Veri sorumluları, gerek Kanun gerekse diğer ikincil mevzuat düzenlemeleri kapsamındaki yükümlülükleri doğru ve eksiksiz bir şekilde yerine getirebilmek için öncelikle bir kişiyi veya birden çok kişiden oluşan birimi / ekibi görevlendirebilir. Görevlendirilecek bu kişi veya kişilerin, kişisel verilerin korunması ile ilgili mevzuat ve uygulamalar konusunda yetkin, kişisel veri işleme süreçleri ve bu süreçlere bağlı olarak işlenen kişisel veriler hakkında detaylı bilgi sahibi olan hukuk, bilgi işlem ve insan kaynakları gibi birimlerde görev yapan kişi veya kişilerden seçilmesi önerilir. Ayrıca yapılacak görevlendirmenin geniş katılımla oluşturulmasının envanterin daha nitelikli hazırlanmasına katkısı olacağı tabiidir.

İkinci adım olarak görevlendirilen bu birim/ekip tarafından, veri sorumlusunun mevcut fiziksel veya elektronik ortamda işlemekte olduğu tüm kişisel verilerin analizini yapmalıdır. Bu analiz kapsamında, öncelikle işlenen kişisel verilerin niteliğinin (kişisel veri, özel nitelikli kişisel veri) tespit edilmesi, akabinde de kişisel verilerin elde edilmesi, kaydedilmesi, kullanımının engellenmesi, silinmesi, yok edilmesi, anonim hale getirilmesi, aktarılması, güncellenmesi, saklanması, depolanması, değiştirilmesi, açıklanması, devralınması, sınıflandırılması gibi kişisel veri işlemeye ilişkin tüm aşamaların tek tek tespit edilmesi gerekmektedir.

Ayrıca, bu doğrultuda kişisel veri iş akış şemalarının çizilmesi önerilmektedir. Üçüncü adım olarak, söz konusu birim/ekip tarafından tüm kişisel veri işleme faaliyetleri doğrultusunda Envanter hazırlanmalı ve buna göre aydınlatma metinleri oluşturulmalıdır. Herhangi bir işleme şartı ile işleme amacı bulunmayan kişisel veri olup olmadığı Envanter 27 aracılığıyla tespit edilebileceğinden bu durumda olan veriler için süre geçmeden imha işlemleri uygulanmalıdır. Dördüncü adım olarak da, veri sorumlusu bünyesindeki tüm çalışanlar düzeyinde kişisel veri koruma kültürü ve bu kapsamda farkındalık oluşmasını sağlamak amacıyla eğitimler verilmesi önerilmektedir.

Veri Sorumluları Sicili Hakkında Yönetmeliğe göre Envanterde asgari olarak; -Veri kategorisi, -Kişisel veri işleme amaçları ve hukuki sebebi, -Aktarılan alıcı / alıcı grupları, -Veri konusu kişi grupları, -Kişisel verilerin işlendikleri amaçlar için gerekli olan azami muhafaza edilme süresi, -Yabancı ülkelere aktarımı öngörülen kişisel veriler, -Veri güvenliğine ilişkin alınan teknik ve idari tedbirler, yer alması gerekmektedir. İşlenen kişisel verilerin niteliği ve sayısı, kişisel verisi işlenen kişilerin niteliği ve sayısı, kişisel verilerin çeşitliliği, kişisel verilerin veri sorumlusu bünyesinde veya aktarım yapılan üçüncü kişiler nezdinde dolaşımı, veri güvenliği için alınması gereken teknik ve idari tedbirlerin zorluk derecesi, yurt dışına aktarım, açık rıza alınmasını gerektirecek çok sayıda kişisel veri işlenmesi, saklama süreleri açısından farklılık arz eden verilerin niceliği, özel nitelikli kişisel veriler için alınacak yeterli önlemler, aktarım yapılacaksa bunun hukuki dayanağı gibi birçok kriter değerlendirilerek Envanterin mahiyeti, şekli ve yapısı ile bulunacağı ortama karar verilmesi daha uygun olacaktır. Belirtmek gerekir ki; anılan yönetmeliklerde, Envanterde bulunması gereken asgari hususlar yer almakta olup buradan, envanterin sadece bu hususları içermesi gerektiği 23 anlaşılmamalıdır. Aksine veri sorumluları, asgari olarak belirtilen bu hususlara faaliyetlerini kapsayacak şekilde diğer hususları da (departman adı, birim adı, bilgi girişi yapan kişi, süreç adı, faaliyetin adı, faaliyetin açıklaması, işlenen kişisel veri kategorisi, işlenen kişisel veri, Kanunun 5. maddesindeki işleme şartı, işlenen özel nitelikli kişisel veri kategorisi, işlenen özel nitelikli kişisel veri, Kanunun 6. maddesindeki işleme şartı, kişisel verisi işlenenlere ilk elde etme esnasında aydınlatma yapılıp yapılmadığı, kişisel verinin elde edildiği kaynak, elde etme yöntemi, saklandığı elektronik ortam, saklandığı fiziksel ortam, biriminiz dışında bu veriye erişenler, saklama amacı, periyodik imha süresi, aktarma amacı, kişisel veri aktarımının hukuki sebebi, kişisel veri aktarım yöntemi, özel nitelikli kişisel veri aktarımının hukuki sebebi, özel nitelikli kişisel veri aktarım yöntemi, alınan idari tedbirler, alınan teknik tedbirler, özel nitelikli kişisel veriler için alınan yeterli önlemler gibi) ilave edebileceklerdir.

