Madde 16

Kanunun 16. maddesi, Kurulun gözetiminde Başkanlık tarafından tutulan kamuya açık Veri Sorumluları Sicilini düzenler.1 Sicil, Kanunda sayılan bilgiler aracılığıyla veri sorumlusunun kimliğini ve işleme faaliyetlerinin ana unsurlarını kamuya açıklar.3 Maddenin gerekçesi de veri sorumlusunun kimliği, işleme amacı, aktarım, güvenlik tedbirleri ve azami muhafaza süresi gibi bilgilerin kayıt başvurusunda bildirilmesini bu yapının temel unsurları arasında gösterir.2

Sicil kaydı, veri sorumlusunun yaptığı bildirime dayanır. Kamuya açıklanan kayıt, ilgili kişinin hangi veri sorumlusuna yöneleceğini ve işleme faaliyetinin ana hatlarını öğrenmesini kolaylaştırır. Bu yönüyle Sicil, şeffaflığı ve dışarıdan denetlenebilirliği destekler.6 Bununla birlikte Sicilde yer alan bilgi, fiili işleme faaliyetinin bildirime uygun yürütüldüğünü tek başına kanıtlamaz.4

Veri sorumlusu sıfatı da kayıtla doğmaz. Bir kişinin veri sorumlusu olup olmadığı, kişisel verilerin işlenme amaç ve vasıtaları ile veri kayıt sisteminin kurulması ve yönetimi üzerinde kimin karar verdiğine göre belirlenecektir. Sicile kayıtlı olmamak, somut bir işleme faaliyeti bakımından veri sorumlusu sayılmaya engel değildir. Buna karşılık Sicilde yer alan kayıt, bildirimi yapan kişiyi her işleme faaliyeti bakımından kendiliğinden veri sorumlusu yapamaz.5

Sicile kayıt, kişisel veri işleme şartlarından farklı bir yükümlülüktür. Veri sorumlusu, kayıt yükümlüsü olduğu durumda kişisel veri işlemeye başlamadan önce Sicile kaydolmalıdır.1 Ancak kaydın yapılması, işlemenin Kanunun 4, 5 veya 6. maddesine uygun olduğunu tek başına gösteremez. İşleme amacı, işleme şartı, ölçülülük ve saklama süresi her faaliyet bakımından ayrıca değerlendirilecektir.2

Bir görüş, işlemeye başlamadan önce yerine getirilmesi gereken kaydı, işlemenin maddi şartlarından ayrı bir hukuka uygunluk şartı olarak ele almaktadır.3 Ancak Sicile kayıt yapılmamış olması, işleme faaliyetini bütün hukuki sonuçları bakımından geçersiz saymak için tek başına yeterli değildir. Kayıt yükümlülüğüne aykırılık ile işleme şartlarına aykırılık, dayanakları ve sonuçları bakımından ayrı ayrı incelenmelidir.4

Kurulun tanıdığı kayıt istisnası da veri sorumlusunu Kanunun diğer hükümlerinden muaf tutmaz.5 Kurul, 2020/429 sayılı kararda kayıt yükümlülüğünden istisna tutulan bir avukatın veri sorumlusu sıfatıyla yürüttüğü işleme faaliyetini diğer kanuni yükümlülükler bakımından incelemiştir. Karar, istisnanın yalnız Sicile kayıt ve bildirim yükümlülüğüyle sınırlı olduğunu somut olayda gösterir.6

Sicil ile VERBİS aynı yapıyı ifade etmez. Sicil, Başkanlık tarafından tutulan ve içindeki güncel bilgilerin belirli bir bölümü kamuya açıklanan kayıttır.1 VERBİS ise veri sorumlularının Sicile başvurmak ve Sicile ilişkin işlemleri yürütmek için kullandığı bilişim sistemidir.2

Başkanlık, Sicili oluşturur, yönetir, güncel tutar ve muhafaza eder. Bu amaçla VERBİS'in kurulması ve işletilmesi için gerekli tedbirleri de alır. Kurul ise Sicili gözetir. Veri Yönetimi Dairesi Başkanlığının üç aylık raporları, Kurulun bu gözetimi yürütürken yararlandığı araçlardan biridir.3

Veri sorumlusu bakımından kayıt işlemleri VERBİS üzerinden yürütülür.4 Sisteme kullanıcı tanımlanması veya başvuru formunun gönderilmesi, gerekli bilgilerin Sicile iletildiğini tek başına gösteremez. Kaydın tamamlanıp tamamlanmadığı, Yönetmelikte aranan bilgilerin VERBİS'e yüklenip yüklenmediğine göre belirlenecektir.5

Sicilin kamuya açık olması, kayıt başvurusundaki bütün bilgi ve belgelerin yayımlanması anlamına gelmez. Yönetmelik, kamuya açıklanacak bilgi gruplarını ayrıca sayar. Bunlar veri sorumlusu ve varsa temsilcisi ile adres ve KEP bilgisi, işleme amaçları, ilgili kişi ve veri kategorileri, alıcı grupları, yurt dışına aktarılması öngörülen veriler, kayıt tarihleri, güvenlik tedbirleri ve azami muhafaza süresidir.1

İrtibat kişisinin bilgileri kayıt başvurusunda Kuruma bildirilir, fakat kamuya açıklanacak bilgiler arasında sayılmaz.2 Kişisel veri işleme envanterinin tamamı da kamuya sunulmaz. Veri sorumlusu, Sicile bildireceği bilgileri envanterine dayanarak hazırlar.3

Kamuya açıklanan güvenlik tedbiri kaydı da veri sorumlusunun teknik mimarisinin bütün ayrıntılarını içermez.4 Bildirim, VERBİS'te belirlenen başlıklar üzerinden yapılır. Sicildeki kayıt, işleme faaliyetini yalnız Yönetmelikteki kategoriler bakımından açıklar. İşlemenin bütün hukuki ve teknik ayrıntılarını içeren bir denetim dosyası sayılamaz.5

