Grup Şirketleri Birbirinin Müşteri ve Çalışan Verisini Kullanabilir mi? Holding İçi Veri Paylaşımında KVKK
Aynı holdingin şirketleri KVKK'da tek veri sorumlusu değil; grup içi her paylaşım aktarım sayılıyor. Ortak aday havuzu, tek CRM ve merkezi bordroda sınır nerede?
Kısa cevap: hayır, aynı holdingin çatısı altında olmak veri paylaşımını serbest bırakmıyor. Kanun her tüzel kişiliği ayrı bir veri sorumlusu sayıyor, dolayısıyla A şirketinden B şirketine giden müşteri listesi, aday özgeçmişi ya da çalışan dosyası 6698 sayılı Kanun'un 8. maddesi anlamında üçüncü kişiye aktarımdır. Aktarımın ayakta durması için ya ilgili kişinin açık rızası ya da 5. maddenin ikinci fıkrasındaki işleme şartlarından biri gerekiyor; veri özel nitelikliyse 6. maddenin üçüncü fıkrasına bakılıyor ve yeterli önlemlerin alınmış olması ayrıca aranıyor. Kurul'un 2018'de yayımladığı karar özetlerinden biri tam bu noktaya oturuyor: iş başvurusunda bulunan bir adayın bilgilerinin ortak veri tabanı üzerinden grup şirketleriyle paylaşılabilmesi için 8. madde kapsamında açık rıza alınması gerektiği belirtilmiş, rıza olmadan yapılan paylaşım 12. maddenin birinci fıkrasına aykırı bulunmuş ve şirkete 18. madde uyarınca idari para cezası uygulanmıştı. Grup içi paylaşımın hukuka uygun bir hâli var, ama kendiliğinden gelen bir hâli yok.
Karışıklığın kaynağı çoğu zaman ticaret hukuku. 6102 sayılı Türk Ticaret Kanunu'nun 195. maddesi hâkim ve bağlı şirketlerden oluşan bir şirketler topluluğu tanımlıyor, konsolide tablo çıkarılıyor, yönetim tek merkezden yürüyor. KVKK'da bu birleştirmenin karşılığı yok. Veri Sorumluları Sicili Hakkında Yönetmelik, tüzel kişilerde veri sorumlusunun tüzel kişiliğin kendisi olduğunu açıkça söylüyor. Yönetim kurulunun aynı kişilerden oluşması, genel müdürün ortak olması ya da üç şirketin aynı katta oturması bu tabloyu değiştirmiyor. Sonuçları gündelik işte hemen görünüyor: her şirket kendi VERBİS kaydını yapar, kendi irtibat kişisini atar, kendi kişisel veri envanterini tutar, kendi aydınlatma metnini yayımlar, kendisine gelen ilgili kişi başvurusunu kendi cevaplar. 'Holdingin VERBİS kaydı zaten var' cümlesi bağlı şirketleri kapsamıyor; Sicile kayıt eşiklerine her tüzel kişilik kendi çalışan sayısı ve kendi bilançosuyla bakar.
Hukuki sebep seçilirken çoğu grup en kolay göründüğü için açık rızaya uzanıyor. Kırılgan olan tam da o. Rızanın geçerli sayılması için özgür iradeyle verilmiş olması gerekiyor ve çalışan söz konusu olduğunda iş ilişkisindeki bağımlılık bu şartı zorluyor; Kurul kararlarında bu ayrıntı sık geçiyor. Sözleşme bendi de sanıldığı kadar geniş değil. Müşterinin A şirketiyle imzaladığı sözleşmenin ifası B şirketine veri gitmesini gerektirmiyorsa, o bent dayanak olmaz. Geriye meşru menfaat bendi kalıyor. Grup içi idari işlerde kullanılabilir, ama iki koşulu birden karşılamak şartıyla: veri sorumlusunun gerçek bir menfaati bulunacak ve aktarım ilgili kişinin temel hak ve özgürlüklerine zarar vermeyecek. Bu dengeyi kafadan kurmak yetmiyor, yazıya dökmek gerekiyor. Denetimde sorulan ilk şey, hangi veriyi hangi sebeple aktardığınızı gösteren belge oluyor.
