VERBİS Kayıtlarında “İrtibat Kişisi” Düzenlemesi: Yurt Dışı Şirketlere Kolaylık (Karar: 2020/542)
Kişisel Verileri Koruma Kurulu (Kurul), 16/07/2020 tarihli bu kararıyla, özellikle çok uluslu şirket gruplarını ve yurt dışında yerleşik veri sorumlularını yakından ilgilendiren bir usul tartışmasına nokta koymuştur. Karar, Türkiye’de yerleşik olan ve olmayan şirketler arasında “İrtibat Kişisi” atanması noktasında önemli bir ayrım getirmektedir.
1. Olayın Özeti ve Tartışma Konusu
Sorun: VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kayıtları sırasında, yurt dışında yerleşik bir şirketin Türkiye’deki yasal muhatabı olan “Veri Sorumlusu Temsilcisi”, birden fazla yabancı şirket adına atanabiliyordu. Ancak teknik olarak sistem, aynı İrtibat Kişisi‘nin birden fazla yabancı şirket için atanmasına izin vermiyordu. Bu durum, özellikle onlarca alt şirketi olan global gruplar için her bir şirket adına farklı bir gerçek kişi bulma zorunluluğu ve operasyonel zorluk yaratmaktaydı.
2. Kurulun Hukuki Analizi: Temsilci vs. İrtibat Kişisi
Kurul, kararını verirken iki farklı senaryoyu (yurt içi ve yurt dışı yerleşiklik) birbirinden ayırmıştır:
A. Türkiye’de Yerleşik Şirketler İçin Durum
Türkiye’de yerleşik veri sorumluları (yerli şirketler) için irtibat kişisinin; envanteri yakından takip etmesi, güncellemeleri 7 gün içinde yapması ve veri işleme faaliyetlerine hakim olması gerekir.
- Karar: Bir gerçek kişinin Türkiye’de yerleşik birden fazla şirket adına (grup şirketleri olsa dahi) irtibat kişisi olması uygun değildir. Her şirket kendi sorumlusuyla iletişimi sağlamalıdır.
B. Yurt Dışında Yerleşik Şirketler İçin Durum
Yurt dışında yerleşik veri sorumluları için sistem farklı işler:
- Veri Sorumlusu Temsilcisi: Yurt dışındaki şirketin Türkiye’deki asıl muhatabıdır (Tüzel veya gerçek kişi olabilir).
- İrtibat Kişisi: Temsilci tarafından atanan ve VERBİS’teki teknik işlemleri yürüten gerçek kişidir.
Kurulun Gerekçesi: Yurt dışı şirketler için asıl hukuki muhatap zaten “Veri Sorumlusu Temsilcisi”dir. İrtibat kişisi bu temsilciye bağlı olarak teknik süreci yönetir. Mevzuat konusunda uzmanlaşmış kişilerin tespit edilmesindeki zorluklar ve temsilcinin merkezi konumu göz önüne alınmıştır.
3. Karar Sonucu: İkili Uygulama
Kurul, değerlendirmesi sonucunda şu kesin ayrımı yapmıştır:
| Veri Sorumlusunun Konumu | Aynı Kişi Birden Fazla Şirkete İrtibat Kişisi Olabilir mi? |
| Türkiye’de Yerleşik (Yerli Şirketler) | HAYIR (Her veri sorumlusu için farklı kişi olmalı) |
| Yurt Dışında Yerleşik (Yabancı Şirketler) | EVET (Aynı gerçek kişi birden fazla yabancı şirket için atanabilir) |
4. Özgür Eralp Perspektifi: “Operasyonel Esneklik ve Teknik Uyum”
Bilişim hukuku ve VERBİS uyum süreçlerindeki tecrübemizde, global şirketlerin Türkiye’deki yasal süreçlerini yönetirken “insan kaynağı” bulma konusunda ciddi sıkıntılar yaşadığını görüyoruz. Kurul’un bu kararı, özellikle holdingler ve global danışmanlık firmaları için büyük bir rahatlama sağlamıştır.
Bir yatırımcı avukat vizyonuyla uyarım şudur: Yurt dışındaki şirketler için aynı kişiyi irtibat kişisi atamak “teknik bir kolaylık” olsa da, o kişinin tüm bu şirketlerin veri işleme envanterine (yurt dışı merkezli sistemler, bulut altyapıları vb.) hakim olması şarttır. İrtibat kişisinin sisteme yanlış veya eksik bilgi girmesi durumunda sorumluluk yine de veri sorumlusu temsilcisi ve dolayısıyla veri sorumlusunun kendisindedir. Bu esneklik, “sorumsuzluk” olarak algılanmamalı; aksine tek bir uzmanın süreci daha profesyonel yönetmesine imkan tanımalıdır.
Sıkça Sorulan Sorular
1. Grup şirketlerimiz var, hepsine aynı irtibat kişisini atayabilir miyiz?
Eğer şirketleriniz Türkiye’de kuruluysa (yerli şirket), hayır. Her şirket için farklı bir gerçek kişi belirlemelisiniz. Ancak şirketler yurt dışı merkezliyse, tek bir kişiyi hepsine atayabilirsiniz.
2. İrtibat kişisi hukuken sorumlu mudur?
İrtibat kişisi bir “yasal temsilci” değildir; sadece Kurum ile iletişimi sağlayan kişidir. Hukuki ve idari sorumluluk (para cezaları vb.) veri sorumlusunun (şirketin) tüzel kişiliğindedir.
3. Bir kişi hem Veri Sorumlusu Temsilcisi hem de İrtibat Kişisi olabilir mi?
Evet, yurt dışında yerleşik şirketler için Türkiye’deki gerçek kişi temsilci, kendisini aynı zamanda irtibat kişisi olarak da sisteme kaydedebilir.
4. Yurt içi şirketlerde neden “tek kişi” kuralı var?
Kurul, irtibat kişisinin şirketin veri işleme faaliyetlerini “yakından ve canlı” takip etmesini ister. Bir kişinin 10 farklı yerli şirketin günlük veri akışını takip etmesi fiziksel olarak zor görüldüğü için bu kısıtlama getirilmiştir.
5. Bu karar VERBİS ekranındaki teknik engelini kaldırdı mı?
Evet, Kurul’un bu kararı sonrasında sistem altyapısı güncellenmiş ve yabancı veri sorumluları için aynı TCKN ile birden fazla giriş yapılabilmesinin önü açılmıştır.
Kaynaklar
- KVKK Kurumu – 2020/542 Sayılı Karar Özeti
- 6698 Sayılı KVKK (Madde 16)
- Veri Sorumluları Sicili Hakkında Yönetmelik (Madde 4, 11)
Etiketler
KVKK, VERBİS, İrtibat Kişisi, Veri Sorumlusu Temsilcisi, Yurt Dışında Yerleşik Veri Sorumlusu, 2020/542 Sayılı Karar, Bilişim Hukuku, Özgür Eralp, Grup Şirketleri KVKK, Veri Sorumluları Sicili, Kişisel Veri Envanteri
Avukat-Hukuk Danışmanı,
Dijital İçerik oluşturucu,
Kitle fonlama girişimci ve yatırımcısı,
ODTÜ Felsefe Öğrencisi:)
AÖF Yönetim Bilişim Sistemleri Öğrencisi:),