Kanunun 16. maddesinin ikinci fıkrası, kişisel veri işleyen gerçek ve tüzel kişilerin Sicile kaydını öngörür. Maddenin başlığı, Sicilin adı ve Yönetmeliğin kapsamı birlikte değerlendirildiğinde kayıt yükümlülüğünün veri sorumlusuna ait olduğu anlaşılmaktadır.1 Veri sorumlusu adına ve onun talimatları doğrultusunda hareket eden veri işleyen, yalnız bu sıfatıyla Sicile kaydolmak zorunda değildir.2

Bir kişinin veri işleyen olarak adlandırılması belirleyici değildir. İşleme amaçları ve temel vasıtaları üzerinde bağımsız karar veriyorsa, kendi faaliyeti bakımından veri sorumlusu sayılabilir. Kurulun 2020/71 sayılı kararında da verilerin toplanmasına, kullanılma amacına, saklama süresine, verilere kimlerin erişebileceğine ve verilerin kimlere aktarılacağına kimin karar verdiği incelenmiştir.3

Kurul, 2019/225 sayılı kararda veri sorumlusunu belirlerken hangi verilerin, kimler hakkında, hangi yöntemle ve ne kadar süre işleneceğine kimin karar verdiğini incelemiştir. Ayrıca ilgili kişi hakları hakkında kararları kimin aldığı, verilerin paylaşılmasına kimin karar verdiği ve şubenin merkezden bağımsız hukuki yükümlülüklerinin bulunup bulunmadığı değerlendirilmiştir.4 Bu ölçütlerden hiçbiri, her somut olayda tek başına belirleyici olamaz. Bir kişinin veri sorumlusu olup olmadığı, işleme faaliyeti üzerindeki karar ve yetkilerin kimler arasında nasıl dağıldığı bir bütün olarak incelenerek belirlenecektir.5

Türkiye'de yerleşik olmayan veri sorumlusu, kişisel veri işlemeye başlamadan önce Türkiye'deki temsilcisi aracılığıyla Sicile kaydolur.1 Temsilcinin atanması, yurt dışında yerleşik veri sorumlusunun Sicil işlemlerini Türkiye'de kimin yürüteceğini belirler. Bununla birlikte Kanunun yabancı kuruluşun hangi işleme faaliyetlerine uygulanacağı ve kayıt yükümlülüğünün doğup doğmayacağı ayrıca belirlenmelidir.2

Kurul, 2019/225 sayılı kararda yurt dışında yerleşik veri sorumlusunun Türkiye'de doğrudan veya şubesi aracılığıyla yürüttüğü işleme faaliyetini incelemiştir. Şube, kişisel verilerin işlenme amaç ve vasıtalarını merkezden bağımsız olarak belirliyorsa kendi faaliyeti bakımından veri sorumlusu sayılabilir. Bunun için veri kayıt sisteminin kurulması ve yönetiminden de sorumlu olması gerekir. Bu şartlar yoksa kayıt yükümlülüğü, şubenin ayrı tüzel kişiliğinin bulunmadığı da gözetilerek merkezdeki veri sorumlusu bakımından değerlendirilecektir.3

Aynı kararda, ticari faaliyette bulunmayan ve merkez şirketin haberleşme, araştırma veya tanıtım işleri için kurulan irtibat bürosunun kendisi kayıt yükümlüsü sayılmamıştır.4 Kurulun 2020/471 sayılı kararı ise yabancı bir bankanın Türkiye temsilciliği ile bankanın veri işleme faaliyeti arasında sıkı bağlantı bulunduğu sonucuna varmıştır. Temsilciliğin tanıtım ve piyasa araştırması yapması, bankanın Türkiye'deki sürekli mevcudiyetiyle birlikte değerlendirilmiş ve yabancı bankanın Sicile kaydolması gerektiği kabul edilmiştir.5

Kurulun 2019/225 ve 2020/471 sayılı kararlarında ele alınan hukuki sorunlar farklıdır. Bir irtibat bürosunun kendi adına kayıt yükümlüsü sayılmaması, yurt dışındaki veri sorumlusunun Türkiye ile bağlantılı işleme faaliyetleri nedeniyle kaydolmasına engel olamaz. Aynı şekilde, yurt dışındaki veri sorumlusunun kayıt yükümlüsü olması da Türkiye'deki irtibat bürosu veya temsilciliğin ayrı bir veri sorumlusu sayılmasını gerektirmez. Türkiye'de şube ya da temsilcilik bulunması, yabancı kuruluşun her faaliyeti bakımından kayıt yükümlüsü sayılması için tek başına yeterli değildir. Her somut olayda Türkiye'deki yapının yürüttüğü faaliyet, bu faaliyetin kişisel veri işlemeyle bağlantısı ve yapının veri sorumlusu olup olmadığı incelenecektir.6

Veri sorumlusu temsilcisi, Türkiye'de yerleşik olmayan veri sorumlusunu Yönetmelikte gösterilen konularda asgari olarak temsil eder.1 Atama kararı, Kurumun yazışmalarını kabul etme, Kurum ile veri sorumlusu arasındaki talepleri iletme, ilgili kişi başvurularını alma ve cevapları iletme ile Sicil işlemlerini yürütme yetkilerini içermelidir.2 Temsilcinin atanması, yurt dışında yerleşik veri sorumlusunun Kanun kapsamındaki yükümlülüklerini ortadan kaldıramaz.3

İrtibat kişisinin görevi Kurum ile iletişimi sağlamaktır. Türkiye'de yerleşik veri sorumlusu irtibat kişisini kendisi belirler. Yurt dışında yerleşik veri sorumlusunun irtibat kişisini ise temsilci belirler.4 Yönetmelik, irtibat kişisinin veri sorumlusunu temsile yetkili olmadığını açıkça düzenler. Sicil işlemlerini fiilen yürütmesi, irtibat kişisini tek başına veri sorumlusu veya temsilci yapamaz.5