Ortak aday havuzu, grupların en çok takıldığı yer. Tek bir kariyer sitesi kuruluyor, başvuru formunun altına 'başvurunuz grup şirketlerimizin tümünde değerlendirilecektir' cümlesi konuyor ve iş bitti sanılıyor. Doğrusu biraz daha uğraştırıcı. Aktarımın yapılacağı şirketler unvanlarıyla yazılmalı, onay ayrı bir kutuda alınmalı, adayın bu kutuyu işaretlememesi hâlinde başvurusunun yalnızca ilan sahibi şirkette değerlendirileceği açıkça söylenmeli. Havuzda tutma süresi de belirlenmiş olmalı; süresiz aday havuzu Kanun'un 4. maddesindeki bağlantılı, sınırlı ve ölçülü olma ilkesiyle bağdaşmıyor. Bir de teknik taraf var. Aday rızasını geri aldığında kaydın yalnızca havuzdan değil, kaydı kopyalayan her şirketin kendi sisteminden de silinebilmesi gerekiyor. Bunu yapamayan bir havuz baştan yanlış kurulmuş demektir.
Her grup içi akış aktarım değil. Merkezi muhasebe, ortak bordro birimi, tek IT ekibi ya da grup çağrı merkezi gibi yapılarda hizmeti veren şirket işleme amacını ve vasıtalarını kendisi belirlemiyor, talimatla iş görüyorsa veri işleyen konumundadır. Böyle bir kurguda bağımsız bir veri sorumlusuna aktarım yoktur, ama iş kolaylaşmaz. Kanun'un 12. maddesi veri sorumlusunu veri işleyenle birlikte müştereken sorumlu tutuyor; ilişkinin yazılı bir sözleşmeye, personelin gizlilik taahhüdüne ve daraltılmış erişim yetkisine bağlanması gerekiyor. Ayrım şurada bozuluyor: bordro hizmeti veren grup şirketi elindeki çalışan listesini kendi ürününü pazarlamak için kullanmaya başladığı anda veri işleyen olmaktan çıkar, kendi amacını belirleyen bir veri sorumlusuna dönüşür ve ortada dayanaksız bir aktarım kalır. Sıfatın adı sözleşmede ne yazdığına göre değil, fiilen kimin karar verdiğine göre belirleniyor.
Kurul, Kanun metninde yazmayan ortak veri sorumluluğu fikrini bir kararında uygulamaya soktu ve o karar grup yapıları için okunmaya değer. 23 Aralık 2021 tarihli ve 2021/1303 sayılı kararda, araç kiralama yazılımı üreten firmalar ile bu yazılımı kullanan kiralama şirketleri, müşterilere ilişkin olumsuz notların tutulduğu ortak bir kara liste veri tabanını paylaşıyordu. Kurul yazılım firmalarıyla kiralama firmalarını ortak veri sorumlusu saydı, 4. maddenin ikinci fıkrasındaki ilkelere ve 8. maddeye aykırılık tespit etti, 12. maddedeki güvenlik yükümlülüğünün ihlal edildiğini belirtti ve hukuka aykırı işlenen verilerin imhasına hükmetti. Dosya grup şirketleriyle ilgili değil, mantığı ise birebir aynı. Ortak bir havuz kurup herkesin herkesin kaydını görmesini sağlamak, havuzu kuranı sorumluluktan kurtarmıyor, sorumluluğu masadaki herkese yayıyor.
Aydınlatma metinleri grup şirketlerinde neredeyse hep aynı cümleyle geçiştiriliyor: 'verileriniz grup şirketlerimizle paylaşılabilir'. Bu cümle yetmiyor. 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ, aktarımın amacının ve aktarılacak alıcı gruplarının belirtilmesini istiyor, genel nitelikte ifadelerden kaçınılmasını söylüyor. Aynı Tebliğ, işleme açık rızaya dayandığında aydınlatma ile rıza alma işlemlerinin ayrı ayrı yerine getirilmesini de şart koşuyor; iki metni tek forma gömmek Kurul'un en sık ceza verdiği biçim hatalarından biri. Uygulamada işe yarayan yöntem, grup şirketlerinin listesini metnin sonuna ek olarak koymak ve topluluğa yeni bir şirket katıldığında bu eki güncellemek. Listeyi güncellemeyi unutan grup, bir yıl sonra aydınlatma metninde hiç adı geçmeyen bir şirkete veri aktarmış durumda kalıyor.
