Av.Erdem Arda Akay

»Kişisel Verilerin Korunması Kurulu tarafından verilen 23.07.2019 tarih ve 2019/225 sayılı karar ile Türkiye’de doğrudan veya şubeleri aracılığıyla kişisel veri işleme faaliyetinde bulunan yurt dışında yerleşik veri sorumlularının Sicile kayıt olmaları gerektiği belirtilmiş; buna karşın Türkiye’de ticari faaliyette bulunmayan ve yalnızca haberleşme, tanıtım, reklam ve şirkete bilgi verme gibi amaçlarla açılan irtibat bürolarının veri sorumluları siciline kayıt yükümlülüklerinin olmadığına hükmedilmiştir.

Karar Özeti

Kişisel Verilerin Korunması Kurulu, kendisinden görüş talebinde bulunulması üzerine verdiği kararda;

“a) Türkiye’de doğrudan veya şubeleri aracılığıyla kişisel veri işleme faaliyetinde bulunan yurt dışında yerleşik veri sorumlularının Sicile kayıt olmalarının gerektiğine,

b) Yurt dışında yerleşik tüzel kişilerin Türkiye’deki şubelerinin, Kanunda yer alan veri sorumlusu tanımı gereği kişisel verilerin işleme amaçlarını ve vasıtalarını belirlemesi ve veri kayıt sisteminin kurulması ile yönetilmesinden sorumlu olması halinde yurt dışında yerleşik tüzel kişiden ayrı olarak Türkiye’de yerleşik veri sorumlusu olarak değerlendirileceğine, bu durumda olan yurt dışında yerleşik tüzel kişilerin Türkiye’deki şubeleri için Kişisel Verileri Koruma Kurulunun 2018/88 sayılı ve 2019/265 sayılı kararlarında yer alan “yıllık çalışan sayısı” ve “yıllık mali bilanço toplamı” kriterleri açısından yapılacak değerlendirme sonucunda Sicile kayıt yükümlülüğü bulunup bulunmadığına karar verileceğine, bu durumda olmayan yurt dışında yerleşik tüzel kişilerin Türkiye’deki şubelerinin ise Sicile kayıt yükümlülüğünün bulunmadığına,

 c) Türkiye’de irtibat bürosu açılabilmesi için şirket tüzel kişiliklerinin yabancı ülke kanunlarına göre kurulması ve kurulan irtibat bürolarının Türkiye’de ticari faaliyette bulunmaması gerektiği, irtibat bürolarının ticari faaliyet dışında haberleşme, fizibilite araştırması yapma, sosyal ve kültürel alanlarda bazı çalışmaları yürütme, şirketler arasında birleşme ve devirler için ön hazırlık yapma, tanıtım ve reklam, ülkedeki iş olanaklarının yakından takip etme ve bu konular hakkında merkez firmaya bilgi verme amacı doğrultusunda açılan bürolar olması ve şube özelliği bulunmadığı hususu dikkate alındığında söz konusu irtibat bürolarının Sicile kayıt olma yükümlülüğünün bulunmadığına”

karar verilerek yurtdışında yerleşik olan ancak şube veya irtibat büroları aracılığıyla ülkemizde faaliyet gösteren tüzel kişilere ve onların şube veya irtibat bürolarına ilişkin veri sorumluluğu kapsamında sicile kayıt yükümlülüğü mercek altına alınmıştır.

Karar Işığında Veri Sorumlusu Kavramı

»6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 16. maddesinde, kişisel veri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorunluluğunun bulunduğuna ilişkin düzenleme yapılmış ve bu zorunluluğa ancak işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle ve yalnızca Kurul tarafından istisna getirilebileceği belirtilmiştir.

»Kurul tarafından verilen söz konusu kararı değerlendirmek açısından öncelikle “veri sorumlusu” kavramının mevzuat kapsamında değerlendirilmesi faydalı olacaktır. 7 Nisan 2016 tarihinde yürürlüğe giren Kişisel Verilerin Korunması Kanunu’nun tanımlar kısmında veri sorumlusu “Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişi” olarak açıklanmıştır. Buna göre bir veri sorumlusundan söz edilebilmesi için öncelikle gerçek ya da tüzel kişiliğe haiz olunması gerekmektedir. Bunun yanı sıra veri sorumlusu gerçek ya da tüzel kişi; kişisel veri işleme süreci boyunca işlenen bu verilerin ne amaçla ve hangi yolla işleneceği, ilgili kişilerden elde edilen verilerin nasıl bir kayıt sistemine entegre edilip veri işleme sürecinin ne şekilde kontrol edileceği, işlenen verilerin ne kadar süre saklanacağı gibi önemli hususlarda karar merci olarak tasarrufta bulunabilmek durumundadır.

Sonuç

»Kişisel Verilerin Korunması Kurulu tarafından verilen karar kimlerin veri sorumlusu olarak nitelendirileceğini ve bu bağlamda kimlerin VERBİS’e kayıt yükümlülüğünün bulunduğunu ortaya koymuştur. Gerek yurtdışı kaynaklı yatırımlar, gerek ise dünyada hizmet sektörünün ülkesel sınırları aşması sebebiyle yerli tüzel kişiler olduğu gibi yurtdışında yerleşik bulunan yabancı tüzel kişiler de şube açarak ya da irtibat bürosu kurarak ülkemizde faaliyet göstermektedir. Bu faaliyetler beraberinde birtakım kişisel veri işleme işlemini de beraberinde getirmekte, veri işleyen şube ya da irtibat bürosu açısından veri sorumlusu olup olmadıkları akla gelmektedir.

»Bu konuda tereddüte yer bırakmayacak şekilde Kurul tarafından verilen kararda; yerleşim yeri yurt dışında bulunan tüzel kişilerin Türkiye’deki şubelerinin, kendi bünyesindeki kişisel verilerin işleme amaçlarını ve vasıtalarını belirlemesi ve veri kayıt sistemlerinin kurulması ile yönetilmesinden sorumlu olmaları halinde tüzel kişiden bağımsız bir veri sorumlusu sıfatına haiz olacakları belirtilmiştir. Söz konusu şubelerin veri sorumlusu sayılmalarının en önemli sonucu olarak VERBİS’e kayıt yükümlülüklerinin bulunup bulunmadığı “yıllık çalışan sayısı” ve “yıllık mali bilanço toplamı” kriterleri açısından yapılacak değerlendirme sonucunda karara bağlanacaktır. Türkiye’de kurulan irtibat büroları ise, tanıtım ve reklam, ülkedeki iş olanaklarının yakından takip etme ve bu konular hakkında merkez firmaya bilgi verme amacı doğrultusunda açılan bürolar olduklarından ve şube özelliği taşımadıklarından VERBİS’e kayıt yükümlülükleri bulunmamaktadır.