Haber Sitesi VERBİS'e Kayıt Olmalı mı?

Dayanak: 6698 m.16 ne diyor?

m.16/1 — “Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur.” Sicilin kamuya açık olması önemlidir: kaydınızdaki bilgiler üçüncü kişilerce görülebilir. Asıl yükümlülük ise ikinci fıkradadır. m.16/2 — “Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.” İki noktanın altını çizin: yükümlülük veri işlemeye başlamadan önce doğar, sonradan değil; ve istisnayı kanun koyucu değil, Kurul getirir.

Kayıt başvurusunda bildirilecek bilgiler (m.16/3)

• a) Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri.
• b) Kişisel verilerin hangi amaçla işleneceği.
• c) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar.
• ç) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları.
• d) Yabancı ülkelere aktarımı öngörülen kişisel veriler.
• e) Kişisel veri güvenliğine ilişkin alınan tedbirler.
• f) Kişisel verilerin işlendikleri amaç için gerekli olan azami süre.

m.16/4 — “Üçüncü fıkra uyarınca verilen bilgilerde meydana gelen değişiklikler derhâl Başkanlığa bildirilir.” Yönetmelik bu “derhâl”i somutlaştırır; aşağıdaki süre tablosuna bakın.

Kim veri sorumlusudur?

Kanun m.3/1-(ı): “Veri sorumlusu: Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi” ifade eder. Haber sitesini işleten şirket ya da gerçek kişi bu tanımın içindedir. Hosting sağlayıcısı, CDN, e-posta bülten servisi ve analitik sağlayıcı ise tipik olarak m.3/1-(ğ) anlamında veri işleyendir — ancak m.12/2 uyarınca güvenlik tedbirlerinin alınmasında sorumluluk müşterektir.

Yönetmelik m.5/1-(a): “Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kaydolmak zorundadır.” m.5/1-(b): “Türkiye'de yerleşik olmayan veri sorumluları, veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle Sicile kaydolmak zorundadır.” Yurt dışında kurulu ama Türkiye'ye yönelik yayın yapan bir site, yükümlülük doğduğunda temsilci üzerinden kaydolur; kuruluş yerinin yurt dışı olması tek başına muafiyet doğurmaz.

Muafiyet eşiği: kanunda ve yönetmelikte rakam yoktur

Piyasada dolaşan “şu kadar çalışanın altındaysan VERBİS'e girmene gerek yok” tarzı cümlelerin kanuni karşılığını arayan herkesin bilmesi gereken şey şudur: ne 6698'de ne de Veri Sorumluları Sicili Hakkında Yönetmelik'te tek bir sayısal eşik yer alır. Yönetmelik yalnızca Kurulun hangi kriterlere bakacağını sayar.

Yönetmelik m.16/1 “İstisna kriterleri” — “Kurul, aşağıdaki kriterleri göz önünde bulundurarak kayıt yükümlülüğüne istisna getirebilir:”

• a) Kişisel verinin niteliği.
• b) Kişisel verinin sayısı.
• c) Kişisel verinin işlenme amacı.
• ç) Kişisel verinin işlendiği faaliyet alanı.
• d) Kişisel verinin üçüncü kişilere aktarılma durumu.
• e) Kişisel veri işleme faaliyetinin kanunlardan kaynaklanması.
• f) Kişisel verilerin muhafaza edilmesi süresi.
• g) Veri konusu kişi grubu veya veri kategorileri.
• ğ) (Ek: RG-28/4/2019-30758) Veri sorumlusunun yıllık çalışan sayısı veya yıllık mali bilanço toplamı bilgisi.

Görüldüğü gibi (ğ) bendi “yıllık çalışan sayısı” ve “yıllık mali bilanço toplamı”nı yalnızca bakılacak kriter olarak sayar; hiçbir rakam vermez. Rakamı belirleme yetkisi m.16/2 ile Kurula bırakılmıştır: “Kurul, birinci fıkrada sayılan kriterler çerçevesinde belirlenen istisnaların kapsamı ile uygulama usul ve esaslarını belirlemek amacıyla karar alma yetkisini haizdir. Kurul bu kararlarını uygun yöntemlerle yayımlayarak kamuya duyurur.”