Kanunun 16. maddesine göre; Veri Sorumluları Sicilinin kamuya açık olarak tutulması gerektiği ve kişisel verileri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorunda olduğu belirtilmiştir. Ayrıca Sicile kayıtta girilmesi gereken bilgiler de açık bir şekilde sayılmıştır.

Buna göre, Sicile kayıtta veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri, kişisel verilerin hangi amaçla işleneceği, veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar, kişisel verilerin aktarılabileceği alıcı veya alıcı grupları, yabancı ülkelere aktarımı öngörülen kişisel veriler, kişisel veri güvenliğine ilişkin alınan tedbirler ve kişisel verilerin işlendikleri amaç için gerekli olan azami süreye ilişkin giriş yapılması gerekmektedir.

Kurumumuzca bu kapsamda veri sorumluları tarafından Sicile bilgi girişi yapılmasına imkân sağlayan sistem hazırlanmış ve Veri Sorumluları Sicil Bilgi Sistemi (“VERBİS”) adı ile hizmete açılmıştır.

Sicilin kamuya açık olarak tutulacak olması nedeniyle VERBİS’e sadece kategoriler halinde bilgiler girilecektir. Diğer bir deyişle VERBİS’e kişisel verisi işlenen gerçek kişilere ait veriler değil, bu verilerin üst başlıkları halinde kategorik bazda bilgi girişleri yapılacaktır.

Envanter ve VERBİS, veriler açısından temelde birçok noktada benzerlik gösterse de 3 konuda farklılık arz etmektedir.

1. VERBİS’te, “veri kategorileri” bazında veri sorumlusu tarafından kişisel veri işlenip işlenmediği ve işleniyorsa bu veri kategorilerinin hangi amaçlarla işlendiği, aktarım olup olmadığı, aktarım yapılan alıcı grupları, varsa saklama süresi, ilgili kişiler ve alınan güvenlik tedbirleri konusunda bilgi girişi yapılması gerekirken;

Envanterde veri sorumlusunun tüm iş süreçlerinde yer alan tüm faaliyetleri bazında elde ettiği belge, doküman, veri kümesi, kayıtlar gibi kişisel veri içeren tüm fiziksel veya elektronik ortamlarda işlenen kişisel verilerin her biri için ayrı ayrı olmak üzere hangi amaç ve hukuki gerekçelerle işlendiği, aktarım olup olmadığı, aktarım yapılan üçüncü taraflar, saklama süreleri, veri konusu kişi grupları ve alınan güvenlik tedbirleri bilgisini içeren ve çok daha detaylı olarak hazırlanan bir rapor olması gerekir. Kısaca VERBİS’te sadece başlıklar halinde kategorik bazda bilgi girişi yapılırken, Envanterde bu verilerin, alt kırılımlarıyla birlikte detaylı şekilde yer alması gerekmektedir.

2. Kanunun 16. maddesi gereği kamuya açık olarak Kurumumuzca tutulmakta olan VERBİS’e girilmiş olan bilgiler dileyen herkes tarafından görüntülenebilmekte iken, Envanter veri sorumlusunun kendi bünyesinde kalacak ve kamuya açık olmayacaktır. Ancak, Kurul tarafından talep edilmesi durumunda Envanterin Kurula ibraz edilmesi gerekmektedir. Ayrıca, ilgili kişiler tarafından veri sorumlusuna başvurularda, ilgili kişiye verilecek cevap için Envanterden faydalanılması gerekmektedir.

