Kişisel Verilerin Korunması Kanunu hükümlerine göre, kişisel verileri işleyen gerçek ve tüzel kişiler, veri işleme faaliyetinde bulunmadan önce Kişisel Verileri Koruma Kurulu tarafından tutulan Veri Sorumluları Siciline kaydolmak zorundadır. Kişisel Verileri Koruma Kurulu kararları uyarınca, veri sorumluları, öncelikle gerekli idari ve teknik tedbirleri alarak veri güvenliğine ilişkin yükümlülüklerini yerine getirmeli ve daha sonrasında sicile kaydolmalıdır. Nitekim bu doğrultuda, Kişisel Verileri Koruma Kurulu tarafından veri sorumlularına belirli süreler verilmiş ve sicile kayıt için son tarihler belirlenmiştir.
Kişisel Verileri Koruma Kurulu tarafından; kişisel verinin niteliği, sayısı, işlenme amacı, işlendiği faaliyet alanı, üçüncü kişilere aktarım durumu, muhafaza edilme süresi, veri konusu kişi grubu veya veri kategorileri ve kişisel veri işleme faaliyetinin kanunlardan kaynaklanması durumu dikkate alınarak, sicile kayıt yükümlülüğüne istisna getirilebilmektedir. Nitekim, Kişisel Verileri Koruma Kurulu kararları neticesinde, herhangi bir veri sisteminin parçası olmamak kaydıyla yalnızca otomatik olmayan yollarla kişisel verileri işleyenler; noterler, dernekler, vakıflar, sendikalar, siyasi partiler, avukatlar, mali müşavirler, gümrük müşavirleri, arabulucular ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmamak kaydıyla yıllık çalışan sayısı 50’den az ve yıllık bilanço toplamı 25 milyon Türk lirasından az olan veri sorumluları için sicile kayıt istisnası getirilmiştir.
Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca ise, kamu tüzel kişileri dâhil olmak üzere, Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişiler, Veri Sorumluları Siciline kaydolurken bir irtibat kişisi bildirmekle yükümlüdür. Bu yazımızda, tüzel kişilerin sicile kayıt esnasında bildirmekle yükümlü oldukları irtibat kişisini tanımlayacak ve irtibat kişisinin görev ve yükümlülüklerinden bahsedeceğiz.
İrtibat Kişisi
30 Aralık 2017 tarihinde Resmî Gazetede yayımlanan Veri Sorumluları Sicili Hakkında Yönetmelik kapsamında irtibat kişisi, Türkiye’de yerleşik olan tüzel kişiler ile Türkiye’de yerleşik olmayan tüzel kişi veri sorumlusu temsilcisinin Kişisel Verilerin Korunması Kanunu ve bu kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kişisel Verileri Koruma Kurumu ile kurulacak iletişim için veri sorumlusu tarafından Veri Sorumluları Siciline kayıt esnasında bildirilen gerçek kişi olarak tanımlanmaktadır.
İrtibat kişisi, Türkiye’de yerleşik ve Türkiye Cumhuriyeti vatandaşı bir gerçek kişi olmak zorundadır. Ayrıca, bir kişi yalnızca bir veri sorumlusunun irtibat kişisi olarak belirlenebilir. Bununla birlikte, Kişisel Verileri Koruma Kurulunun 16 Temmuz 2020 tarihli ve 2020/542 sayılı kararına göre, bir gerçek kişi, yurt dışında yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanabilecektir. Kararın gerekçesi olarak, Türkiye’de yerleşik olmayan veri sorumluları adına, ilgili kişiler ve Kişisel Verileri Koruma Kurulu ile iletişimi sağlayacak asıl muhatabın veri sorumlusu temsilcisi olması ve irtibat kişisinin VERBİS işlemlerinin gerçekleştirilmesinden yükümlü olması gösterilmiştir. Ayrıca, ilgili kararda, veri sorumlusu temsilcisi ve irtibat kişisi olabilmek için kişisel verilerin korunması alanında uzmanlaşmanın gerekli olması ve yurt dışında yerleşik veri sorumluları için irtibat kişisi atamanın zorluğu dikkate alınmıştır.