Faaliyet bazlı istisnalar — Yönetmelik m.15

Sayısal eşikten ayrı olarak, bazı faaliyetler için Sicile kayıt ve bildirim yükümlülüğü yoktur. Yönetmelik m.15: “Aşağıda belirtilen kişisel veri işleme faaliyetleri bakımından veri sorumlusunun bu faaliyetleri Sicile kayıt etmesi ve bildirmesi yükümlülüğü yoktur:”

• a) Kişisel veri işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması.
• b) İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.
• c) Kişisel veri işlemenin kanunun verdiği yetkiye dayanılarak görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca, denetleme veya düzenleme görevlerinin yürütülmesi ile disiplin soruşturma veya kovuşturması için gerekli olması.
• ç) Kişisel veri işlemenin bütçe, vergi ve mali konulara ilişkin olarak Devletin ekonomik ve mali çıkarlarının korunması için gerekli olması.

Bu bentler Kanun m.28/2'nin bentleriyle birebir aynıdır. Kritik nokta: bunlar faaliyet bazlı istisnalardır, veri sorumlusunu toptan muaf kılmazlar. Haber sitesi için pratikte işleyen bent (b)'dir — kişinin kendi alenileştirdiği veri. Yorum sisteminde toplanan e-posta adresi ya da abone listesi bu bendin kapsamında değildir.

Yayın faaliyeti muaf, peki gerisi?

Haber içeriğindeki kişisel veri işlemesi 6698 m.28/1-(c) kapsamında değerlendirilir; bu bendin şartları sağlandığında Kanunun tamamı — m.16 VERBİS dâhil — uygulanmaz. Ancak bu tam muafiyetin sekiz ayrı kaydı vardır ve yalnızca yayın faaliyetini kapsar; konuyu ayrıntılı olarak gazetecilik faaliyetinin KVKK istisnası yazısında ele aldık. Oysa bir haber sitesi yalnızca haber yayımlamaz: aynı tüzel kişi eş zamanlı olarak abone kaydeder, bülten gönderir, yorum toplar, muhabir çalıştırır, reklam ve analitik altyapısı işletir. Bu faaliyetlerin hiçbiri m.28/1-(c) kapsamında değildir.

Yönetmelik m.5/1-(f) bu ayrımı açıkça pekiştirir: “Kanunun 28 inci maddesinde belirtilen durumlar saklı kalmak kaydıyla Yönetmeliğin 16 ncı maddesinde belirtilen objektif kriterlere dayalı olarak belirli şartları taşıyan veri sorumlularının Kurul tarafından Sicile kayıtla yükümlü tutulmaması; bu veri sorumlularının Kanun kapsamındaki yükümlülüklerini ortadan kaldırmaz.”

Süreler: ne zaman kaydolunur, değişiklik kaç günde bildirilir?

Yönetmelik m.8/1: “Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kayıt yükümlülüklerini yerine getirmek zorundadır.” m.8/2: “Kayıt yükümlülüğü altında bulunmayan, sonradan kayıt yükümlüsü haline gelen veri sorumluları, yükümlülük altına girmelerini müteakip otuz gün içerisinde Sicile kaydolurlar.” m.8/3 uyarınca fiili, teknik ya da hukuki imkânsızlık hâlinde bu imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içerisinde Kuruma yazılı başvurularak ek süre talep edilebilir; Kurum bir defaya mahsus ve her hâlde otuz günü geçmemek üzere ek süre verebilir.

m.13 (Değişik: RG-28/4/2019-30758): “Veri sorumluları, Sicilde kayıtlı bilgilerde değişiklik olması halinde meydana gelen değişiklikleri, değişikliğin meydana geldiği tarihten itibaren yedi gün içerisinde VERBİS üzerinden Kuruma bildirir.”

Kayıtla birlikte gelen iki yükümlülük: envanter ve imha politikası

Kayıt tek başına yeterli değildir. Yönetmelik m.5/1-(ç): “Sicile kayıtla yükümlü olan veri sorumluları, Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür. Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanır.” Yani envanter, kaydın önkoşuludur; VERBİS ekranını doldururken üretilen bir yan çıktı değildir.

