28.4.2019 Tarihli Resmi Gazete’de Veri Sorumluları Sicili Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik Yayımlanmıştır.
28.4.2019 tarihli 30758 sayılı Resmi Gazete’de Veri Sorumluları Sicili Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmelik yayımlanmıştır.
Değişiklik Yönetmeliğinin 1. maddesi ile 30.12.2017 tarihli ve 30286 sayılı Resmî Gazete’de yayımlanan Veri Sorumluları Sicili Hakkında Yönetmeliğin 4. maddesinin birinci fıkrasının (ç), (h) ve (p) bentleri aşağıdaki şekilde değiştirilmiştir.
“ç) İrtibat kişisi: Türkiye’de yerleşik olan gerçek ve tüzel kişiler için veri sorumlusu tarafından, Türkiye’de yerleşik olmayan gerçek ve tüzel kişiler için de veri sorumlusu temsilcisi tarafından, Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile iletişimi sağlamak amacıyla Sicile kayıt esnasında bildirilen gerçek kişiyi,”
“h) Kişisel veri işleme envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları ve hukuki sebebi, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresini, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri,”
“p) Veri sorumlusu temsilcisi: Türkiye’de yerleşik olmayan veri sorumlularını bu Yönetmeliğin 11 inci maddesinin üçüncü fıkrasında belirtilen konularda asgari temsile yetkili Türkiye’de yerleşik tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı gerçek kişiyi,”
Değişiklikten önce Veri Sorumluları Sicili Hakkında Yönetmeliğin 4. maddesinin birinci fıkrasının (ç), (h) ve (p) bentleri şu şekilde idi:
ç) İrtibat kişisi: Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişi veri sorumlusu temsilcisinin Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile kurulacak iletişim için veri sorumlusu tarafından Sicile kayıt esnasında bildirilen gerçek kişiyi,
h) Kişisel veri işleme envanteri: Veri sorumlularının iş süreçlerine bağlı olarak gerçekleştirmekte oldukları kişisel veri işleme faaliyetlerini; kişisel veri işleme amaçları, veri kategorisi, aktarılan alıcı grubu ve veri konusu kişi grubuyla ilişkilendirerek oluşturdukları ve kişisel verilerin işlendikleri amaçlar için gerekli olan azami süreyi, yabancı ülkelere aktarımı öngörülen kişisel verileri ve veri güvenliğine ilişkin alınan tedbirleri açıklayarak detaylandırdıkları envanteri,
p) Veri sorumlusu temsilcisi: Türkiye’de yerleşik olmayan veri sorumlularını bu Yönetmeliğin 11 inci maddesinin ikinci fıkrasında belirtilen konularda asgari temsile yetkili Türkiye’de yerleşik tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı gerçek kişiyi,
Değişiklik Yönetmeliğinin 2. maddesi ile Veri Sorumluları Sicili Hakkında Yönetmeliğin 5. maddesinin birinci fıkrasının (ç) ve (ğ) bentleri aşağıdaki şekilde değiştirilmiştir:
“ç) Sicile kayıtla yükümlü olan veri sorumluları, Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür. Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanır.”
“ğ) Veri sorumluları tarafından Sicile sunulan ve Sicilde yayınlanan kişisel verilerin işlendikleri amaç için gerekli olan azami muhafaza edilme süresi; Kanunun 7 nci maddesinde belirtilen veri sorumlularının silme, yok etme veya anonim hale getirme yükümlülüklerinin yerine getirilmesinde esas alınır.”
Değişiklikten önce Veri Sorumluları Sicili Hakkında Yönetmeliğin 5. maddesinin birinci fıkrasının (ç) ve (ğ) bentleri şu şekilde idi:
“ç) Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanır.
ğ) Veri sorumluları tarafından Sicile sunulan ve Sicilde yayınlanan kişisel verilerin işlendikleri amaç için gerekli olan azami süre; Kanunun 7 nci maddesinde belirtilen veri sorumlularının silme, yok etme veya anonim hale getirme yükümlülüklerinin yerine getirilmesinde esas alınır.”