Yurt dışındaki grup şirketine aktarım ayrı bir başlık ve 2024'ten sonra kuralları değişti. Hakkında yeterlilik kararı bulunmayan bir ülkeye aktarım yapılacaksa uygun güvencelerden birine dayanmak gerekiyor; Türkiye'deki grupların çoğu için pratik yol standart sözleşme. 10 Temmuz 2024'te yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesini zorunlu tutuyor. Bu bildirimi atlamak başlı başına idari para cezası sebebi, aktarımın kendisi hukuka uygun olsa bile. Çok uluslu gruplar için ikinci yol bağlayıcı şirket kuralları. Kurul 4 Haziran 2024 tarihli ve 2024/959 sayılı kararıyla başvuru formlarını ve yardımcı dokümanları kabul etti; onaylanan kurallar, aynı topluluğa bağlı üyeler arasındaki aktarımlar için her seferinde ayrı izin alma yükünü ortadan kaldırıyor. Onay süreci uzun sürdüğü için çoğu şirket ilk aşamada standart sözleşmeyle ilerliyor.
Veri ihlali anında grup yapısı hızla karışıyor. Kurul'un 24 Ocak 2019 tarihli ve 2019/10 sayılı kararı, ihlalin öğrenilmesinden itibaren en geç 72 saat içinde Kuruma bildirim yapılmasını istiyor. Ortak bir sunucu ya da tek bir ERP sızdığında akla gelen ilk çözüm grup adına tek bildirim göndermek oluyor. Böyle bir usul yok. Her veri sorumlusu kendi ilgili kişileri bakımından ayrı bildirim yapar, etkilenen kişi sayısını ve veri kategorilerini kendi kayıtlarına göre verir. Bunu 72 saat içinde yapabilmek için ihlalden önce hangi şirketin hangi veriden sorumlu olduğunun yazılı olması gerekiyor. Olay müdahale planı grup düzeyinde tek belge olabilir, içinde şirket bazlı bir sorumluluk tablosu bulunmak kaydıyla. Aksi hâlde sürenin önemli bir kısmı kimin bildireceğini tartışmakla geçiyor.
Teknik tarafta grupların çoğu tek dizin servisi, tek ERP ve tek CRM üzerinden çalışıyor. Kurgunun kendisi yasak değil, sorun yetkilendirmede çıkıyor. Kurul'un ceza gerekçelerinde tekrar eden başlıklardan biri, çalışanlara işini görmek için gerekenden geniş erişim verilmesi. B şirketinin satış temsilcisinin A şirketinin müşteri listesini ekranda görebilmesi, tek sistem kullanmanın doğal sonucu değil, bir yapılandırma tercihi. Rol bazlı yetkilendirme, şirket bazlı veri ayrımı ve erişim kayıtlarının tutulması bu tercihi düzeltiyor. Sözleşme tarafında da genelde bir belge eksik kalıyor: grup içi veri paylaşım protokolü. Kimin hangi veriyi hangi amaçla aldığı, verinin kimde ne kadar saklanacağı, silme ya da itiraz talebi geldiğinde hangi şirketin ne yapacağı bu belgede yazılı olmalı. Bir sayfalık metin, denetimde saatlerce süren bir tartışmayı kesiyor.
Kontrol listesi şöyle çıkıyor. Gruptaki her şirketin ayrı VERBİS kaydı ve irtibat kişisi var mı; aydınlatma metinlerinde aktarım yapılan şirketler unvanlarıyla yazılı mı; aday havuzu için ayrı ve reddedilebilir bir onay alınıyor mu; merkezi muhasebe, bordro ve IT birimleriyle yazılı sözleşme imzalandı mı; ortak ERP ve CRM'de şirket bazlı yetki ayrımı kurulu mu; yurt dışındaki grup şirketine aktarım varsa standart sözleşme imzalanıp beş iş günü içinde Kuruma bildirildi mi; ihlal müdahale planında şirket bazlı sorumluluk tablosu duruyor mu; grup içi veri paylaşım protokolü yazılı mı. Eksik çıkan satır sayısı grubun büyüklüğüyle birlikte artıyor. KVKK Danışman'ın ücretsiz ön değerlendirmesinde gruptaki şirketlerin bu başlıklardaki durumunu birlikte gözden geçirebiliriz.