Kurulun 2020/542 sayılı kararına göre bir gerçek kişi, yurt içinde yerleşik birden fazla veri sorumlusu için aynı anda irtibat kişisi olarak atanamaz. Kurul, irtibat kişisinin her veri sorumlusunun işleme faaliyetlerini yakından izleyebilmesini ve Sicil değişikliklerini süresinde bildirebilmesini bu sonuca dayanak göstermiştir. Buna karşılık aynı gerçek kişinin, aynı temsilci tarafından yurt dışında yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanması uygun bulunmuştur.6

Temsilci ile irtibat kişisi, GDPR'da düzenlenen veri koruma görevlisinden farklıdır. GDPR, veri koruma görevlisine bağımsız danışmanlık ve izleme görevleri vermektedir. Sicil Yönetmeliğinde irtibat kişisi için böyle görevler öngörülmemiştir.7 Veri koruma uyumunu yürütmek üzere ayrıca görevlendirilen kişinin görev ve sorumlulukları, irtibat kişisi sıfatından değil kurum içindeki görevlendirmeden kaynaklanır. Bu görevlendirme, tüzel kişinin veri sorumlusu sıfatını ve sorumluluğunu ortadan kaldıramaz.8

Kayıtla yükümlü veri sorumlusu, kişisel veri işlemeye başlamadan önce Sicile kaydolmalıdır.1 Kanunun yürürlüğe girdiği tarihte veri işleyenler için ilk kayıt takvimini Kurul belirlemiştir. Daha sonraki yıllarda da bazı gruplar için toplu süreler ilan edilmiştir. Bu geçiş ve toplu süreler artık sona ermiştir.2 Bugün kayıt yükümlülüğünün doğduğu tarih, Kanun ile Sicil Yönetmeliğinin genel hükümlerine göre belirlenecektir.6

Başlangıçta kayıt yükümlüsü olmayan bir veri sorumlusu, bir istisnanın kapsamından çıkması, çalışan veya bilanço eşiğini aşması ya da faaliyetinin değişmesi üzerine sonradan kayıt yükümlüsü hale gelebilir. Böyle bir durumda veri sorumlusu, yükümlülük altına girmesini izleyen otuz gün içinde Sicile kaydolmalıdır.3

Veri sorumlusu fiili, teknik veya hukuki bir engel nedeniyle kaydı tamamlayamıyorsa, engelin ortaya çıkmasından itibaren en geç yedi iş günü içinde gerekçesini belirterek Kuruma yazılı olarak başvurabilir. Kurum ek süreyi yalnız bir kez verebilir ve bu süre otuz günü aşamaz. Ek süre kendiliğinden başlamaz. Kurumun başvuruyu ve gösterilen gerekçeyi kabul etmesi gerekir.4

Geçmişte belirli gruplar için alınmış toplu süre uzatımı kararları, Yönetmeliğin genel kayıt zamanını değiştirmez. Yükümlülüğün doğduğu tarih belirlenirken yürürlükteki istisna kararı, veri sorumlusunun somut durumu ve Kurumun varsa verdiği ek süre birlikte dikkate alınacaktır.5

Sicile kayıt yükümlülüğü, Yönetmeliğin 9. maddesindeki bilgilerin VERBİS'e yüklenmesiyle yerine getirilmiş sayılır.1 Sistemde hesap açılması, temsilci veya irtibat kişisi tanımlanması ya da başvuru formunun iletilmesi, kayıt yükümlülüğünün yerine getirilmesi için tek başına yeterli değildir.2

Kurul, 2019/387 sayılı kararda bazı veri sorumlularının başvuru formunu göndermekle yetindiğini tespit etmiştir. Kararda, bildirimin irtibat kişisi tarafından tamamlanıp sistem üzerinden iletilmemesi halinde kayıt ve bildirim yükümlülüğünün yerine getirilmiş olmayacağı belirtilmiştir.3 Kararda sözü edilen başvuru adımları bugün değişmiş olabilir. Bununla birlikte güncel Yönetmelik de hazırlık işlemleri ile tamamlanmış bildirimi birbirinden ayırmaktadır.4

Bildirimin teknik olarak gönderilmiş olması, kayıt yükümlülüğünü yerine getirmek için tek başına yeterli değildir. Bildirim, veri sorumlusunun bütün kişisel veri işleme faaliyetleri hakkında doğru, güncel ve güvenilir bilgiler içermelidir.5 VERBİS'teki standart başlıklar veri sorumlusunun faaliyetini tam olarak karşılamıyorsa eksik kalan bilgi, sistemde bu amaca ayrılan “Diğer” bölümüne girilmelidir.6

Kurumun ek süre vermesi, veri sorumlusuna yalnız kaydı tamamlamak için ek zaman sağlar. Veri sorumlusu, gerekli bütün bilgileri bu süre dolmadan VERBİS'e yüklemelidir.7 Kayıt süresinde tamamlanmış olsa bile bildirim eksik veya yanlış olabilir. Kayıt süresinin geçirilmesi ile bildirimin eksik veya yanlış olması ayrı ayrı değerlendirilmelidir.8

Kişisel veri işleme envanteri, veri sorumlusunun iş süreçlerinde yürüttüğü faaliyetleri hukuki ve fiili unsurlarıyla eşleştiren iç kayıttır. Envanterde işleme amaçları ve hukuki sebepler, veri ve ilgili kişi kategorileri, alıcı grupları, azami muhafaza süreleri, yurt dışı aktarımı ve güvenlik tedbirleri birlikte gösterilir.1 Envanter sayesinde aynı veri kategorisinin farklı süreçlerde hangi hukuki sebeple işlendiği ayrı ayrı görülebilir.2

Sicile kayıt yükümlülüğü bulunan veri sorumlusu envanter hazırlamak zorundadır.3 Yönetmelik, kayıt istisnasından yararlanan veri sorumlularına ayrıca kişisel veri işleme envanteri hazırlama yükümlülüğü getirmemiştir. Bununla birlikte istisna, işleme şartı, aydınlatma, ilgili kişi başvurusu, veri güvenliği ve silme yükümlülüklerini ortadan kaldıramaz. Ancak bu veri sorumlularının, diğer yükümlülüklerini yerine getirebilmek için işleme faaliyetlerini başka bir kayıt düzeniyle izlemesi gerekebilir. Böyle bir iç kayıt, Sicil Yönetmeliğinde öngörülen envanter yükümlülüğüne dayanmaz.4

