Yurtdışı Şirketlerin Türkiye Şubeleri ve İrtibat Büroları İçin VERBİS Kayıt Kılavuzu (Karar: 2019/225)

Kişisel Verileri Koruma Kurulu (Kurul), 23/07/2019 tarihli ve 2019/225 sayılı kararı ile yurtdışında yerleşik şirketlerin Türkiye’deki yapılanmalarının (Şube ve İrtibat Bürosu) KVKK karşısındaki statüsünü ve Veri Sorumluları Sicili’ne (VERBİS) kayıt yükümlülüklerini netleştirmiştir. Bu karar, özellikle çok uluslu şirketlerin Türkiye operasyonları için bir yol haritası niteliğindedir.

---

1. Veri Sorumlusu Sıfatının Tespiti

Kurul, bir yapının “Veri Sorumlusu” sayılabilmesi için sadece tüzel kişilik olup olmadığına değil, aşağıdaki karar verici mekanizmalara bakılması gerektiğini belirtmiştir:

• Veri işleme amaçlarını ve vasıtalarını kim belirliyor?
• Veri kayıt sistemini kim kuruyor ve yönetiyor?
• Kişisel verilerin paylaşılmasına, saklanma süresine ve imhasına kim karar veriyor?
• Merkez şirketten bağımsız hukuki yükümlülükleri ve kendi hüküm/şartları var mı?

---

2. Şubeler ve İrtibat Büroları Arasındaki Temel Farklar

Kurul, tescil ve faaliyet kapsamı açısından iki yapıyı birbirinden ayırmıştır:

Özellik	Şubeler (Branch)	İrtibat Büroları (Liaison Office)
Hukuki Dayanak	Türk Ticaret Kanunu (TTK) Md. 40	Doğrudan Yabancı Yatırımlar Kanunu
Ticari Faaliyet	Kendi başına ticari/sınai faaliyet yürütebilir.	Ticari faaliyette bulunamaz.
Bağımsızlık	Dış ilişkilerde ve yönetimde yarı bağımsızdır.	Sadece tanıtım, haberleşme ve fizibilite yapar.
Tescil	Ticaret siciline yerli işletmeler gibi tescil edilir.	Bakanlık izni ile kurulur, ticaret sicili zorunlu değildir.

---

3. VERBİS Kayıt Yükümlülüğü Analizi

Kurulun incelemesi sonucunda vardığı kesin kararlar şunlardır:

A. Yurtdışında Yerleşik Tüzel Kişiler

Türkiye’de doğrudan (internet üzerinden vb.) veya şubeleri aracılığıyla veri işleyen yurtdışı yerleşik veri sorumlularının Sicile (VERBİS) kayıt olmaları zorunludur. Bu şirketler bir “Veri Sorumlusu Temsilcisi” atayarak yükümlülüklerini yerine getirirler.

B. Türkiye’deki Şubelerin Durumu

Şubeler, her ne kadar merkezden ayrı bir tüzel kişilikleri olmasa da;

• Eğer Türkiye’deki veri işleme amaçlarını ve vasıtalarını merkezden bağımsız olarak belirliyorlarsa, “Türkiye’de yerleşik veri sorumlusu” sayılırlar.
• Bu durumda şubeler, Kurulun belirlediği yıllık çalışan sayısı (50) ve mali bilanço (100 milyon TL) eşiklerine göre (Karar: 2018/88 ve 2019/265) kayıt yükümlülüğüne tabi olurlar.
• Eğer şube bu kriterlerin altında kalıyorsa veya veri işleme kararlarını tamamen merkez veriyorsa, şube adına ayrı bir kayıt gerekmez; kayıt yükümlülüğü merkez şirkettedir.

C. İrtibat Bürolarının Durumu

İrtibat büroları doğası gereği ticari faaliyet yürütemeyen, sadece temsil ve araştırma odaklı birimlerdir.

• Karar: İrtibat büroları şube özelliği taşımadıkları ve bağımsız bir veri işleme iradeleri olmadığı için Sicile (VERBİS) kayıt olma yükümlülükleri bulunmamaktadır.