İkincisi imha politikasıdır. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik m.5/1: “Kanunun 16 ncı maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür.” Aynı maddenin üçüncü fıkrası, politika hazırlamakla yükümlü olmayanların imha yükümlülüğünün yine de devam ettiğini söyler.

Politikanın periyodik imha aralığı, Silme Yönetmeliği m.11/2 uyarınca her hâlde altı ayı geçemez. Politika hazırlamakla yükümlü olmayan veri sorumlusu ise m.11/3 uyarınca yükümlülüğün doğduğu tarihi takip eden üç ay içinde siler, yok eder veya anonim hâle getirir. İmha işlem kayıtları m.7/3 gereği en az üç yıl saklanır.

Kayıt yaptırmamanın yaptırımı

6698 m.18/1-(ç): “16 ncı maddesinde öngörülen Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar” idari para cezası verilir. Yönetmelik m.17/1 de doğrudan bu bende atıf yapar.

7499 sayılı Kanunla değişik m.18/2 uyarınca bu ceza veri sorumlusu hakkında uygulanır. Yeni eklenen m.18/3 ise kanun yolunu netleştirmiştir: “Kurulca verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.”

Pratik yol haritası

Aşağıdaki sıralamayı kendi kurumunuzda uygulayın. Yayın faaliyeti ile diğer faaliyetleri ilk adımda ayırmak, sonraki her adımı kolaylaştırır.

VERBİS ÖN DEĞERLENDİRME — HABER SİTESİ

1. FAALİYET AYRIŞTIRMASI
   [ ] Yayın/haber içeriği ................. m.28/1-c değerlendirmesi
   [ ] Üyelik / abonelik .................. Kanunun tamamı
   [ ] Bülten listesi ..................... 6698 + 6563
   [ ] Yorum sistemi + IP kaydı ........... Kanunun tamamı
   [ ] Çalışan / muhabir özlük ............ Kanunun tamamı
   [ ] Reklam, analitik, ölçümleme ........ Kanunun tamamı
   [ ] İletişim / künye formları .......... Kanunun tamamı

2. ENVANTER (Yön. m.5/1-ç)
   Her faaliyet için:
   - veri kategorisi     : ...........................
   - veri konusu grup    : ...........................
   - işleme amacı        : ...........................
   - hukuki sebep        : 6698 m.5/2-(...) veya açık rıza
   - aktarılan alıcı     : ...........................
   - yurt dışı aktarım   : var / yok
   - azami saklama süresi: ....... ay/yıl
   - alınan tedbirler    : ...........................

3. KAYIT YÜKÜMLÜLÜĞÜ KONTROLÜ
   [ ] Faaliyet Yön. m.15'teki dört bentten birine giriyor mu?
   [ ] Kurulun yürürlükteki istisna kararı kapsamında mıyım?
       (Eşikler kanunda yok — güncel Kurul kararından teyit et)

4. KAYIT SONRASI
   [ ] Saklama ve imha politikası hazırlandı (Silme Yön. m.5)
   [ ] Periyodik imha aralığı belirlendi (azami 6 ay — m.11/2)
   [ ] Aydınlatma metinleri her forma yerleştirildi (m.10)
   [ ] Başvuru kanalı açıldı, 30 günlük cevap akışı kuruldu (m.13/2)
   [ ] Değişiklik bildirimi için 7 günlük iç uyarı kuruldu (Yön. m.13)

Bu envanter çalışmasının çıktıları, sitedeki okur verisi aydınlatma metninin içeriğini de doğrudan besler; iki belgeyi ayrı ayrı değil tek bir veri haritasından türetin. Aynı harita bir sızıntı hâlinde kişisel veri ihlali bildiriminde kapsamı dakikalar içinde belirlemenizi sağlar. VERBİS kaydı bunların yanında yalnızca bir kalemdir; künye, sorumlu müdür bildirimi ve içerik saklama gibi başlıklarla birlikte internet haber sitesi yasal uyum kontrol listesi üzerinden bütünsel takip edin. Bülten gönderiyorsanız bülten için izin şartını ayrıca değerlendirin.