3. VERBİS için bir sistem hazırlanmış ve ilgili ekranlardan giriş yapılması zorunlu tutulmuşken Envanterin şekli açısından herhangi bir yönlendirme yapılmamıştır. Envanter, örneğin office dosyası şeklinde veya veri tabanında ilgili dosyalarda tutulabilecektir.

Veri Sorumluları Sicili Hakkında Yönetmeliğin 5. maddesi 1. fıkrası (ç) bendinde “Sicile kayıtla yükümlü olan veri sorumluları, Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür. Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanır.” hükmü, (d) bendinde de “Kanunun 10. maddesinde veri sorumluları için belirtilen aydınlatma yükümlülüğünde, Kanunun 13. maddesinde belirtilen ilgili kişi başvurularının yanıtlanmasında ve ilgili kişiler tarafından açıklanacak açık rızanın kapsamının belirlenmesinde kişisel veri işleme envanterine dayalı olarak Sicile sunulan ve Sicilde yayınlanan bilgiler esas alınır.” hükmü yer almaktadır. (28.04.2019 tarihli Resmi Gazete’de yayımlanan Veri Sorumluları Sicili Hakkında Yönetmelikte Değişiklik Yapılmasına Dair Yönetmeliğin 2. maddesi ile (ç) bendinde değişiklik yapılmıştır.)

Veri Sorumluları Sicili Hakkında Yönetmelik MADDE 5 – (1) Sicilin oluşturulması, idaresi ve gözetimi hususunda aşağıdaki ilke, usul ve esaslara uyulur: ç) Sicile kayıtla yükümlü olan veri sorumluları, Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür. Sicil başvurularında Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayalı olarak hazırlanır. d) Kanunun 10 uncu maddesinde veri sorumluları için belirtilen aydınlatma yükümlülüğünde, Kanunun 13 üncü maddesinde belirtilen ilgili kişi başvurularının yanıtlanmasında ve ilgili kişiler tarafından açıklanacak açık rızanın kapsamının belirlenmesinde kişisel veri işleme envanterine dayalı olarak Sicile sunulan ve Sicilde yayınlanan bilgiler esas alınır.

Ayrıca Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmeliğin 5. maddesi 1. fıkrasında “Kanunun 16 ncı maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür” hükmü yer almaktadır.

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik MADDE 5 – (1) Kanunun 16 ncı maddesi gereğince Veri Sorumluları Siciline kayıt olmakla yükümlü olan veri sorumluları, kişisel veri işleme envanterine uygun olarak kişisel veri saklama ve imha politikası hazırlamakla yükümlüdür.

Buna göre Veri Sorumluları Siciline kayıt yükümlülüğü olan tüm veri sorumlularının Envanter hazırlaması gerekmektedir.

Bununla birlikte Sicile kayıt ve aydınlatma yükümlülüğü yerine getirilirken veya ilgili kişi başvurularının yanıtlanmasında ve açık rızanın kapsamının belirlenmesinde söz konusu Envanterin esas alınması gerekmektedir.

Kurulun, altmış günlük süre içinde ilgili kişiye bir cevap vermesi öngörülmüştür.

Veri sorumlusu cevabını ilgili kişiye yazılı veya elektronik ortamda bildirir.

Veri sorumlusu talebi kabul eder veya gerekçesini açıklayarak reddeder. Başvuruda yer alan talebin kabul edilmesi hâlinde, veri sorumlusunca gereği yerine getirilir.

Veri sorumlusunun ilgili kişinin talebini, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde kabul veya gerekçesini açıklayarak reddetmesi, ayrıca cevabı ilgili kişiye bildirmesi gerekmektedir.

Veri sorumlusu başvuruda yer alan talepleri, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Ancak, işlemin ayrıca bir maliyeti gerektirmesi hâlinde, Kurulca belirlenen tarifedeki ücret alınabilir. Buna göre, ilgili kişinin başvurusuna yazılı olarak cevap verilecekse, on sayfaya kadar başvuru ücreti alınmaz. On sayfanın üzerindeki her sayfa için 1 Türk Lirası başvuru ücreti alınabilir. Öte yandan, başvurunun cevabının bir kayıt ortamında verilmesi halinde veri sorumlusu tarafından talep edilebilecek ücret kayıt ortamının maliyetini geçemez. Başvurunun veri sorumlusunun hatasından kaynaklanması hâlinde ise alınan ücret ilgiliye iade edilir.