Envanter Sicilin kendisi değildir ve tamamı kamuya açıklanmaz. Veri sorumlusu, Sicile bildireceği bilgileri envanterine dayanarak hazırlar. Hukuki sebep gibi envanterde bulunması gereken bazı unsurlar, Sicilde kamuya açıklanan bilgi grupları arasında ayrıca yer almaz.5

Kurul, 2022/545 sayılı kararda Sicile kayıtla yükümlü bir bankanın aydınlatma metnindeki eksiklikleri envanterindeki bilgiler doğrultusunda gidermesi gerektiğini belirtmiştir. Karar, envanterin yalnız kayıt başvurusunda kullanılan bir belge olmadığını gösterir.6 Envanterin bulunması, aydınlatma metninin veya fiili işleme faaliyetinin hukuka uygun olduğunu tek başına gösteremez. Aydınlatma metninin ve fiili işleme faaliyetinin hem envantere hem kanuni yükümlülüklere uygun olup olmadığı ayrıca incelenecektir.7

Sicile bildirilecek işleme amacı, ilgili kişi ve veri kategorileri, alıcı grupları ile yurt dışı aktarım bilgileri envantere dayanılarak hazırlanır.1 Bu sayede Sicile bildirilen kategorik bilgiler, veri sorumlusunun fiilen yürüttüğü iş süreçleriyle karşılaştırılabilir.2 Veri sorumlusu, sunduğu ve yayımlanan bilgilerin eksiksiz, doğru, güncel ve hukuka uygun olmasından sorumludur.3

Kurul, 2019/387 sayılı kararda Sicil bildiriminin bütün işleme faaliyetlerini kapsamasını istemiştir. Kurul, işlenen veriler ile bildirilen amaçlar, alıcı grupları, ilgili kişi kategorileri, güvenlik tedbirleri, yurt dışı aktarım bilgileri ve saklama süreleri arasındaki uyumsuzlukları gelişigüzel bildirim örnekleri olarak değerlendirmiştir. Bu nedenle veri sorumlusu yalnız doğru başlıkları seçmekle yetinemez. Başlıklar arasındaki ilişkinin de envanterdeki gerçek süreçle uyumlu olması gerekir.4

Yönetmeliğe göre envantere dayalı Sicil bilgileri, aydınlatma yükümlülüğü yerine getirilirken, ilgili kişi başvuruları cevaplandırılırken ve açık rızanın kapsamı belirlenirken esas alınır.5 Sicil kaydı, aydınlatma metninin, başvuru cevabının veya açık rıza beyanının yerine geçemez. Her yükümlülük, kendine özgü içerik ve zaman şartlarına göre ayrıca yerine getirilmelidir.6

Kurulun 2022/545 sayılı kararı, bu tutarlılığın aydınlatma yükümlülüğü bakımından nasıl sağlanacağını gösterir. Kararda Sicil yükümlüsü bankanın envanterindeki veri, amaç, hukuki sebep ve alıcı bağlantılarını aydınlatma metnine yansıtması istenmiştir.7 Fiili işleme faaliyeti envanterle çelişiyorsa yalnız envanterin düzeltilmesi yeterli olmayacaktır. Sicil bildirimi, aydınlatma metni ve fiilen yürütülen işleme faaliyeti birbiriyle uyumlu hale getirilmelidir.8

Sicil bildirimi, işleme faaliyetini birbiriyle bağlantılı bilgi grupları üzerinden açıklar. İşleme amacı, ilgili kişi grubu, veri kategorisi, alıcı grubu ve yurt dışına aktarılması öngörülen veriler ayrı ayrı bildirilir.1 Bu alanlar envantere dayanır ve kamuya açıklanır.2

İşleme amacı, yalnız işletmenin faaliyet alanını tekrar eden genel bir ifadeyle açıklanamaz. İşleme amacı, bildirilen veri ve ilgili kişi kategorileriyle bağlantısı anlaşılabilecek açıklıkta belirtilmelidir. İşlenen verilerin kapsamı genişledikçe veya ilgili kişiler bakımından doğurabileceği risk arttıkça amaç da daha ayrıntılı açıklanmalıdır.3

Alıcı grubu, verinin aktarıldığı gerçek veya tüzel kişilerin kategorisini ifade eder.4 Sicilde belirli bir alıcı grubunun gösterilmesi, bu gruba yapılacak her aktarımı tek başına hukuka uygun hale getiremez. Her aktarım, Kanunun 8 veya 9. maddesindeki şartları ayrıca karşılamalıdır. Benzer biçimde, yurt dışına aktarılması öngörülen verilerin bildirilmesi, bu verilerin fiilen yurt dışına aktarıldığını tek başına gösteremez.5

Kurulun 2023/1645 sayılı kararında çevrim içi oyun hizmetine ilişkin aydınlatma ve politika metinleri ile VERBİS'teki işleme ve yurt dışı aktarım bilgilerinin birbiriyle uyumlu hale getirilmesi istenmiştir. Yerinde incelemede oyun sunucuları üzerinden kullanıcı verilerinin yurt dışına aktarılmadığı belirlenmiş, buna karşılık Sicil ve internet metinlerindeki aktarım açıklamalarının güncellenmesine karar verilmiştir.6 Karar, Sicil bildiriminin tahmine değil, fiilen yürütülen işleme faaliyetlerine dayanması gerektiğini gösterir. Ancak metinler arasındaki her farklılık, içeriği incelenmeden aynı tür ihlalin bulunduğu sonucuna götüremez.7

Kayıt başvurusu, Kanunun 12. maddesi kapsamında alınan kişisel veri güvenliği tedbirlerine ilişkin bilgileri de içerir.1 Bu bilgiler, VERBİS'te belirlenen başlıklar kullanılarak Sicile iletilir ve Sicilde kamuya açıklanan alanlar arasında yer alır.2

