Kişisel Verileri Koruma Kurulunun 16/07/2020 Tarihli ve 2020/542 Sayılı Karar Özeti

“Aynı gerçek kişinin, yurt dışında yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanması hakkındaki görüş talebi” ile ilgili olarak Kişisel Verileri Koruma Kurulunun 16.07.2020 Tarihli ve 2020/542 Sayılı Karar Özeti

Kurumumuza gelen muhtelif başvurular ve kamuoyunda yer alan tartışmalarda; Türkiye’de yerleşik olmayan veri sorumlularınca 6698 sayılı Kişisel Verilerin Korunması Kanunu (6698 sayılı Kanun) ve ikincil mevzuat kapsamında Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) kaydı gerçekleştirilirken, aynı veri sorumlusu temsilcisinin birden fazla yurt dışında yerleşik veri sorumlusu adına girişinin yapılabildiği ancak aynı irtibat kişisinin birden fazla yurt dışında yerleşik veri sorumlusu adına girişinin yapılamadığı ve her bir yurt dışında yerleşik veri sorumlusu için farklı bir gerçek kişinin atanması gerektiğinden bu hususta zorlukla karşılaşıldığı belirtilerek bir gerçek kişinin, aynı veri sorumlusu temsilcisi tarafından yurt dışında yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanabilmesi hususunda görüş ve teknik düzenleme yapılmasının talep edilmesi üzerine Kişisel Verileri Koruma Kurulunca (Kurul) yapılan değerlendirme neticesinde alınan 16.07.2020 tarih ve 2020/542 sayılı kararın özetine aşağıda yer verilmektedir.

Bilindiği üzere Veri Sorumluları Siciline (Sicil) kayıt yükümlülüğünün yerine getirilmesi esnasında veri sorumlularına rehberlik etmek amacıyla hazırlanarak Kurum internet sayfasında yayımlanan “Sorularla Veri Sorumluları Sicil Bilgi Sistemi” dokümanında 41 ve 42 nci sorulara verilen cevaplarda; bir gerçek kişinin aynı anda birden fazla veri sorumlusu tarafından irtibat kişisi olarak atanamayacağı, bir veri sorumlusunun da aynı anda birden fazla irtibat kişisi atayamayacağı ifade edilmiştir.

Ayrıca Türkiye’de yerleşik grup şirketlerinde ortak irtibat kişisi atanması hakkında görüş talebiyle ilgili olarak 18.10.2019 tarihli ve 2019/299 sayılı Kurul kararında irtibat kişisinin, veri sorumlusunun Sicile kayıt yükümlülüğünü yerine getirebilmesi için kişisel veri işleme envanteri ve kişisel veri işleme faaliyetlerine ait doğru, güncel ve güvenilir bilgiye haiz olmasının gerektiği, veri sorumlusunun Kanun ve ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak Kurumla iletişimi sağlamak amacıyla atandığı, Sicile bildirilen bilgilerde değişiklik olması halinde bu değişikliğin meydana geldiği tarihten itibaren en geç 7 gün içinde VERBİS’te değişiklik yapması gerektiği, bu değişikliği süresinde sisteme girebilmesi için veri sorumlusunun kişisel veri işleme faaliyetlerini yakından takip etmesi gerektiğinden bir gerçek kişinin aynı anda sadece bir veri sorumlusu tarafından irtibat kişisi olarak atanabilmesinin uygun olduğu belirtilmiştir.

Öte yandan Sicile ilişkin usul ve esasları düzenleyen Veri Sorumluları Sicili Hakkında Yönetmeliğin (Yönetmelik) 4 üncü maddesinde veri sorumlusu temsilcisi, “Türkiye’de yerleşik olmayan veri sorumlularını bu Yönetmeliğin 11 inci maddesinin üçüncü fıkrasında belirtilen konularda asgari temsile yetkili Türkiye’de yerleşik tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı gerçek kişiyi ifade eder.” şeklinde, irtibat kişisi de “Türkiye’de yerleşik olan gerçek ve tüzel kişiler için veri sorumlusu tarafından, Türkiye’de yerleşik olmayan gerçek ve tüzel kişiler için de veri sorumlusu temsilcisi tarafından, Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile iletişimi sağlamak amacıyla Sicile kayıt esnasında bildirilen gerçek kişi” şeklinde tanımlanmıştır.

