Mali Müşavirler ve Muhasebe Büroları KVKK'dan Muaf mı? VERBİS İstisnası, Veri Sorumluluğu ve Müşteri Verisi

Kısa cevap: hayır. Serbest muhasebeci mali müşavirler ve yeminli mali müşavirler yalnızca Veri Sorumluları Sicili'ne, yani VERBİS'e kayıt yükümlülüğünden istisna tutuldu; 6698 sayılı Kanun'un geri kalan yükümlülükleri olduğu gibi duruyor. Aydınlatma yapmak, veri güvenliğini sağlamak, ilgili kişi başvurularını en geç otuz gün içinde sonuçlandırmak, süresi dolan veriyi imha etmek hâlâ zorunlu. İstisna bir muafiyet değil, listeden tek bir kalemin düşmesi. İki ayrıntı da çoğu ofiste gözden kaçıyor. Birincisi, kararın metni meslek mensubunu sayıyor; ofis ortaklık bürosu ya da şirket şeklinde örgütlenmişse istisnanın kapsamı ayrıca değerlendirilmeli. İkincisi, mükellefe verilen hizmette mali müşavir çoğu durumda kendi başına veri sorumlusudur, mükellefin talimatını uygulayan bir taşeron değil.

İstisnanın dayanağı Kanun'un 16. maddesinin ikinci fıkrası, kaynağı da Kişisel Verileri Koruma Kurulu'nun 2 Nisan 2018 tarihli ve 2018/32 sayılı kararı. Karara ekli listede yalnızca otomatik olmayan yollarla veri işleyenler, noterler, faaliyet alanlarıyla sınırlı olmak üzere dernek, vakıf ve sendikalar, siyasi partiler, avukatlar ve 3568 sayılı Kanun uyarınca faaliyet gösteren serbest muhasebeci mali müşavirler ile yeminli mali müşavirler yer alıyor. Arabulucular 5 Temmuz 2018 tarihli ve 2018/75 sayılı kararla eklendi, dernek ve vakıflara ilişkin ibare 22 Nisan 2020 tarihli ve 2020/315 sayılı kararla yeniden yazıldı. Kararın metni gerçek kişi meslek mensuplarından söz ediyor, tüzel kişilerden söz etmiyor; bir mali müşavirlik anonim veya limited şirketinin bu istisnadan yararlanıp yararlanmadığı tartışmalı ve ihtiyatlı yorum yararlanmadığı yönünde. Neyse ki mesleğe özgü istisnanın yanında bir büyüklük ölçütü de var: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'nin altında kalan veri sorumluları, ana faaliyet konusu özel nitelikli kişisel veri işleme olmadığı sürece kayıt yükümlülüğü dışında. Ofislerin çoğu bu eşiklerin altında. Gerçek risk, büyümüş ve şirketleşmiş bir yapının hiçbir istisnaya girmediğini fark etmemesi; 2026 tutarlarıyla sicile kayıt ve bildirim yükümlülüğüne aykırılığın cezası 341.809 TL'den başlıyor.

Sıfat tartışmasında ölçütleri Kurul'un 30 Ocak 2020 tarihli ve 2020/71 sayılı kararı veriyor. Veri sorumlusu, verilerin toplanma yöntemini ve türünü, işleme amaçlarını ve süresini, verilere kimin erişeceğini ve hangi taraflara aktarılacağını, alınacak teknik ve idari tedbirleri belirleyen taraf. Kararın anahtar ifadesi şu: veri sorumlusu bu kararları alırken kimseden emir ve talimat almaz. Veri işleyen ise verileri veri sorumlusunun yetkisine ve talimatına dayanarak, çoğunlukla işlemenin teknik kısmını üstlenerek işler; toplama yöntemine, amaca ve alıcılara karar verme yetkisi yoktur.

Meslek mensubunu bu testte veri sorumlusu tarafına düşüren şey, mesleğin kendisine yüklediği bağımsız yükümlülükler. İki hüküm bunu net gösteriyor. Vergi Usul Kanunu'nun mükerrer 227. maddesi, beyannameyi imzalayan meslek mensubunu, beyannamedeki bilgilerin defter kayıtlarına ve bu kayıtların dayanağı belgelere uygun olmamasından doğan vergi ziyaına bağlı vergi, ceza ve gecikme faizinden mükellefle birlikte müştereken ve müteselsilen sorumlu tutuyor. 3568 sayılı Kanun'un 43. maddesi meslek mensuplarını ve yanlarında çalışanları, işleri dolayısıyla öğrendikleri bilgi ve sırları ifşa etmekten yasaklarken suç teşkil eden hâllerin yetkili mercilere duyurulmasını mecburi kılıyor. Bunlar müşterinin talimatıyla açılıp kapanan yükümlülükler değil. Dolayısıyla hizmet sözleşmesine 'mali müşavir veri işleyendir' yazmak sıfatı değiştirmiyor; sıfat sözleşmeyle değil fiilî ve hukuki konumla belirleniyor. Buna karşılık her iş kalemi aynı değil. Mükellefin hazırlayıp gönderdiği hazır listeye göre bordro basmak talimata dayalı bir iş olabilir, ofisin kendi personeli, kamera kaydı ve müşteri iletişim verisi bakımından ise meslek mensubu tartışmasız veri sorumlusudur. Aynı ilişkide iki sıfatın iç içe geçmesi olağan; hangi işte hangi sıfatla hareket ettiğinizin belirsiz kalması değil.

