf faaliyetlerini değil, yalnızca iktisadi işletmenin faaliyetlerine ilişkin kişisel veri işleme bilgilerini sisteme girmeleri gerekmektedir.

Neden Böyle Bir Ayrım Yapıldı?

Dernek, vakıf ve sendikalar doğası gereği üyelerine ve amaçlarına yönelik “dar kapsamlı” veri işlerler. Ancak iktisadi işletmeler, piyasa aktörü gibi hareket ederek müşterilerin, tedarikçilerin ve çalışanların verilerini ticari bir düzlemde işlerler. Kurul, ticari faaliyetlerin şeffaflık ve hesap verebilirlik ilkesi gereği sicil denetimine tabi olması gerektiğine hükmetmiştir.

Özgür Eralp Perspektifi: “İktisadi Faaliyet, Şeffaflık Gerektirir”

Bilişim hukuku alanındaki 25 yıllık tecrübemizde, STK’ların ticari işletmelerini ana yapıdan ayrı bir hukuk dünyasında gördüklerini gözlemledik. Ancak KVKK açısından veri sorumlusu, o iktisadi işletmenin bağlı olduğu üst tüzel kişiliktir. Bir yatırımcı avukat vizyonuyla uyarım şudur: Vakfınızın veya derneğinizin bir iktisadi işletmesi varsa, “Biz derneğiz, muafız” diyerek VERBİS kaydından kaçınamazsınız. Bu karar, hibrit yapıdaki kuruluşlar için bir uyarı niteliğindedir. Kayıt olurken sadece ticari verileri girmek bir kolaylık olsa da, arka planda envanterinizi işletme bazlı ayırmanız ve veri güvenliği tedbirlerini (özellikle ticari veriler için) sıkılaştırmanız şarttır.

---

Sıkça Sorulan Sorular

1. Derneğimizin sadece üyelerin girdiği küçük bir lokali var, iktisadi işletme sayılır mı?

Eğer bu lokal, vergi dairesi nezdinde bir “iktisadi işletme” olarak tescil edilmişse ve ticari işlem (satış vb.) yapıyorsa, 2021/571 sayılı karar uyarınca derneğinizin VERBİS kaydı yaptırması gerekir.

2. Kayıt olurken dernek üyelerimizin bilgilerini de girmek zorunda mıyız?

Hayır. Karar net bir kolaylık sağlamıştır: Sadece iktisadi işletmenin faaliyetlerine ilişkin (müşteriler, işletme çalışanları vb.) bilgileri girmeniz yeterlidir.

3. İktisadi işletmemiz var ama çok küçük, ciro sınırının altındayız. Yine de kayıt olmalı mıyız?

Burada bir “karar çelişkisi” yaşanmamalıdır. Dernek ve vakıflar, ana faaliyetleri gereği VERBİS’ten muaf tutulurken “iktisadi işletmesi olanlar” bu muafiyetin dışına çıkarılmıştır. Dolayısıyla genel ciro/çalışan sınırlarına bakılmaksızın (istisna şartını kaybettikleri için) kayıt yükümlülüğü doğabilir.

4. İktisadi işletmeyi kapattık, VERBİS kaydımızı silebilir miyiz?

Evet. İktisadi işletmenin kapanması ve STK’nın “kendisine bağlı iktisadi işletmesi bulunmayanlar” kategorisine geri dönmesi durumunda, istisnadan tekrar yararlanabilir ve sicil kaydının silinmesini talep edebilirsiniz.

5. Bu karara uymamanın cezası nedir?

Sicile kayıt yükümlülüğüne aykırılık, KVKK Madde 18/ç uyarınca yüksek tutarlı idari para cezaları ile yaptırıma bağlanmıştır.

---

Kaynaklar

• KVKK Kurumu – 2021/571 Sayılı Karar Metni
• Resmî Gazete – 24 Haziran 2021 (Sayı: 31521)
• 2018/32 Sayılı Kurul Kararı (Ana İstisna Kararı)
• 6698 Sayılı Kişisel Verilerin Korunması Kanunu (Madde 16)
• Ankara Barosu Bilişim Kurulu Yayınları