Kişisel Verileri Koruma Kurulu’nun 22.04.2020 Tarih ve 2020/315 Sayılı Kararının Değerlendirilmesi
7 Nisan 2016 tarih ve 29677 sayılı Resmi Gazetede yayımlanarak yürürlüğe giren 6698 sayılı Kişisel Verilerin Korunması Kanunu ile birlikte kişisel verileri işleyen veri sorumlularına başta sicile kayıt zorunluluğu olmak üzere bir takım yükümlülükler getirilmiştir. Sicile kayıt yükümlülüğü ile kurum kuruluş ve topluklarının topladıkları kişisel verileri ne amaç ile kullandıklarının kayıt altına alınması, kişisel verileri kullanabilmede sınırların belirlenmesi ve veri toplama ve işleme faaliyetinde keyfiliğin önüne geçilmesi amaçlanmaktadır.
Yukarıda belirtildiği üzere; veri sorumlularının, Kurulun gözetiminde Başkanlık tarafından tutulmakta olan Veri Sorumluları Siciline kaydolmaları zorunludur. Bununla birlikte 6698 sayılı Kişisel Verilerin Korunması Kanununun (6698 sayılı Kanun) 16’ncı maddesinin ikinci fıkrasında yer alan “Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.” hükmü ile Kişisel Verileri Koruma Kurulu’na anılan bu zorunluluğa ilişkin istisna getirebilme yetkisi verilmiştir.
İnceleme Konusu Karar
Kurulun açıklanan bu yetki kapsamında 22.04.2020 tarihli ve 2020/315 sayılı kararında yer alan ifade ile ;
“6698 sayılı Kanunun 16 ncı maddesi gereği Sicile kayıt yükümlülüğüne istisna getirilen 02.04.2018 tarihli ve 2018/32 sayılı Kurul kararının 3 üncü maddesinde yer alan dernek, vakıf ve sendikalarla ilgili istisna hususundaki başvurular üzerine Kurul tarafından yapılan değerlendirme sonucunda;
• Sicile kayıt yükümlülüğüne istisna getirilen 02.04.2018 tarihli ve 2018/32 sayılı Kurul kararının 3 üncü maddesinde yer alan “04/11/2004 tarihli ve 5253 sayılı Dernekler Kanununa göre kurulmuş derneklerden, 20/02/2008 tarihli ve 5737 sayılı Vakıflar Kanununa göre kurulmuş vakıflardan ve 18/10/2012 tarihli 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanununa göre kurulmuş sendikalardan yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler.” ifadesinin “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar” olarak değiştirilmesinin kabulüne “ oybirliği ile karar verildiği açıklanmıştır.
Kararda belirtildiği üzere; istisna kapsamında ki dernek, vakıf ve sendikalar eski düzenlemede; “faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler” olarak yer almakta iken “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar” olarak değiştirilmiştir.
Değerlendirme
Karardan anlaşılacağı üzere Kurul’un yayımlamış olduğu istisnalar kapsamında kalan dernek, vakıf ya da sendikaların VERBİS’e kayıt yükümlülüğünden istisna kapsamında değerlendirilmemeleri için üç şartın bir arada olma zorunluluğu düzenlenmektedir. Bunlar ilgili kurumların Türkiye’de yerleşik olmaları, işledikleri kişisel verinin bu tüzel kişilerin ilgili mevzuatı ve amaçlarına uygun olması ve veri işlerken kendi faaliyet alanları ile sınırlı kalmalarıdır. Ancak bu üç şartın bir arada gerçekleşmesi halinde bu kurumlar sicile kayıttan müstesna tutulabileceklerdir.
Detaylı incelemeye başladığımızda eski düzenlemede yer alan “sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik” ibaresinin düzenleme kapsamından çıkarıldığını görmekteyiz. Bu düzenleme ile birlikte, ilgili kurumların, sayılan kişi gurupları haricindeki kimseler nezdinde veri işleme faaliyetinde bulunmaları durumunda VERBİS’e kayıt yükümlülüğünden istisna kapsamında oldukları anlaşılmaktadır. Örnek vermek gerekirse bir derneğin, üyesi olmayan öğrencilere burs verdiği ve bu öğrencilere ait kişisel verileri topladığı varsayılırsa ve burs verilmesinin derneğin faaliyet alanına ilişkin, mevzuatına ve amaçlarına uygun bir faaliyet olduğu değerlendirmesi yapıldığında artık bu derneğin 3. Kişilerden toplamış olduğu bilgiler için VERBİS’e kayıt yükümlülüğü bulunmayacaktır.
Ancak burada önemle belirtmemiz gerekir ki “faaliyet alanlarıyla sınırlı olmak üzere” ifadesi yeni düzenlemede de aynı şekilde kalmaya devam etmektedir. Bu yüzden hangi işlerin faaliyet alanına dahil olduğu değerlendirmesinin vakıf, dernek ve sendikalar açısından çok iyi yapılması gerekmektedir. Çünkü vakıf, dernek ve sendikalar mevzuat ve amaçlarına uygun olmayan ve faaliyet alanlarına girmeyen konularda kişisel veri işleme faaliyetlerinde bulunmaları halinde VERBİS’e kayıt yükümlülükleri geçerliliğini korumaya devam edebilecektir. Bahsedilen istisnalar kapsamı dışında veri işlenme faaliyetinde bulunulması durumunda sicile kayıt yükümlülüğün akıbeti hakkındaki husus halen yoruma ve tartışmaya açık kalmıştır.
Son olarak yeni düzenlemede yer alan “Türkiye’de yerleşik” ibaresi ile Türkiye’de yerleşik olmayan vakıf, dernek ve sendikaların istisna kapsamında olmadığı ve VERBİS’e kayıt yükümlülüğünün bulunduğu hususu netleşmiştir.
Sonuç
Kurulun bu düzenleme ile birlikte dernek, vakıf ve sendikalar için getirilen VERBIS kayıt muafiyetinin kapsamını genişletmiştir. Buna göre Kanun ve yönetmeliklere uygun olarak kurulmuş dernek vakıf ve sendikaların, Veri Sorumluları Sicili’ne kayıt yükümlülüğünden istisna olabilmesi için; bu kurumların Türkiye’de yerleşik olması ve işledikleri kişisel verilerin mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olması gerekmektedir.