Gerçek kişiler irtibat kişisi bildirmekle yükümlü değildir. Tüzel kişiler ise, Veri Sorumluları Siciline yaptıkları başvuru sırasında, irtibat kişilerinin kimlik ve adres bilgileri ile Kişisel Verileri Koruma Kurulu tarafından belirlenecek başvuru formunda yer alan bilgileri bildirmekle yükümlüdür. İrtibat kişisi, adres bilgisi olarak ikametgâh adresini bildirmek zorunda değildir ve adres bilgisi olarak veri sorumlusunun iş yeri adresi gösterilebilir.
İrtibat kişisi, veri sorumlusunun çalışanı olmak zorunda değildir. Bununla birlikte, ilgili kişiler ve Kişisel Verilerin Korunması Kurumu ile olan iletişimin eksiksiz ve doğru bir şekilde sağlanabilmesi için, irtibat kişisi, veri sorumlusunun veri işleme sistemi ile ilgili bilgilere yeterince hâkim olmalıdır. İrtibat kişisi, veri sorumlusu tarafından gerekli görüldüğü takdirde, VERBİS üzerinden değiştirilebilmektedir.
Kamu kurum ve kuruluşlarının irtibat kişisinin belirlenmesi ile ilgili olarak Veri Sorumluları Sicili Hakkında Yönetmelik kapsamında ayrı bir hüküm yer almaktadır. Buna göre, kamu kurum ve kuruluşlarının irtibat kişisi, üst düzey yönetici tarafından Kişisel Verileri Koruma Kurumu ile iletişimi sağlamak amacıyla belirlenerek Veri Sorumluları Siciline kaydı yapılan daire başkanı veya üstü yöneticidir.
İrtibat Kişisinin Görev ve Yükümlülükleri
İrtibat kişisi, iletişim noktası olarak ilgili kişilerin veri sorumlusuna yönelteceği taleplerin cevaplandırılmasını sağlamakla yükümlüdür. Ayrıca, irtibat kişisinin veri sorumlusunun Kişisel Verilerin Korunması Kanunu ve bu kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, veri sorumlusu ile Kişisel Verileri Koruma Kurumu arasında kurulacak iletişimi sağlama görevi bulunmaktadır. Bununla birlikte, irtibat kişisi, veri sorumlusunu Kanun ve Yönetmelik hükümlerine göre temsile yetkili değildir. Dolayısıyla, irtibat kişisi Kişisel Verileri Koruma Kurumu veya ilgili kişilerden gelen taleplerin iletileceği; fakat bu taleplerle ilgili olarak veri sorumlusu adına işlem yapma, talepleri değerlendirme ya da taleplere cevap verme yetkisine sahip değildir.
İrtibat kişisinin atanması ve VERBİS aracılığı ile bildirilmesi, veri sorumlusunun yükümlülüklerini ortadan kaldırmayacaktır. İrtibat kişisi, veri sorumlusunu temsil etme yetkisine sahip olmadığı için, irtibat kişisinin Kişisel Verileri Koruma Kurumuna ya da ilgili kişilere karşı asli bir sorumluluğu bulunmamaktadır. Bu sorumluluk, tüzel kişiliğe sahip veri sorumlusuna aittir. Bununla birlikte, irtibat kişisi, kendi kusuru sebebiyle, Kişisel Verileri Koruma Kurumuna ya da ilgili kişilere karşı yükümlülüklerini yerine getirmezse ve bu yükümlülüklerin yerine getirilmemesi sebebiyle veri sorumlusu, idari para cezası veya tazminat ödemekle yükümlü olursa, veri sorumlusu irtibat kişisine kusuru oranında rücu edebilecektir.
