11 Ekim 2019
Kişisel Verileri Koruma Kurulu’nun (“Kurul”) 23/07/2019 tarih ve 2019/225 sayılı “Yurtdışında Yerleşik Tüzel Kişilerin Türkiye’deki Şubeleri ile İrtibat Bürolarının Sicile Kayıt Yükümlülüğü Hakkındaki Görüş Talebi ile ilgili Kararı1”nda (“Karar”) yurtdışında yerleşik tüzel kişilerin ve bunların Türkiye’de yer alan şube ve irtibat bürolarının Veri Sorumluları Sicil Bilgi Sistemi’ne (“VERBİS”) kayıt zorunluluğuna ilişkin esaslar belirtilmiştir.
Karar’da yurtdışında yerleşik tüzel kişilerin ve bunların Türkiye’deki şubeleri ile irtibat bürolarının VERBİS’e kayıt zorunluluğu ayrı ayrı değerlendirilmiş olup, Karara ilişkin kısa notumuzu ve bu kapsamda alınması gerekecek aksiyonları aşağıda bulabilirsiniz.
Bilindiği üzere 6698 sayılı Kişisel Verilerin Korunması Kanuna (“KVKK”) kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen ve veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiler (“Veri Sorumlusu”) VERBİS’e kayıt olmakla yükümlüdür.
Bu doğrultuda Türkiye’de doğrudan veya şubeleri aracılığıyla (şubelerin kişisel veri işleme amaçlarını ve vasıtalarını kendi takdirleriyle belirlemediği hallerde) kişisel veri işleme faaliyetinde bulunan yurt dışında yerleşik Veri Sorumlularının VERBİS’e kayıt olmalarının zorunlu olduğuna karar verilmiştir.
Sonuç olarak, global HR süreçlerinin olması, Türkiye’de yerleşik iştiraklerin veri tabanlarının yurtdışında tutulması ve bu doğrultuda süreçlerin global şirketler ile entegre bir şekilde yürütülmesi gibi durumlarda, verinin aktarıldığı ülkedeki yabancı şirketin de VERBİS’e kayıt olması gereklidir. Ayrıca, Veri Sorumluları kişisel verileri ilgili kişinin açık rızası olmadan, Kurul tarafından listesi yayınlanacak güvenli ülkelere aktarılabilir. Ancak, bu aşamada Kurul henüz güvenli ülkeler listesini ilan etmediğinden, yurtdışında verilerin aktarıldığı şirket ile Türk şirketi arasında bir veri aktarım taahhütnamesi imzalanmalı ve Kurul onayına sunulmalıdır.
KVKK’ya göre, Veri Sorumlusu sıfatını ancak gerçek veya tüzel kişiler haiz olabilir. Ancak, karara göre, yurt dışında yerleşik tüzel kişilerin Türkiye’deki şubelerinin ayrı bir tüzel kişilikleri bulunmasa da Türk Ticaret Kanunu Madde 40 uyarınca şubelerin yerli ticari işletmeler gibi Ticaret Sicili’ne tescil oldukları ve GDPR’ın 4. maddesindeki veri sorumlusu olma kriterleri arasında “tüzel kişi” olmanın şart olarak öngörülmediği göz önünde bulundurularak, kişisel veri işleme süreçleri bakımından Türkiye’de merkezden bağımsız bir şekilde, Veri Sorumlusunu belirleyen kriterler dahilinde hareket eden şubelerin de veri sorumlusu sayılması gerekmektedir.
Buna göre, yurt dışında yerleşik tüzel kişilerin Türkiye’deki şubelerinin, KVKK’da yer alan Veri Sorumlusu tanımı gereği kişisel verilerin işleme amaçlarını ve vasıtalarını belirlemesi ve veri kayıt sisteminin kurulması ile yönetilmesinden sorumlu olması halinde yurt dışında yerleşik tüzel kişiden ayrı olarak Türkiye’de yerleşik Veri Sorumlusu olarak değerlendirileceğine, söz konusu şubeler için Kişisel Verileri Koruma Kurulunun 2018/88 sayılı ve 2019/265 sayılı kararlarında yer alan “yıllık çalışan sayısı” ve “yıllık mali bilanço toplamı” kriterleri açısından yapılacak değerlendirme sonucunda VERBİS’e kayıt yükümlülüğü bulunup bulunmadığına karar verileceğine, bu durumda olmayan yurt dışında yerleşik tüzel kişilerin Türkiye’deki şubelerinin ise VERBİS’e kayıt yükümlülüğünün bulunmadığına karar verilmiştir.
Karar, Türkiye’de irtibat bürosu açılabilmesi için şirket tüzel kişiliklerinin yabancı ülke kanunlarına göre kurulması ve kurulan irtibat bürolarının Türkiye’de ticari faaliyette bulunmaması gerektiği, irtibat bürolarının ticari faaliyet dışında konularda hizmet verme ve bu konular hakkında merkez firmaya bilgi verme amacı doğrultusunda açılan bürolar olması ve şube özelliği bulunmaması ve bağlı şirketin talimatlarıyla hareket etmesi sebebiyle, irtibat bürolarının VERBİS’e kayıt olma yükümlülüğünün bulunmadığını belirtmiştir.
Kanaatimizce, Kurul’un yurtdışındaki şirketlerin ilgili şartların mevcut olması halinde VERBİS’e kayıtlı olmaları gerektiği ve yurtdışındaki şirketlerin Türkiye’deki irtibat bürolarının ise VERBİS’e kayıt olmalarının gerekli olmadığı yönündeki kararı, pratikteki hakim görüşü destekler niteliktedir. Yurtdışındaki şirketlerin Türkiye’de yerleşik şubeleri açısından ise, gerek şubelerin VERBİS’e kayıt yükümlülüğü, gerekse bunların Veri Sorumlusu sayılıp sayılmayacağı hususlarında Karar, pratikteki görüş ayrılıklarının giderilmesine yardımcı olmuş ve bu konuyu açıklığa kavuşturmuştur.