Kişisel Verileri Koruma Kurulunun 17/12/2019 Tarihli ve 2019/387 Sayılı Kararı
KURUL KARARLARI | 2019-12-28

28 Aralik 2019 CUMARTESi 
Resmî Gazete 
Sayı : 30992
KURUL KARARI 
Kişisel Verileri Koruma Kurumundan:
KARAR 
Karar Tarihi : 17/12/2019
Karar No : 2019/387
Toplantı Sıra Sayısı: 2019/45
Konu Özeti : VERBİS'e kayıt tarihlerinin uzatılması

Toplantıya Katılan Üyeler 
Başkan : Prof. Dr. Faruk BİLİR Üyeler : Cabir BİLİRGEN, Bayram ARSLAN, Hasan AYDIN, Şaban BABA, Dr. Îhsan Ezel BÜYÜKSEKBAN, Murat KARAKAYA, Dr.
Cengiz PAŞAOĞLU 
I.Kararın Konusu 
Bilindiği üzere 6698 sayılı Kişisel Verilerin Korunması Kanununun (Kanun) 16 ncı maddesi gereği kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.

Veri Sorumluları Sicili, Kişisel Verileri Koruma Kurulu (Kurul) gözetiminde Başkanlık tarafindan kamuya açık olarak tutulmaktadır. Bu amaçla oluşturulan ve kısa adı VERBiS olan Veri Sorumluları Sicil Bilgi Sistemine, kayıt yükümlülüğü kapsamındaki veri sorumlularınca işlemekte oldukları kişisel verilerle ilgili bilgi girişi yapılması gerekmektedir,
Veri Sorumluları Sicilinin kamuya açık olarak tutulması; kişisel verisi işlenen gerçek kişilere, kendi verileri üzerinde kontrolün sağlanabilmesi imkânı sunduğundan VERBiS, şeffaflık ve hesap verebilirlik özelliği ile ön plana çıkmaktadır.

Sicile kayıt yükümlülüğü, kişisel veri işlemekte olan gerçek veya tüzel kişiler için Kanunla getirilmiş bir yükümlülük olup bu yükümlülüğe uyulmaması halinde yaptırım öngörülmüş olmakla birlikte asıl hedeflenen; kişisel verilerin işlenmesinde şeffaflığın sağlanmasi, veri sorumlularının Kanuna uyumu konusunda özen göstermeleri, kişisel veri işlenmesinin disiplin altına alınması, kişisel verisini işlediği kişilere hesap verebilmesi, kişisel verilerin gelişigüzel işlenmesinin önüne geçilmesi ve bu konuda bir kültür ve farkındalık oluşmasının sağlanmasıdır.

Kayıt yükümlülüğünün yerine getirilmesi ile ilgili tarihler de Kanunun geçici 1, maddesine istinaden Kurul tarafindan belirlenerek aşağıdaki gibi ilan edilmiştir:

Veri Sorumluları: Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 25 milyon TL'den çok olan veri sorumluları
Başlama tarihi: 01.10.2018
Verilen süre: 15 ay
Son tarih: 31.12.2019

Veri Sorumluları: Yurtdışında yerleşik veri sorumluları
Başlama tarihi: 01.10.2018
Verilen süre: 15 ay
Son tarih: 31.12.2019

Veri Sorumluları: Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları
Başlama tarihi: 01.01.2019
Verilen süre: 15 ay
Son tarih: 31.03.2020