Bildirim yükümlülüğünün konusu, veri sorumlusunun aldığı tedbirlere ilişkin doğru ve güncel bilgi vermesidir. Bir tedbir başlığının işaretlenmesi, o tedbirin gerçekten uygulandığını tek başına gösteremez. Tedbirin gerçekten uygulanıp uygulanmadığı ile kapsamı ve sürekliliği, somut kayıtlar ve teknik uygulama incelenerek doğrulanacaktır.3

Sicil bildirimi, Kanunun 12. maddesinde öngörülen uygun güvenlik düzeyi incelemesinin yerini tutamaz. Belirli bir olayda yeterlilik değerlendirilirken işlenen verilerin niteliği, riskin kaynağı, kullanılan sistemler ve tedbirlerin olay tarihinde uygulanıp uygulanmadığı dikkate alınacaktır. Bu nedenle eksiksiz bir bildirim yapılmış olması, veri güvenliği ihlalinin bulunmadığını tek başına gösteremez.4 Bildirimin gerçeğe uygun olmaması ise kayıt ve bildirim yükümlülüğü yönünden ayrıca incelenecektir.5

VERBİS başlıkları gerekli bilgileri tam karşılamıyorsa veri sorumlusu, eksik kalan bilgiyi “Diğer” alanına girmelidir. Bu bildirim, Kurulun inceleme sırasında isteyebileceği teknik kayıt ve açıklamaların yerini tutamaz.6

Sicile bildirilen azami muhafaza süresi, her veri kategorisiyle eşleştirilir. Mevzuatta o kategori için azami süre öngörülmüşse bu süre esas alınır. Böyle bir süre yoksa farklı işleme amaçlarının gerektirdiği süreler arasından en uzunu bildirime temel olur.1

Bir işleme amacı için gerekli saklama süresi belirlenirken sektör uygulaması tek başına yeterli değildir. İlgili kişiyle hukuki ilişkinin devamı, veri sorumlusunun meşru menfaatinin süresi, saklamanın doğurduğu risk ve sorumluluklar, güncellik ihtiyacı, hukuki yükümlülükler ve zamanaşımı süreleri birlikte değerlendirilir.2 Veri sorumlusu bu ölçütleri soyut olarak sıralamakla yetinemez. Her veri kategorisi ve işleme amacı için belirlenen sürenin neden gerekli olduğunu açıklayabilmelidir.3

Sicilde yayımlanan azami süre, verinin bu sürenin sonuna kadar saklanmasına tek başına hukuki dayanak oluşturamaz. İşleme şartlarının tamamı daha önce ortadan kalkarsa imha yükümlülüğü bu tarihte doğar. Saklama ve imha politikası hazırlayan veri sorumlusu, imha işlemini yükümlülüğün doğmasını izleyen ilk periyodik imhada yerine getirir. Periyodik imha aralığı altı ayı geçemez.4 Bu nedenle azami süre, veriyi o tarihe kadar saklama izni olarak değil, saklamanın aşamayacağı üst sınır olarak anlaşılmalıdır.5

Sicile kayıt yükümlülüğü bulunan veri sorumlusu, envanterine uygun bir saklama ve imha politikası hazırlamalıdır. Politikanın hazırlanmış olması, kişisel verilerin süresinde imha edildiğini tek başına kanıtlayamaz.6 Kayıt istisnasından yararlanan veri sorumlusunun politika hazırlama yükümlülüğü bulunmasa bile Kanundan doğan saklama ve imha yükümlülüğü devam eder.7

Kanunun 16. maddesinin dördüncü fıkrası, kayıt başvurusunda verilen bilgilerdeki değişikliklerin derhal Başkanlığa bildirilmesini öngörür.1 Sicil Yönetmeliği bu yükümlülüğü, değişikliğin meydana geldiği tarihten itibaren yedi gün içinde VERBİS üzerinden yapılacak bildirim olarak somutlaştırır.2

Sicilde kayıtlı bilgilerden biri değiştiğinde yedi günlük bildirim süresi başlar. Yalnız Sicilde kayıtlı bilgileri etkileyen değişiklikler bildirilmelidir. İşleme amacı, veri veya ilgili kişi kategorisi, alıcı, yurt dışı aktarım, güvenlik tedbiri, azami süre ya da kimlik ve adres bilgisi Sicildeki kaydı etkiliyorsa güncelleme yapılmalıdır.3

Kurul, 2019/387 sayılı kararda Sicile bildirilen bilgilerin doğru ve güncel tutulması gerektiğini vurgulamış, değişikliklerin Yönetmelikteki sürede sisteme girilmesini istemiştir. Kararın güncelleme yükümlülüğüne ilişkin tespiti, güncel Yönetmelikteki yedi günlük bildirim süresiyle uyumludur.6 Buna karşılık kararda belirtilen geçmiş son tarihler, bugün uygulanacak kayıt süresi olarak kullanılamaz.4

Fiili işleme faaliyeti de değişmişse Sicildeki beyanın güncellenmesi tek başına yeterli olmayabilir. Değişiklik, envanter ile kişisel veri saklama ve imha politikasına da ilgili hükümler uyarınca yansıtılmalıdır.5 Değişiklik aydınlatma yükümlülüğü kapsamında bildirilen bilgileri de etkiliyorsa aydınlatma metni ayrıca gözden geçirilmelidir.7

Kayıt yükümlülüğünü doğuran faaliyet sona erer veya ortadan kalkarsa veri sorumlusu VERBİS üzerinden Sicil kaydının silinmesi için Kuruma başvurur.1 Silinen kayıt, gerektiğinde erişilebilecek biçimde tutulmaya devam eder, fakat kayıt üzerinde değişiklik yapılamaz. Sicil kaydının silinmesi, geçmiş kaydın teknik olarak bütünüyle yok edilmesi anlamına gelmez.2

Sicil kaydının silinmesi, veri sorumlusunun kayıtlı olduğu dönemdeki yükümlülüklerinden doğan sonuçları etkilemez. Bu nedenle eksik veya yanlış bildirim ile geç kayıt, kaydın silinmesinden sonra da hukuki önemini korur. Kaydın silindiği tarih, önceki işleme faaliyetlerinin hukuka uygun olduğunu gösteremez.3