Aynı Yönetmeliğin 11 inci maddesi ikinci fıkrasında, “Türkiye’de yerleşik olmayan veri sorumlusunun, veri sorumlusu temsilcisi atanmasına ilişkin yetkili organı veya kişisi tarafından alınacak kararın tasdikli örneği, kayıt başvurusu sırasında veri sorumlusu temsilcisi tarafından Kuruma sunulur.” hükmü yer almış, üçüncü fıkrasında ise Türkiye’de yerleşik olmayan veri sorumlusunun, veri sorumlusu temsilcisi atamasına ilişkin atama kararında asgari olarak bulunması gereken hususlar sayılmıştır.

Buna göre, Türkiye’de yerleşik olmayan veri sorumluları için; Kurum tarafından yapılan tebligat veya yazışmaları onun adına tebellüğ veya kabul etmek, Kurum tarafından veri sorumlusuna yöneltilen talepleri veri sorumlusuna iletmek, veri sorumlusundan gelecek cevabı Kuruma iletmek, ilgili kişilerin Kanunun 13 üncü maddesinin birinci fıkrası uyarınca veri sorumlusuna yönelteceği başvuruları veri sorumlusu adına almak ve veri sorumlusuna iletmek, ilgili kişilere veri sorumlusunun cevabını iletmek ve veri sorumlusu adına Sicile ilişkin iş ve işlemleri yapmak görevleri Yönetmelikle veri sorumlusu temsilcisine verilmiştir.

Söz konusu görevleri yerine getirmekte olan veri sorumlusu temsilcilerine ilişkin Kurul tarafından yapılan değerlendirme sonucunda; Türkiye’de yerleşik bir tüzel kişi veya Türkiye Cumhuriyeti vatandaşı ve Türkiye’de yerleşik bir gerçek kişi olması, Türkiye’de yerleşik olmayan veri sorumlusu adına Sicile ilişkin iş ve işlemleri yapması, VERBİS’te güncelleme yapması ve veri sorumlusu adına Kurum ve ilgili kişilerle iletişimi sağlaması gerektiğinden hem kişisel verilerin korunması mevzuatı konusunda hem de yurtdışında yerleşik veri sorumlularıyla iletişimi sağlayabilecek düzeyde uzmanlaşmış gerçek veya tüzel kişilerin tespit edilerek veri sorumlusu temsilcisi olarak atamasının zorluğu göz önüne alınarak aynı gerçek veya tüzel kişinin Türkiye’de yerleşik olmayan birden fazla veri sorumlusu tarafından veri sorumlusu temsilcisi olarak atanabilmesine imkân sağlanmıştır.

Bu kapsamda Türkiye’de yerleşik olmayan veri sorumluları adına gerek ilgili kişiler gerekse de Kurumla iletişimi sağlayacak asıl muhatabın veri sorumlusu temsilcisi olması, Türkiye’de yerleşik olmayan veri sorumluları için veri sorumlusu temsilcisi tarafından atanacak irtibat kişilerinin VERBİS işlemlerini gerçekleştirecek kişi olması nedeniyle aynı gerçek kişinin Türkiye’de yerleşik olmayan birden fazla veri sorumlusu için irtibat kişisi olarak atanması Kurul tarafından uygun bulunmuştur.

Yukarıda yer verilen açıklamalar doğrultusunda Kişisel Verileri Koruma Kurulunca yapılan değerlendirme sonucunda;

• Bir gerçek kişinin, yurt içinde yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanmasının uygun olmadığına,
• Bir gerçek kişinin, yurt dışında yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanmasının uygun bulunduğuna

karar verilmiştir.