Veri Sorumluları: Kamu kurum ve kuruluşu veri sorumluları
Başlama tarihi: 01.04.2019
Verilen süre: 15 ay
Son tarih: 30.06.2020
II. Kararın Hukuki Dayanağı ve Sonuç
Bilindiği üzere, Kanunun 16 ncı maddesinde, istisna kapsamında olmayan veri sorumluları için getirilmişolan yükümlülük, kayıt ve bildirim yükümlülüğünün yerine getirilmesidir. Bu kapsamda veri sorumlularının, önce VERBiS'e giriş yaparak başvuru formunu sistem üzerinden oluşturması ve bu formun Kuruma kargo / posta / elden iletilmesi veya Kayıtlı Elektronik Posta (KEP) aracılığıyla iletilmesi gerekli görülmektedir. Başvuru formunun iletilmesi üzerine Kurum tarafindan kendisine iletilen "kullanıcı adı" ve “parola" ile VERBiS'e giriş yaparak bildirim yapması gerekmektedir.
VERBiS üzerinden yapılan değerlendirme sonucunda, bazı veri sorumlularınca söz konusu başvuru formlarının Başkanlığımıza iletilmesi ile yükümlülüğün yerine getirilmiş olduğu düşünülerek bildirim yapılmadığı gözlemlenmektedir. İrtibat kişisi tarafindan "Sicile kayıt" butonu ile giriş yapılarak bildirimin tamamlanması ve sistem üzerinden iletilmediği takdirde Sicile kayit ve bildirim yükümlülüğünün yerine getirilmemiş olacağının bilinmesinde fayda görülmektedir.
Öte yandan, Sicile kayıt yükümlüsü olan veri sorumlularınca, Kurul kararında öngörülen sürede kayıt ve bildirim yükümlülüğünü yerine getirmek amacıyla son günlerde yoğun bir şekilde başvuru ve VERBİS üzerinden bildirim iletildiği gözlemlenmektedir 

Veri sorumlularıa, 6698 sayılı Kanunla Sicile kayıt ve bildirim yükümlülüğü getirilmiş olmasının amacı;
Kişisel verilerin işlenmesinde şeffaflığın,
Kişisel verilerin gelişigüzel işlenmesinin önüne geçilerek bu alanda veri sorumlularının kişisel veri işlemesi faaliyetlerinin disiplin altina alinmasinin,
Kişisel verilerin korunması alanında toplumun tüm kesimlerinde kültür ve farkindalık oluşmasının, veri sorumlularının kişisel verisini işlediği kişilere hesap verebilmesinin 
Veri sorumlularının Kanuna uyumunun,
İstisna kapsamında olmayan tüm veri sorumlularının Sicile kaydolmasının 

sağlanmasıdır.
Bu amaçlardan da anlaşılacağı üzere Sicile kayıt ve bildirim yükümlülüğü, sadece süresinde VERBiS’e kayıt olunmasını değil, bununla birlikte VERBiS'e beyan edilen bilgilerin tüm kişisel veri işleme faaliyetlerini kapsayacak şekilde doğru, güncel ve güvenilir bilgilerin de beyan edilmesini kapsamaktadır.

VERBiS veri tabanı üzerinden özellikle son günlerde iletilen bildirimlerle ilgili olarak yapılan araştırmada, bazı bildirimlerde işlendiği beyan edilen kişisel verilerle işleme amaçlarının, aktarım gerçekleştirildiği beyan edilen alıcı/alıcı gruplarımın, veri konusu kişi gruplarının, alınan teknik ve idari tedbirlerin, özel nitelikli kişisel veriler için alınması gereken yeterli önlemlerin, yurtdışına veri aktarımının ve saklamaya ilişkin beyan edilen sürelerin örtüşmediği, bu konuda ciddi yanlışlıkların ve Kanuna/yönetmeliklere aykırılıkların olduğu görülmektedir.

Bu durumun nedenlerinden birisinin de Kanunun 18 inci maddesinde öngörülen yaptirimlarla karşılaşmamak adına Kurul tarafindan belirlenen süre içerisinde bir kayıt gerçekleştirmek olduğu anlaşılmaktadır.

