Veri Sorumluları Sicili Hakkında Yönetmelik (“Sicil Yönetmeliği”) 30 Aralık 2017 tarihli ve 30286 sayılı Resmi Gazete’de yayımlandı. Sicil Yönetmeliği’nin taslak hali daha önce Kişisel Verileri Koruma Kurumu’nun (“Kurum”) resmi sayfasında kamuoyu ile paylaşılmıştı. Sicil Yönetmeliği taslağına yönelik daha önce yayınlamış olduğumuz yazımızda da değinildiği üzere Sicil Yönetmeliği, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek ve tüzel kişilerin (“Veri Sorumlusu”) kaydolması gereken Veri Sorumluları Sicili’nin (“Sicil”) oluşturulması ile Sicil’e yapılması gereken başvuru ve kayıtlara ilişkin usul ve esasları düzenlemektedir.
6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) madde 16 uyarınca Kişisel Verileri Koruma Kurulu (“Kurul”) gözetiminde kamuya açık olarak Veri Sorumluları Sicili tutulur. Kanun Geçici Madde 1/2’de ise Veri Sorumlularının Kurul tarafından belirlenen ve ilan edilen süre içinde Sicil’e kayıt yaptırmak zorunda olduğu belirtilmektedir.
Sicil Yönetmeliği uyarınca Veri Sorumluları, kişisel veri işlemeye başlamadan önce Sicil’e kaydolmak zorundadır. Kurul ise Sicil Yönetmeliği madde 16’da yer alan kişisel verilerin niteliği, sayısı ve muhafaza edilme süresi gibi kriterleri göz önünde bulundurarak kayıt yükümlülüğüne istisna getirebilir. Kayıt yükümlülüğü altında bulunmayanlar veya sonradan kayıt yükümlüsü haline gelen veri sorumluları ise yükümlülük altına girmelerini müteakip 30 gün içerisinde Sicil’e kaydolmakla mükellef olacaklardır.
Veri Sorumluları tarafından Sicil’e kayıt yükümlülüğü Veri Yönetimi Dairesi tarafından kurulması öngörülen ve internet üzerinden erişilebilen Veri Sorumluları Sicil Bilgi Sistemi’ne (“VERBİS”) gerekli bilgileri yüklemek suretiyle gerçekleştirilecektir.
Sicil Yönetmeliği 1 Ocak 2018 tarihinde yürürlüğe girmekle beraber Kurum resmi sitesi üzerinden yapılan duyuruda, VERBİS’in hizmete açılması ve Kurul tarafından bir başlangıç tarihi belirlenmesi akabinde Sicil’e kayıt yükümlülüğünün başlayacağı belirtilmiştir. Bu kapsamda Sicil’e kayıt yükümlülüğü için başlangıç tarihi yine Kurum’un resmi sitesi üzerinden duyurulacaktır. Aynı duyuru kapsamında, her ne kadar Kurum tarafından ilan edilecek tarihe kadar sicile kayıt yükümlülüğü doğmasa da Veri Sorumluları Kanun ve ilgili yönetmelikler kapsamındaki diğer tüm yükümlülüklerini yerine getirmekle yükümlüdür.
Türkiye’de yerleşik olan Veri Sorumluları, Kurum ile iletişimi sağlamak üzere bir irtibat kişisi atayacak ve Sicil’e kayıt esnasında atanan irtibat kişisinin kimlik ve adres bilgilerini bildireceklerdir.
Türkiye’de yerleşik olmayan Veri Sorumluları ise Sicil Yönetmeliği madde 11’de belirtilen konularda yetkili veri sorumlusu temsilcisi tayin edecek ve ilgilileri kayıt esnasında Sicil’e bildirecektir.
Sicil başvurularında Sicil’e açıklanacak bilgiler kişisel veri envanterine dayalı olarak hazırlanacaktır. Kişisel veri envanterinde Veri Sorumlularının kişisel verileri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süre, yabancı ülkelere aktarımı öngörülen kişisel veriler ve veri güvenliğine ilişkin alınan tedbirler yer almalıdır. Veri Sorumlularının kişisel veri envanterinin yanı sıra kişisel veri saklama ve imha politikası hazırlaması da gerekmektedir.
Sicil’e kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında ise 20.000 Türk Lirasından 1.000.000 Türk Lirasına kadar para cezası uygulanacaktır.
1 Ocak 2018 tarihinde yürürlüğe giren Sicil Yönetmeliği’nin tam metnine bu linkten ulaşabilirsiniz.