Sicil kaydının silinmesi ile kişisel verilerin silinmesi farklı işlemlerdir. Kişisel verilerin silinmesi, verileri ilgili kullanıcılar için erişilemez ve yeniden kullanılamaz hale getirir.4 Yok etme, hiç kimsenin erişemeyeceği, geri getiremeyeceği ve yeniden kullanamayacağı bir sonuç doğurur. Anonim hale getirme ise verinin başka bilgilerle eşleştirilse bile belirli veya belirlenebilir kişiyle ilişkilendirilememesini gerektirir.5

Kayıt yükümlülüğünü doğuran faaliyetin sona ermesi, eldeki bütün kişisel verilerin aynı anda imha edilmesini gerektirmeyebilir. Her veri kategorisi için işleme şartlarının devam edip etmediği ayrıca incelenecektir. Bütün şartlar ortadan kalkmışsa Kanunun 7. maddesindeki imha yükümlülüğü doğar.6 Sicil kaydının silinmiş olması, bu incelemenin ve gerekli imha işlemlerinin yapılmasına engel olamaz.7

Kanunun 28. maddesinin ikinci fıkrası, maddede sayılan bazı işleme faaliyetleri bakımından aydınlatma yükümlülüğünü, zararın giderilmesini isteme hakkı dışındaki ilgili kişi haklarını ve Sicile kayıt yükümlülüğünü uygulama dışında bırakır. Bunun için işlemenin Kanunun amacına ve temel ilkelerine uygun olması, ayrıca amaçla orantılı yürütülmesi gerekir.1

Suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olan işlemler bu kapsamdadır. İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi de ayrı bir faaliyet istisnası olarak düzenlenmiştir.2 İkinci halde alenileştirme, veriyi her amaçla işleme yetkisi veremez. İşleme, verinin alenileştirilme amacıyla bağlantılı kalmalıdır.3

Kanunla görev ve yetki verilmiş kamu kurumları ile kamu kurumu niteliğindeki meslek kuruluşlarının denetleme veya düzenleme görevleri için gerekli kişisel veri işleme faaliyetleri de istisna kapsamına girebilir. Disiplin soruşturması veya kovuşturması için gerekli işlemeler ile bütçe, vergi ve mali konularda Devletin ekonomik ve mali çıkarlarının korunması için gerekli işlemeler de maddede ayrıca sayılmıştır.4

Bu istisnalar veri sorumlusunun kimliğine değil, belirli bir işleme faaliyetine bağlanmıştır. Aynı kurumun disiplin soruşturması kapsamında yürüttüğü veri işleme ile olağan personel yönetimi için yürüttüğü veri işleme bu nedenle ayrı ayrı değerlendirilecektir. Kanuni şartları taşımayan faaliyetler bakımından Sicile kayıt ve bildirim yükümlülüğü devam eder.5

Kanunun 16. maddesinin ikinci fıkrası, Kişisel Verileri Koruma Kuruluna (Kurul) Sicile kayıt zorunluluğuna istisna getirme yetkisi tanımaktadır. Kurul, bu yetkiyi kullanırken işlenen verinin niteliği ve sayısı ile işlemenin kanundan kaynaklanıp kaynaklanmadığı ve verilerin üçüncü kişilere aktarılıp aktarılmadığı gibi nesnel ölçütleri gözetmek zorundadır.1 Yönetmelik ayrıca işleme amacı ve faaliyet alanı, muhafaza süresi, ilgili kişi ve veri kategorileri, çalışan sayısı ile yıllık mali bilanço toplamının dikkate alınmasını öngörmektedir.2

Kurulun 2018/32 sayılı kararı, herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnız otomatik olmayan yollarla kişisel veri işleyenleri, noterleri, siyasi partileri, avukatları, serbest muhasebeci mali müşavirleri, yeminli mali müşavirleri ve belirli koşullarla dernek, vakıf ve sendikaları Sicile kayıt yükümlülüğünden istisna etmiştir. Kararda sayılan bir gruba tanınan istisna, yalnız mesleki benzerlik gerekçe gösterilerek başka kişileri kapsayacak biçimde genişletilemez.3 Dernek, vakıf ve sendikalar bakımından 2018/32 sayılı kararla belirlenen istisnanın kapsamı, 2020/315 sayılı kararla değiştirilmiştir.4

Kurulun 2018/68 sayılı kararı yalnız gümrük müşavirleri ile yetkilendirilmiş gümrük müşavirlerini, 2018/75 sayılı kararı ise yalnız arabulucuları kapsamaktadır.56 Kurul, 2020/315 sayılı kararda Türkiye'de yerleşik dernek, vakıf ve sendikalar bakımından istisnayı ilgili mevzuata, amaca ve faaliyet alanına uygun işlemelerle sınırlamıştır.7 Köy kamu tüzel kişiliklerine ilişkin 2023/2135 sayılı karar, başka kamu tüzel kişilerini kapsayan genel bir istisna öngörmemiştir.8

Anayasa Mahkemesi, E.2016/125, K.2017/143 sayılı kararında veri sorumlularının ölçeği ile işlenen verilerin niteliği ve yoğunluğu arasındaki farkları gözetmiş, nesnel ölçütlere dayanan istisna yetkisini ölçülü bulmuştur. Mahkeme, istisnanın yalnız Sicile kayıt yükümlülüğüyle sınırlı olduğunu ve diğer kanuni yükümlülüklerin devam ettiğini de belirtmiştir.9 Karşıoylarda ise Sicil kaydının bulunmamasının veri sorumlusuna ulaşmayı ve ilgili kişi haklarının kullanılmasını güçleştirebileceği ileri sürülmüştür.10