Kanunun 16 ncı maddesinde Sicile ilişkin bazı hükümler yer almış olup diğer usul ve esasların da yönetmelikle düzenleneceği ifade edilmiştir. Buna istinaden 31.12.2017 tarihli Resmi Gazetede yayımlanarak yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmeliğin 5 inci maddesinde;
“ç) Sicile kayıtla yükümlü olan veri sorumlulari, Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür. Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalıolarak hazirlanir.

d) Kanumun 10 uncu maddesinde veri sorumlulari için belirtilen aydınlatma yükümlülüğünde,Kanumun 13 üncü maddesinde belirtilen ilgili kişi başvurularının yanıtlanmasında ve ilgili kişiler tarafindan açıklanacak açık rizanın kapsamının belirlenmesinde kişisel veri işleme envanterine dayali olarak Sicile sunulan ve Sicilde yayınlanan bilgiler esas alınır.

e) Veri sorumlulari, Sicile sunulan ve Sicilde yayınlanan bilgilerin eksiksiz, doğru, güncel ve hukuka uygun olmasından sorumludur. Veri sorumlularının Sicile kaydolması Kanun kapsamındaki diğer yükümlülüklerini ortadan kaldırmaz.

hükümleri yer almıştır.
Buna göre, veri sorumlularının VERBİS'e kayit ve bildirim yükümlülüğünü yerine getirirken öncelikle kişisel veri işlenmekte olan tüm süreçleri içerecek şekilde kişisel veri işleme envanteri hazırlanması ve VERBiS'e bildirim yapılırken gelişigüzel değil mutlaka söz konusu envanter baz alınarak giriş yapılmasıgerekmektedir.

Ayrica, Kanunun 16 ncı maddesinde Sicile girilen bilgilerde meydana gelen değişikliklerin derhâl Başkanlığa bildirileceği hükmü ile Veri Sorumluları Sicili Hakkında Yönetmeliğin 13 üncü maddesinde yer alan "Veri sorumlulari, Sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen 

değişiklikleri, değişikliğin meydana geldiği tarihten itibaren yedi gün içerisinde VERBİS üzerinden Kuruma bildirir: " hükmü gereği gerekli güncellemelerin belirtilen sürede yapılması gerekmektedir.
Veri sorumlularınca Sicile kayıt ve bildirim yükümlülüğünün yerine getirilmesi amacıyla VERBİS’e girilen bilgiler üzerinden Kurul tarafindan yapılan araştırma ve değerlendirme sonucunda;
a)Sicile kayıt ve bildirim yükümlülüğünün yerine getirilmesi kapsamında;
Bazı veri sorumlularının sadece kayıt başvuru formunu ilettiğinin görüldüğü, Kanunun 16 ncımaddesinde yer alan yükümlülüğün kayıt ve bildirimi kapsadığı, bu nedenle Kurumca iletilen “kullanıcıadı" ve “parola" ile VERBiS'e giriş yapılarak kişisel veri işleme faaliyetlerine ilişkin bildirimin tamamlanması gerektiğinin,
Sicile kayıt ve bildirim yükümlülüğünün asıl amacının kişisel veri işlemede şeffaflık, kişisel verilerin gelişigüzel işlenmesinin önüne geçilerek kişisel veri işleme faaliyetlerinin disiplin altına alınması, bu alanda kültür ve farkındalık oluşması, veri sorumlularının kişisel verisini işlediği kişilere hesap verebilmesi, veri sorumlularının Kanuna uyumu ve istisna kapsamında olmayan tüm veri sorumlularınin Sicile kaydolmasının sağlanmasi olduğunun,
Sicile kayıt ve bildirim yükümlülüğünün sadece Kanunda öngörülen yaptırımlarla karşılaşmamak adına süresi içerisinde bir kayıt gerçekleştirmek olarak anlaşılmaması gerektiği, bu amaca yönelik kayıt ve bildirimlerin Kanuna aykırılık teşkil edeceğinin,
Özellikle son zamanlarda VERBİS’e iletilen bildirimler incelendiğinde, birçok bildirimde kişisel veriler ile işleme amaçları, aliıcı/alıcı gruplari, veri konusu kişi gruplari, alınan teknik ve idari tedbirler,yeterli önlemler, yurtdışına veri aktarımı ve saklama sürelerinin örtüşmediği, bu konuda ciddi yanlışlıklar ve mevzuata aykırılıklar olduğunun görüldüğünün,
VERBİS'e beyan edilen bilgilerin doğru ve güncel olması gerektiği, bu bilgilerden ilgili veri sorumlusunun sorumlu olduğunun,
Sicile kayıtla yükümlü olan veri sorumlularının Veri Sorumluları Sicili Hakkında Yönetmelik gereği kişisel veri işleme envanteri hazırlamak zorunda olduğunun ve VERBİS'e girilen bilgilerin bu envantere dayali olarak hazirlanmasi gerektiğinin,
Veri sorumlularının VERBİS'e kayıt ve bildirim yükümlülüğünü yerine getirirken öncelikle kişisel veri işlenmekte olan tüm süreçleri içerecek şekilde kişisel veri işleme envanteri hazırlaması ve VERBİS’e bildirim yapılırken gelişigüzel değil mutlaka söz konusu envanter baz alınarak giriş yapılmasıgerektiğinin,
Sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen değişiklikleri, değişikliğin meydana geldiği tarihten itibaren yedi gün içerisinde VERBiS üzerinden Kuruma bildirilmesi gerektiğinin 

