Kişisel Verilerin Korunması Kurulu, 2023 yılı için veri sorumlularının VERBİS'e kayıt ve bildirim yükümlülüklerinde dikkat etmeleri gereken yeni kriterler ve mali sınırları belirledi. Yıllık çalışan sayısı 50'den fazla olan veya mali bilançosu 100 Milyon TL üzeri olan kurumlar, VERBİS kaydı yapmakla yükümlü. Öte yandan yükümlülüklerini yerine getirmeyene para cezası kesilecek.
Kişisel Verilerin Korunması Kurulu tarafından yapılan açıklamaya göre, 2023 yılı itibarıyla yıllık çalışan sayısı 50'den fazla olan veya mali bilançosu 100 Milyon TL'yi aşan veri sorumluları, Kişisel Verileri Koruma Kanunu uyarınca Veri Sorumluları Sicili'ne (VERBİS) kaydolma ve gerekli bildirimleri yapma yükümlülüğü altına giriyor. Bu düzenleme, veri sorumlularının veri işleme faaliyetlerini daha şeffaf bir şekilde beyan etmelerini ve kişisel verilerin korunmasına yönelik önlemlerini artırmalarını hedefliyor.
Ayrıca, belirtilen kriterleri karşılamayan ve yükümlülüklerini yerine getirmeyen kurumlar için idari para cezaları uygulanacağı duyuruldu. Bu gelişme, veri sorumlularının kişisel verilerin korunması konusunda daha dikkatli olmalarını ve gerekli önlemleri zamanında almalarını gerektiriyor.
Konuyla ilgili bilgi veren Avukat Adem Akkır ve Avukat Nujen Tuncer iş dünyası ile ilgili önemli uyarılarda bulundu:
2023 yılı Kurumlar ve Gelir Vergisi Beyannamelerinin verilmesi için süreler yaklaşırken, Kişisel Verilerin Korunması Kurulu tarafından belirlenen kriterleri karşılayan veri sorumluları için de VERBİS (Veri Sorumluları Sicili) kayıt ve bildirim yükümlülüğü doğacaktır.
VERBİS, veri sorumlularının Kişisel Verileri Koruma Kanunu uyarınca kaydolmak zorunda olduğu ve veri işleme faaliyetlerine ilişkin bilgileri beyan etmeleri gereken kayıt sistemi olup, veri sorumluları Kurul tarafından öngörülen kriterleri karşıladıkları takdirde veri sorumlusu olarak tespit edilmelerini takibe 30 gün içerisinde sisteme kaydolmalıdır.
Bu kriterlerden ilki; yıllık çalışan sayısının 50’den fazla olmasıdır. Yıllık çalışan sayısı hesaplanırken, tamamlanmış bir yıl esas alınır. Yani 2024 yılı başlangıcında veri sorumlularının 2023 yılı boyunca 12 ayın en az 7 ayında istihdam ettiği çalışan sayısının 50’den fazla olup olmadığı araştırılır.
7 ayın ardı ardına yedi ay olması gerekmemektedir. 12 ay içerisinde ardışık olmasa da minimum 7 ay 50 kişi üzerinde personel istihdam eden veri sorumluları, sicile kayıtla yükümlü hale gelir.
Bu kriterlerden ikincisi ise mali kriterdir. Mali kriterde yıllık mali bilanço incelemesi yapılmaktadır. Yıllık mali bilanço parasal sınırı olarak 25 Milyon TL minimum tutar belirlenmişken 2023 yılında Kişisel Verileri Koruma Kurulu tarafından yayımlanan karar ile bu tutar 100 Milyon TL’ye yükseltilmiştir.
Bu kararla beraber artık, yıllık mali bilançosu 100 Milyon TL’nin üzerinde olan veri sorumluları, sicile kaydolmakla yükümlü hale gelecektir.
Burada da çalışan hesabında olduğu gibi tamamlanmış bir yıl olması gerekmekte olup veri sorumlusunun tamamlanmış bir yıl için veri sorumlusunun tarafından gelir veya kurumlar vergisi beyannamesi ekindeki mali tablolarda yer alan mali bilanço bilgisi dikkate alınacaktır.
100 milyon TL hesabında; bu tabloda yer alan aktif ve pasifler birlikte değerlendirmeye alınacaktır.
Ancak önemle belirtmek gerekir ki hesaplama, ciro yahut da hasılat bilgisi üzerinden yapılmayacaktır.