Değişiklik Yönetmeliğinin 3. maddesi ile Veri Sorumluları Sicili Hakkında Yönetmeliğin 7. maddesinin ikinci fıkrasının (a) bendi aşağıdaki şekilde değiştirilmiştir:
“a) Veri sorumlusu, varsa veri sorumlusu temsilcisi, adresi ve alınmış olması halinde KEP adresi,”
Değişiklikten önce Veri Sorumluları Sicili Hakkında Yönetmeliğin 7. maddesinin ikinci fıkrasının (a) bendi şu şekilde idi:
“a) Veri sorumlusu, varsa veri sorumlusu temsilcisi ve irtibat kişisinin adı, adresi ve alınmış olması halinde KEP adresi,”
Değişiklik Yönetmeliğinin 4. maddesi ile Veri Sorumluları Sicili Hakkında Yönetmeliğin 11. maddesinin dördüncü ve beşinci fıkraları aşağıdaki şekilde değiştirilmiştir:
“(4) Türkiye’de yerleşik olan veri sorumluları ile Türkiye’de yerleşik olmayan veri sorumluları adına veri sorumlusu temsilcileri, Sicile kayıt sırasında irtibat kişisi bilgilerini Sicile işlerler. İrtibat kişisi veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir.
(5) Kamu kurum ve kuruluşlarında irtibat kişisi, koordinasyonu sağlayacak üst düzey yönetici tarafından Kurum ile iletişimi sağlamak amacıyla belirlenerek Sicile kaydı yapılan daire başkanı veya üstü yöneticidir.”
Değişiklikten önce Veri Sorumluları Sicili Hakkında Yönetmeliğin 11. maddesinin dördüncü ve beşinci fıkraları şu şekilde idi:
“(4) Türkiye’de yerleşik olan tüzel kişiler Sicile kayıt sırasında irtibat kişisi bilgilerini Sicile işlerler. İrtibat kişisi veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir. İrtibat kişisi, ilgili kişilerin veri sorumlusuna yönelteceği taleplerin cevaplandırılması konusunda iletişimi sağlar.
(5) Kamu kurum ve kuruluşlarında irtibat kişisi, üst düzey yönetici tarafından Kurum ile iletişimi sağlamak amacıyla belirlenerek Sicile kaydı yapılan daire başkanı veya üstü yöneticidir.”
Değişiklik Yönetmeliğinin 5. maddesi ile Veri Sorumluları Sicili Hakkında Yönetmeliğin 13. maddesi aşağıdaki şekilde değiştirilmiştir:
“ (1) Veri sorumluları, Sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen değişiklikleri, değişikliğin meydana geldiği tarihten itibaren yedi gün içerisinde VERBİS üzerinden Kuruma bildirir.”
Değişiklikten önce Veri Sorumluları Sicili Hakkında Yönetmeliğin 13. maddesi şu şekilde idi:
“ (1) Veri sorumluları, sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen değişiklikleri, VERBİS üzerinden yedi gün içerisinde Kuruma bildirir.”
Değişiklik Yönetmeliğinin 6. maddesi ile Veri Sorumluları Sicili Hakkında Yönetmeliğin 16. maddesinin birinci fıkrasına aşağıdaki bent eklenmiştir:
“ğ) Veri sorumlusunun yıllık çalışan sayısı veya yıllık mali bilanço toplamı bilgisi.”
Bilindiği üzere veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kayıt yükümlülüklerini yerine getirmek zorundadır. Ancak kayıt yükümlülüğünün istisnaları vardır. Anılan istisnalar Veri Sorumluları Sicili Hakkında Yönetmeliğin 15. ve 16. maddelerinde düzenlenmiştir. Yönetmeliğin “İstisna kriterleri” kenar başlıklı 16. maddesinde de Kurulun, 16. maddede gösterilen kriterleri göz önünde bulundurarak kayıt yükümlülüğüne istisna getirebileceği hüküm altına alınmıştır.
Değişiklik Yönetmeliği ile de Kurul’un kayıt yükümlülüğüne istisna getirebileceği kriterlere bir yenisi eklenmiştir. Buna göre Kurul “veri sorumlusunun yıllık çalışan sayısı veya yıllık mali bilanço toplamı bilgisini” göz önünde bulundurarak kayıt yükümlülüğüne istisna getirebilecektir.