tüm veri sorumlularına hatırlatilmasına,

b)Yukarida yer verilen açiklamalar doğrultusunda kişisel veri işleme envanteri hazirlamadan gelişigüzel VERBīS’e kayıt ve bildirim gerçekleştiren veri sorumluları ile envanter hazırlama süreçlerini tamamlayamadığı için süresinde kayit ve bildirim yükümlülüğünü yerine getiremeyecek olan veri sorumluları dikkate alınarak, VERBiS'e girilmiş olan bilgilerde herhangi bir hata veya Kanuna aykırılık varsa bu durumun bir an önce düzeltilmesi için gerekli çalışmaların yapilabilmesini teminen 6698 sayıli Kanunun Geçici 1 inci maddesi gereği;
Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı 25 milyon TL'den çok olan gerçek ve tüzel kişi veri sorumlularına Sicile kayıt ve bildirim yükümlülüğünü yerine getirmeleri için verilen sürenin 30.06.2020 tarihine,
Yurtdışında yerleşik gerçek ve tüzel kişi sorumlularına Sicile kayıt ve bildirim yükümlülüğünüyerine getirmeleri için verilen sürenin 30.06.2020 tarihine,
Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek veya tüzel kişi sorumlularına Sicile kayit ve bildirim yükümlülüğünü yerine getirmeleri için verilen sürenin 30.09.2020 tarihine,
Kamu kurum ve kuruluşu veri sorumlularına Sicile kayıt ve bildirim yükümlülüğünü yerine getirmeleri için verilen sürenin 31.12.2020 tarihine,
kadar uzatilmasına,
c)Bu kararın Kurum internet sayfasında duyurulması ve Resmî Gazete'de aşağıdaki gibi yayimlanmasına 

oybirliği ile karar verilmiştir.
“Veri sorumlularınca Sicile kayıt ve bildirim yükümlülüğünün yerine getirilmesi amacıyla VERBiS'e girilen bilgiler üzerinden Kurul tarafindan yapılan araştirma ve değerlendirme sonucunda;
Yıllık çalışan sayısı 50'den çok veya yillık mali bilanço toplamı 25 milyon TL'den çok olan gerçek ve tüzel kişi veri sorumlularına Sicile kayit ve bildirim yükümlülüğünü yerine getirmeleri için verilen sürenin 30.06.2020 tarihine,
Yurtdışında yerleşik gerçek ve tüzel kişi veri sorumlularına Sicile kayıt ve bildirim yükümlülüğünü yerine getirmeleri için verilen sürenin 30.06.2020 tarihine,
Yıllık çalışan sayısı 50'den az ve yillık mali bilanço toplamı 25 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek veya tüzel kişi veri sorumlularına Sicile kayıt ve bildirim yükümlülüğünü yerine getirmeleri için verilen sürenin 30.09.2020 tarihine,
Kamu kurum ve kuruluşu veri sorumlularına Sicile kayıt ve bildirim yükümlülüğünü yerine getirmeleri icin verilen sürenin 31.12.2020 tarihine 

kadar uzatilmasina 
Bu kararın Kurum internet sayfasında duyurulması ve Resmî Gazete’de yayımlanmasına 
oybirliği ile karar verilmiştir."