Veri Sorumluları Sicili Hakkında Yönetmelik, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun öngördüğü sicile kayıt yükümlülüğünün kimler için doğduğunu ve nasıl yerine getirileceğini düzenler. Bir işletmenin KVKK uyumunda ilk somut adımı çoğu zaman bu kayıttır.
Kimler Kayıt Olmak Zorunda?
Kanun, kişisel veri işleyen veri sorumluları için sicile kayıt yükümlülüğü öngörür; Kurul ise bazı veri sorumlularını belirlediği ölçütlere göre bu yükümlülükten muaf tutabilir. Muafiyet ölçütleri çalışan sayısı, yıllık mali bilanço ve faaliyet konusu gibi kriterlere dayandığından, bugün muaf olan bir işletme büyüdüğünde yükümlü hale gelebilir. Bu nedenle muafiyet, bir kez kontrol edilip unutulacak bir durum değildir.
Kayıt Ne Anlama Gelir?
Sicile kayıt, teknik bir formalite değildir. Kayıt sırasında bildirilen bilgiler işletmenin veri işleme faaliyetinin resmî beyanıdır:
- İşlenen kişisel veri kategorileri
- Veri konusu kişi grupları
- İşleme amaçları ve hukuki sebepler
- Aktarılan alıcı grupları ve varsa yurt dışına aktarım
- Azami saklama süreleri
Bu beyan ile fiilen yürütülen faaliyet arasındaki uyumsuzluk, bir şikâyet veya denetimde doğrudan aleyhe delil oluşturur.
Kişisel Veri İşleme Envanteri
Sicil bildirimi, kişisel veri işleme envanterine dayanır. Envanter olmadan yapılan kayıt genellikle eksik veya gerçeği yansıtmayan bir tabloya yol açar. Envanter hazırlanırken İK, muhasebe, pazarlama, bilgi işlem ve güvenlik kamerası gibi tüm süreçlerin ayrı ayrı taranması gerekir; uygulamada en çok atlanan alanlar aday başvuruları, ziyaretçi kayıtları ve destek hizmeti alınan üçüncü taraflardır.
Yükümlülüğün İhlali
Sicile kayıt ve bildirim yükümlülüğüne aykırılık KVKK kapsamında idari para cezası yaptırımına bağlanmıştır. Ceza kararına karşı itiraz yolu açıktır; ancak savunmanın gücü, kayıt tarihindeki belgelerin varlığına bağlıdır. Envanterin sürüm tarihleriyle saklanması, aydınlatma metinlerinin güncellenme kayıtlarının tutulması ve veri işleyenlerle imzalanan sözleşmelerin arşivlenmesi, sonraki bir denetimde gerçek koruma sağlayan unsurlardır.
Buradaki açıklamalar genel bilgilendirme amacı taşır. Muafiyet ölçütleri ve bildirim süreleri Kurul kararlarıyla güncellenebildiğinden, işletmenizin durumunun yürürlükteki düzenlemeler ışığında ayrıca değerlendirilmesi gerekir.