Ayrımın pratik sonucu sorumluluğun paylaşımında görülüyor. Kanun'un 12. maddesinin ikinci fıkrası, kişisel verilerin veri sorumlusu adına başka bir gerçek veya tüzel kişi tarafından işlenmesi hâlinde güvenlik tedbirlerinin alınması bakımından müşterek sorumluluk kuruyor. Yani veri işleyen konumundaki bir muhasebe hizmet sağlayıcısının açığı mükellefe de fatura edilir. Dördüncü fıkra hem veri sorumlusuna hem veri işleyene, öğrendikleri kişisel verileri Kanun'a aykırı olarak başkasına açıklama ve işleme amacı dışında kullanma yasağı getiriyor ve bu yükümlülüğün görevden ayrılmadan sonra da devam ettiğini söylüyor. Ofisten ayrılan eleman, elindeki müşteri bilgisiyle birlikte bu yasağı da yanında taşır. Aydınlatma tarafında 2020/71 sayılı karar, yükümlülüğün veri sorumlusu tarafından bizzat ya da yetkilendirdiği kişi aracılığıyla, dolayısıyla veri işleyen tarafından da yerine getirilebileceğini kabul ediyor. İspat yükü yine veri sorumlusunda kalıyor.

Mükellef tarafında en sık görülen hata, mali müşavire veri aktarımı için çalışandan açık rıza toplamak. Gerek yok, hatta yanlış. Bordro, muhtasar beyanname, SGK bildirimleri ve e-defter süreçleri işverenin hukuki yükümlülüğüdür; Kanun'un 5. maddesinin ikinci fıkrasının (ç) bendi veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için işlemenin zorunlu olması hâlini bir işleme şartı sayıyor, 8. madde de aynı şartların varlığında aktarıma izin veriyor. Rıza almak yerine yapılması gereken şey aydınlatmayı doğru yazmak. 10 Mart 2018 tarihli ve 30356 sayılı Resmî Gazete'de yayımlanan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğ'in 5. maddesi genel ve muğlak ifadeler kullanılmamasını, aktarımın amacının ve aktarılacak alıcı gruplarının belirtilmesini istiyor. Çalışan aydınlatma metninizde alıcı grubu olarak sadece 'yasal olarak yetkili kurum ve kuruluşlar' yazıyorsa bu mali müşavirinizi kapsamaz; muhasebe ve mali danışmanlık hizmeti sağlayıcısını ayrı bir alıcı grubu olarak yazmanız gerekir.

Bordronun içinde özel nitelikli veri var ve bu çoğu ofiste hiç konuşulmuyor. Sendika aidatı kesintisi sendika üyeliğini gösterir, engellilik indirimi sağlık durumuna işaret eder, iş göremezlik ve istirahat raporları doğrudan sağlık verisidir. Hepsi 6698 sayılı Kanun'un 6. maddesi kapsamında. 1 Haziran 2024'te yürürlüğe giren düzenlemeden sonra hukuki dayanak bulmak kolaylaştı: maddenin üçüncü fıkrasının (f) bendi, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması hâlinde işlemeye izin veriyor. Dayanağın kolay olması korumanın kolay olduğu anlamına gelmiyor. Aynı maddenin dördüncü fıkrası Kurul'ca belirlenen yeterli önlemlerin alınmasını şart koşuyor ve 31 Ocak 2018 tarihli, 2018/10 sayılı karar bu önlemleri sayıyor: özel nitelikli veriler için ayrı politika ve prosedür, erişim yetkilerinin tanımlanıp periyodik olarak kontrol edilmesi, çalışanlarla gizlilik sözleşmesi, elektronik ortamda şifreleme ve anahtarların ayrı yerde tutulması, kâğıt ortamda kilitli saklama ve erişim kaydı.

Riskin nasıl gerçekleştiğini gösteren somut bir karar var. Kurul'un 7 Nisan 2022 tarihli ve 2022/328 sayılı kararında, grup şirketlerine bordrolama hizmeti veren veri sorumlusu, salgın dönemindeki ücretsiz izne ilişkin ihtarnameyi tek bir belge hâlinde düzenlemiş ve ilgili kişinin kimlik numarası ile adresini içeren bu belgeyi yedi başka çalışana da göndermişti. Kurul, ihtarnamenin noter aracılığıyla tebliği için yapılan aktarımı bir hakkın tesisi ve korunması kapsamında hukuka uygun buldu. Sorun belgenin kendisindeydi: maskeleme yapılmamış, kişilere ayrı ayrı ihtarname düzenlenmemişti. Kurul 12. maddenin birinci fıkrasının ihlal edildiğine karar verip 100.000 TL idari para cezası uyguladı ve kararı Türkiye Noterler Birliği'ne bildirdi. Bu hatanın muhasebe ofisi versiyonu her gün yapılıyor: kırk kişinin bordrosunu tek dosyada toplayıp yanlış alıcıya göndermek, ya da bir müşterinin klasörünü başka bir müşteriye iletmek.