Danıştay 10. Dairesi, E.2020/3289, K.2024/2505 sayılı kararında hekimlerin kayıt istisnasına alınması isteminin reddini hukuka uygun bulmuştur. Çoğunluk, hekimlerin sağlık ve cinsel hayata ilişkin özel nitelikli kişisel verileri işlemesini ve Kurulun nesnel ölçütlere dayanan takdirini dikkate almıştır. Karşıoyda ise hekimlerin istisna dışında bırakılmasını haklı kılan ölçütlerin ve somut gerekçelerin yeterince gösterilmediği savunulmuştur.12 Daire, Kurulun istisna yetkisini somut istem bakımından denetlemiştir. Çoğunluk, bu yetkinin hukuka uygun kullanıldığı sonucuna varmıştır.11

Kurul, çalışan sayısı ve yıllık mali bilanço toplamına dayanan kayıt istisnasını ilk kez 2018/87 sayılı kararla düzenlemiştir. Bu karar, ana faaliyeti özel nitelikli kişisel veri işleme olmayan ve yıllık çalışan sayısı elliden az, yıllık mali bilanço toplamı da yirmi beş milyon Türk lirasından az olan veri sorumlularını kapsıyordu.1 Karardaki bilanço tutarı 2023/1154 sayılı kararla değiştirildiğinden, güncel eşik belirlenirken ilk tutar esas alınamaz.6

Kurulun 2023/1154 sayılı kararı, ana faaliyeti özel nitelikli kişisel veri işleme olmayan veri sorumluları için çalışan sayısını elliden az olarak korumuş, yıllık mali bilanço toplamını ise yüz milyon Türk lirasından aza yükseltmiştir. Bu gruptaki veri sorumlularının istisnadan yararlanabilmesi için hem çalışan sayısının hem de yıllık mali bilanço toplamının belirlenen sınırların altında kalması gerekmektedir.2

Kurul, 2025/1572 sayılı kararla ana faaliyeti özel nitelikli kişisel veri işleme olan veri sorumluları için de ayrı bir eşik belirlemiştir. Bu grupta yıllık çalışan sayısının ondan, yıllık mali bilanço toplamının da on milyon Türk lirasından az olması gerekir. Ana faaliyetin niteliği belirlenmeden iki eşik grubundan hangisinin uygulanacağına karar verilemez.3

Kurulun 2025/2393 sayılı kararı, bilanço esasına göre defter tutan veri sorumlularında çalışan sayısı ile mali bilanço ölçütlerinin birlikte aranacağını açıklamıştır. Bilanço esasına göre defter tutmayanlarda ise yalnız çalışan sayısı dikkate alınacaktır.4 Önce ana faaliyete uygun eşik grubu, ardından defter tutma biçimine göre uygulanacak ölçüt belirlenecektir.7 Eşik istisnası yalnız Sicile kayıt yükümlülüğüne ilişkindir ve Kanunun diğer yükümlülüklerini ortadan kaldıramaz.5

Sicile kayıt veya bildirim yükümlülüğüne aykırılık incelenirken önce ilgili veri sorumlusunun kayıt yükümlüsü olup olmadığı belirlenmelidir. Bu aşamada, Kanunun 28. maddesinin ikinci fıkrasındaki faaliyet istisnası ile Kurulun 16. maddenin ikinci fıkrasına dayanarak getirdiği istisnaların şartları ayrı ayrı incelenecektir. İstisna yalnız belirli bir faaliyeti kapsıyorsa kapsam dışında kalan işleme faaliyetleri bakımından kayıt yükümlülüğü devam eder.1

Kayıt yükümlüsü olan bir veri sorumlusunun hiç kaydolmaması, kaydı süresinde tamamlamaması veya Sicile sunması gereken bilgileri eksik ya da yanlış bildirmesi Kanunun 16. maddesindeki yükümlülüğe aykırılık oluşturabilir.2 Sicildeki değişikliklerin Yönetmelikte öngörülen süre içinde bildirilmemesi de aynı hüküm çerçevesinde ayrıca incelenecektir.3 Yaptırım kararında hangi bildirimin ne zaman yapılması gerektiği ve yükümlülüğün hangi davranışla ihlal edildiği somutlaştırılmalıdır.8

Kanunun 18. maddesinin birinci fıkrasının (ç) bendi, Sicile kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında idari para cezası öngörür.4 Maddenin ikinci fıkrası uyarınca bu yaptırım, veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır.5 İdari para cezasının tutarı, yaptırım kararının verildiği tarihte geçerli alt ve üst sınırlar içinde somut olayın özelliklerine göre belirlenecektir.6

Birinci fıkrada sayılan fiiller kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmişse Kanunun 18. maddesinin dördüncü fıkrasındaki usul uygulanır. Kurulun bildirimi üzerine, ilgili kamu kurum veya kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır. İşlemin sonucu Kurula bildirilir. Bu kişilere birinci fıkranın (ç) bendi uyarınca doğrudan idari para cezası verilemeyecek, Kanunun 18. maddesinin dördüncü fıkrasında öngörülen disiplin usulü uygulanacaktır.7

2008 tarihli 1/576, 2014 tarihli 1/1009 ve 1/541 sayılı Kanun Tasarıları, yürürlükteki hükmün önceki kanun metinleri değildir. Bu belgeler, Sicil modelinin hangi seçenekler üzerinden geliştirildiğini ve bu seçeneklerden hangilerinin kanunlaşan metinde korunduğunu gösteren hazırlık kaynaklarıdır.1

2008 tarihli 1/576 sayılı Kanun Tasarısı, kamuya açık Veri Kütüğü Sicilini 16. maddede, bildirilecek bilgileri ise 17. maddede düzenlemiştir. Veri kütüğü kurulmadan önce kayıt öngörülmüş, kimlik ve adres, işleme amacı, kişi ve veri grupları, alıcılar, yurt dışına aktarım ile güvenlik tedbirleri bildirim kapsamına alınmıştır. Değişikliklerin yıl sonunda topluca bildirilmesi kabul edilmiş, azami muhafaza süresine ise yer verilmemiştir.2