---

4. Özgür Eralp Perspektifi: “Operasyonel Bağımsızlık, Hukuki Sorumluluk Getirir”

Bilişim hukuku ve yabancı yatırımlar alanındaki tecrübemizde, yabancı şirketlerin Türkiye’deki şubelerini sadece birer “satış ofisi” olarak gördüklerini ancak bu ofislerin devasa İK ve müşteri veritabanlarını yönettiklerini görüyoruz. Kurulun bu kararı, “tüzel kişiliği yok” diyerek şubeleri sorumluluktan kurtarmıyor. Eğer Türkiye’deki şube müdürü, “veriyi şöyle toplayalım, şu kadar saklayalım” diyebiliyorsa, o şube artık VERBİS’in muhatabıdır.

Bir yatırımcı avukat vizyonuyla uyarım şudur: Yurtdışı merkezli şirketler, Türkiye operasyonlarının KVKK uyumunu planlarken önce “karar verici kim?” sorusunu yanıtlamalıdır. Eğer kararlar yurtdışındaki merkezden (Global HQ) çıkıyorsa, yurtdışı veri sorumlusu olarak kayıt yapılmalı ve verilerin yurtdışına aktarımı (Md. 9) için mekanizmalar kurulmalıdır. Eğer şube bağımsız hareket ediyorsa, Türkiye’deki eşikleri (50 çalışan/100 Milyon TL) takip etmelidir. İrtibat büroları ise ticari yasakları ihlal etmedikleri sürece sicil yükümlülüğünden muaf olmanın konforunu yaşayabilirler.

---

Sıkça Sorulan Sorular

1. Yurtdışındaki ana şirketimiz VERBİS’e kayıtlı, Türkiye şubesi de kayıt olmalı mı?

Eğer şube, veri işleme kararlarını kendi başına veriyorsa ve 50 çalışan/100 milyon TL limitlerini aşıyorsa evet, ayrıca kayıt olmalıdır. Aksi takdirde ana şirketin kaydı yeterlidir.

2. İrtibat bürosunda 60 kişi çalışıyor, VERBİS’e kayıt olmalı mıyız?

Kurul kararına göre irtibat bürolarının kayıt yükümlülüğü yoktur. Çünkü ticari faaliyet yürütemezler ve şube statüsünde değildirler.

3. Şubemizin ayrı bir tüzel kişiliği yok, nasıl veri sorumlusu olabiliriz?

KVKK’da veri sorumlusu kavramı, “amaç ve vasıtaları belirleme” gücüne dayanır. Kurul, TTK’daki tescil zorunluluğunu ve GDPR’daki “işletme” (establishment) kavramını esas alarak tüzel kişilik olmasa da şubelerin veri sorumlusu sayılabileceğini kabul etmiştir.

4. Yurtdışındaki merkez şirket Türkiye’ye satış yapıyor ama ofisi yok. Kayıt olmalı mı?

Evet. Türkiye’de yerleşik ilgili kişilerin verilerini işleyen yurtdışı yerleşik veri sorumluları, limitlere bakılmaksızın bir temsilci atayarak VERBİS’e kayıt olmak zorundadır.

5. İrtibat bürosu yanlışlıkla ticari faaliyette bulunursa ne olur?

Bu durum hem vergi hukuku açısından sorun yaratır hem de Kurulun bu istisna kararının dışına çıkılmasına neden olarak VERBİS kayıt zorunluluğunu ve idari yaptırımları tetikleyebilir.

---

Kaynaklar

• KVKK Kurumu – 2019/225 Sayılı Karar Özeti
• 6698 Sayılı KVKK (Madde 3, 16)
• 6102 Sayılı Türk Ticaret Kanunu (Madde 40)
• Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) Madde 3 ve 4

---

Etiketler

KVKK, VERBİS Kayıt Yükümlülüğü, Yurtdışı Veri Sorumlusu, Türkiye Şubesi, İrtibat Bürosu, Karar Analizi, 2019/225 Sayılı Karar, Bilişim Hukuku, Özgür Eralp, Veri Sorumlusu Temsilcisi, GDPR Uyumu, Ticaret Sicili, Yabancı Yatırımcılar