Kurum'un veri ihlali bildirimi duyuruları arasında serbest muhasebeci mali müşavirlerin ve yeminli mali müşavirlik şirketlerinin bildirimleri de yer alıyor, yani bu sektörde ihlal uzak bir olasılık değil. Ofis içindeki zayıf noktalar da aşağı yukarı aynı: bordroların ve kimlik fotokopilerinin şifresiz e-posta ekiyle dolaşması, müşteri belgelerinin WhatsApp üzerinden istenmesi, bütün personelin bütün müşteri klasörlerine erişebildiği ortak sürücüler, portal şifrelerinin ofiste ortak kullanılması, işten ayrılan elemanın hesabının haftalarca açık kalması. Diyelim ki bir müşteriyle sözleşmeniz sona erdi ve defterler yeni meslek mensubuna devredildi. Devir bitti, ama sizin e-posta arşivinizde o şirketin kırk çalışanının bordrosu, kimlik fotokopisi ve istirahat raporları duruyor. Bunları kimin ne zaman sileceği yazılı değilse ihlal orada bekliyor.

Saklama süreleri burada iki yönlü çalışıyor. Vergi Usul Kanunu'nun 253. maddesi defter ve vesikaların ilgili bulundukları yılı takip eden takvim yılından başlayarak beş yıl, Türk Ticaret Kanunu'nun 82. maddesi ticari defter ve belgeler için on yıl, 5510 sayılı Kanun'un 86. maddesi de işyeri defter, kayıt ve belgeleri ile ücret tediye bordroları için ilgili olduğu yılı takip eden yılbaşından itibaren on yıl saklama öngörüyor. Bu hükümler saklamaya dayanak verir, süresiz tutmaya vermez. Süre dolduğunda ne olacağını Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik söylüyor ve istisnanın ters yüzü tam burada çıkıyor. Yönetmeliğin 5. maddesi saklama ve imha politikası hazırlama yükümlülüğünü sicile kayıt olmakla yükümlü veri sorumlularına bağlıyor; politikası olanlar imhayı yükümlülüğün doğmasından sonraki ilk periyodik imha döneminde yapıyor ve bu dönem altı ayı geçemiyor. Politika hazırlama yükümlülüğü olmayan veri sorumlusu ise 11. maddeye göre yükümlülüğün ortaya çıktığı tarihi takip eden üç ay içinde imhayı tamamlamak zorunda. VERBİS'ten istisna olmak mali müşavire daha uzun değil, daha kısa bir süre bırakıyor. İmha işlemlerine ilişkin kayıtların da diğer hukuki yükümlülükler hariç olmak üzere en az üç yıl saklanması gerekiyor.

Yaptırım tarafında 2026 tutarları şöyle: aydınlatma yükümlülüğünün ihlali 85.437 TL ile 1.709.200 TL, veri güvenliğine ilişkin yükümlülüklerin yerine getirilmemesi 256.357 TL ile 17.092.242 TL, Kurul kararlarına uymama 427.263 TL ile 17.092.242 TL, sicile kayıt ve bildirim yükümlülüğüne aykırılık 341.809 TL ile 17.092.242 TL arasında. Meslek mensubu için hikâye idari para cezasıyla bitmiyor. Kişisel verileri hukuka aykırı olarak kaydetmek Türk Ceza Kanunu'nun 135. maddesinde, bu verileri hukuka aykırı olarak bir başkasına vermek, yaymak veya ele geçirmek 136. maddesinde suç olarak düzenlenmiş; 137. madde bu suçların belli bir meslek ve sanatın sağladığı kolaylıktan yararlanılarak işlenmesi hâlinde cezayı yarı oranında artırıyor. 3568 sayılı Kanun'un 43. maddesindeki ifşa yasağı da disiplin tarafında ayrıca sonuç doğurur.

Ofisiniz için hızlı bir kontrol listesi: müşteri sözleşmelerinizde hangi işte kimin veri sorumlusu, kimin veri işleyen olduğu yazılı mı; hangi müşterinin hangi verisi fiilen nerede duruyor; ortak klasöre kim erişiyor ve bu yetkiler ne sıklıkla gözden geçiriliyor; sözleşme sona erdiğinde arşiv ve e-posta kutusu ne oluyor; bordrodaki sağlık ve sendika verileri için ayrı bir koruma var mı. Bu sorularda net cevap veremiyorsanız KVKK Danışman'ın ücretsiz ön değerlendirmesinde ofisinizin veri akışını çıkarıp önce hangi adımların atılması gerektiğini birlikte belirleyebiliriz.

Randevu Al