Aynı Tasarının 18. maddesi bildirim yükümlülüğünün istisnalarını ayrıca düzenlemiştir. Madde gerekçesinde bu istisnalar, Kurulun gereksiz iş yükü altında kalmasının önlenmesi amacıyla açıklanmıştır.3 Tasarının 19. maddesinde kişilik veya temel haklar bakımından özel risk taşıyan işlemeler için ön inceleme öngörülmüştür. Tasarının 20. maddesi ise veri kütüğü sahibine bağımsız bir veri koruma denetim kuruluşu görevlendirme imkanı tanıyan seçimlik bir model kurmuştur. Bu iki düzenek kanunlaşan 16. maddede korunmamıştır.4

2014 tarihli 1/1009 sayılı Kanun Tasarısında, 2008 Tasarısında ayrı maddelerde düzenlenen Sicil, bildirim ve istisna hükümleri 15. maddede bir araya getirilmiştir. Kamuya açık Sicilin Kurul Genel Sekreterliği tarafından tutulması, veri işlemeye başlamadan önce kayıt, nesnel ölçütlere dayanan istisna ve değişikliklerin derhal bildirilmesi bu metinde birlikte düzenlenmiştir. Bildirim alanları arasında azami muhafaza süresi henüz bulunmamaktadır.5

1/541 sayılı Kanun Tasarısında Sicilin Kurulun gözetiminde Başkanlık tarafından tutulması ve azami muhafaza süresinin bildirim kapsamına alınması kabul edilmiştir.6 Madde gerekçesi, kamuya açıklığı, işlemeye başlamadan önce kaydı, nesnel ölçütlere dayanan istisnaları ve değişiklik bildirimini birlikte açıklar.7 Adalet Komisyonundaki değişiklikler, 16. madde bakımından esas olarak kurum adı, ifade ve yazım düzeyinde kalmıştır.8 Hazırlık sürecinde, 2008 Tasarısında ayrı maddelerde düzenlenen kayıt ve kayıt istisnası 2014 Tasarısında tek Sicil maddesinde toplanmıştır. Ön inceleme ile bağımsız denetim kuruluşu seçenekleri 2014 Tasarısında sürdürülmemiştir. 1/541 sayılı Tasarıda Sicilin kurumsal yapısı yeniden belirlenmiş ve azami muhafaza süresi bildirim alanlarına eklenmiştir.9

Genel Veri Koruma Tüzüğünün (GDPR) 30. maddesine göre veri sorumlusu ile varsa temsilcisi, kendi sorumlulukları altındaki işleme faaliyetlerine ilişkin kayıt tutmakla yükümlüdür.2 Kayıtta veri sorumlusu ile varsa ortak veri sorumlusu, temsilci ve veri koruma görevlisinin iletişim bilgileri, işleme amaçları, ilgili kişi ve kişisel veri kategorileri, alıcılar, yurt dışı aktarımlar, mümkünse silme süreleri ile teknik ve kurumsal güvenlik tedbirlerinin genel açıklaması yer alır.1

Veri işleyen ile varsa temsilcisi de veri sorumlusu adına yürütülen işleme kategorileri için ayrı bir kayıt tutar. Bu kayıtlar, elektronik biçim de dahil olmak üzere, yazılı olarak tutulur ve denetim makamının talebi üzerine sunulur. Tüzüğün 30. maddesinde, işlemeye başlamadan önce merkezi bir makama kayıt başvurusu yapılması veya kayıtların kamuya açılması öngörülmemiştir.3

İki yüz elliden az çalışanı bulunan bir teşebbüs veya kuruluş için öngörülen istisna koşulsuz değildir. İşlemenin arızi olmaması, kişilerin hak ve özgürlükleri bakımından risk doğurma ihtimali taşıması veya özel nitelikli verilerle mahkumiyet ve suçlara ilişkin verileri kapsaması halinde bu istisnadan yararlanılamaz.4 6698 sayılı Kanunun 16. maddesi ise işleme öncesi bildirim ve kamuya açık merkezi Sicil üzerine kurulmuştur.5 Her iki düzenleme de işleme faaliyetleri hakkında belirli bilgilerin kayda geçirilmesini öngörmektedir. Bununla birlikte kaydı tutacak kişi, kaydın sunulma zamanı ve kamuya açıklığı bakımından birbirinden ayrılmaktadır.612

Tüzüğün 27. maddesindeki temsilci, 3. maddenin ikinci fıkrası uyarınca uygulama alanına giren ve Birlik dışında yerleşik bulunan veri sorumlusu veya veri işleyen tarafından Birlik içinde yazılı olarak görevlendirilir.8 Temsilci görevlendirme yükümlülüğü, işlemenin arızi olması, büyük ölçekte özel nitelikli kişisel veri veya mahkumiyet ve suçlara ilişkin veri içermemesi ve kişilerin hak ve özgürlükleri bakımından risk doğurmasının muhtemel olmaması şartlarının birlikte gerçekleştiği hallerde uygulanmaz. Kamu makamları ve kamu organları da istisna kapsamındadır. Birlik içinde temsilci görevlendirilmesi, veri sorumlusu veya veri işleyenin kendi sorumluluğunu ortadan kaldıramaz.7

Tüzüğün 37. maddesi, kamu makamları ve kamu organları için veri koruma görevlisi atanmasını zorunlu kılar. Mahkemelerin yargı yetkisini kullandıkları haller bu kuralın dışındadır. Temel faaliyetleri büyük ölçekte düzenli ve sistematik izleme ya da özel nitelikli verilerle mahkumiyet ve suçlara ilişkin verilerin büyük ölçekte işlenmesini gerektiren kuruluşlar da bu yükümlülük kapsamındadır. Bilgilendirme ve tavsiyede bulunmak, uyumu izlemek, talep edilmesi halinde veri koruma etki değerlendirmesi hakkında görüş vermek, değerlendirmenin yürütülmesini izlemek ve denetim makamıyla iş birliği yapmak veri koruma görevlisinin görevleri arasındadır. Görevlerini bağımsız biçimde yerine getirebilmesi için yeterli kaynak sağlanması ve talimat almaması gerekir.910 Bu görevli, Tüzüğün 27. maddesindeki temsilci olmadığı gibi VSSHY'deki veri sorumlusu temsilcisi veya irtibat kişisi de değildir.11