Yani 2023 yılı bildirimleriyle birlikte bu mali kriteri sağlayan veri sorumlusu da sicile kayıtla yükümlü hale gelmiş olacaktır.
Maddi kriterler bu şekilde olmakla beraber; yeni kurulmuş olmakla beraber ana faaliyet konusu kişilerin ırkı, etnik kökeni, dini, dernek, vakıf üyeliği, sağlığı, ceza mahkûmiyeti verileri ile biyometrik ve genetik veriler gibi özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişiler dönem fark etmeksizin VERBİS’e kayıtla yükümlüdür.
Faaliyet alanı bu kapsamda veri işlemeye dahil olan veri sorumluları, Kurum tarafından veri sorumlularının ticaret sicil kaydında veya vergi levhasında yer alan faaliyet kodları göz önünde bulundurularak tespit edilir. Örneğin bir özel sağlık kuruluşu, her halükarda veri sorumlusu konumunda olup sicile kayıtla yükümlüdür.
Öte yandan kurum birtakım veri sorumlularını, objektif bazı kriterleri göz önüne alarak VERBİS kaydı istisnası kapsamına almıştır. Veri kayıt sistemi parça olmak kaydıyla yalnızca otomatik olmayan yollarla veri işleyen veri sorumluları, Noterler, Siyasi Partiler, Avukatlar, Gümrük Müşavirleri, Arabulucular, SMMM ve YMM’ler istisna kapsamına alınmış olup VERBİS’e kayıt yükümlülükleri bulunmamaktadır.
VERBİS kayıtlarını süresi içerisinde yerine getirmemiş ve 2024 itibariyle 2023 yılı bakımından gerçekleştirdiği faaliyetler kapsamında yükümlü hale gelen veri sorumlularının sicile kaydolmaması halinde Kurul tarafından idari para cezası uygulanacaktır. 2024 yılı için cezalar yeniden değerleme oranları tutarında artırılmış olup VERBİS’e kayıt yükümlülüğünü yerine getirmemiş, getirmeyen veri sorumlusu alt sınırı 189.245 TL olmak üzere üst sınırı 9.463.213 TL’ye kadar idari para cezasıyla cezalandırılacaktır. Bu cezalar şirketin hacmine göre belirlenecektir.
Ceza riski yüksek olan ve Kişisel Verileri Koruma Kurumunca denetime ve kurula şikayete tabi bu uygulamaya riayet etmeyen veri sorumlularının bir an önce tedbirlerini alması, bildirim yükümlülüğünü yerine getirmesi önemlidir.
VERBİS’e kaydolurken veri sorumlusu kişilerce hazırlanan envanter sicile kaydedilmekte olup bu envanter kişisel verileri değil, işlenen veri kategorilerini, veri işleme amacını ve hukuki sebebini, aktarım yerleri ve aktarım amaçlarını, ilgili kişi grupları, verilerin azami muhafaza süresini ve veri işleme faaliyetine dair alınan teknik ve idari tedbirleri gösterir. Yani VERBİS’e kayıtla yükümlü veri sorumlularının tamamının, envanter hazırlama yükümlülüğü de bulunmaktadır.
Bu kapsamda Veri Sorumluları, kuruma da bildireceği bir sorumlu belirlemeli, kişisel verilerin korunması ve kayıtların tutulması adına bünyesinde bir ekip görevlendirmeli yahut da oluşturmalıdır. Kurum bu kapsamda veri sorumlusu tüzel kişiler için personelin bilinçlendirilmiş olmasını da bir zorunluluk olmamakla beraber kriter olarak benimsemiş olup, şirket personeline genel anlamda kişisel verilerin korunmasına ilişkin mevzuat ve uygulamalar dahilinde eğitim verilmesini de tavsiye etmektedir.
Verbis kayıtlarının ihmal edilmemesi, veri işleme faaliyetlerine yönelik önlemlerin eksiksiz yerine getirilmesi, veri sorumlularının olası zararlarını minimum seviyeye indirebilmesi açısından oldukça önemlidir. Bu kapsamda yalnızca idari para cezası riski dışında, veri ihlali yahut da veri sızıntısı halinde maddi kayıpların yanında itibar kaybı da risk teşkil etmektedir.
Verbis’e kayıt, kişisel verilerin korunması kapsamında bir proje düzenlemeyi doğal olarak beraberinde getirmektedir ki bu da olası risklerin tespiti ve önlemlerin alınması ile sonuçlanacak ve doğabilecek zararların bertaraf edilmesini yahut da minimize edilmesine yardımcı olacaktır.