Yurt Dışındaki Şirketler KVKK'ya Tabi mi? Veri Sorumlusu Temsilcisi Atama, VERBİS Kaydı ve Şube ile İrtibat Bürosu Farkı

Kısa cevap: evet. Merkezi Londra'da, sunucuları Frankfurt'ta olan bir şirket de Türkiye'de bulunan kişilerin kişisel verilerini işliyorsa 6698 sayılı Kanun'un muhatabıdır. Üstelik Türkiye'de kurulmuş şirketlerde bulunmayan ek bir adımı vardır. Veri Sorumluları Sicili Hakkında Yönetmelik'in 5. maddesinin birinci fıkrasının (b) bendi şunu söylüyor: Türkiye'de yerleşik olmayan veri sorumluları, veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle Sicile kaydolmak zorundadır. Cümledeki "marifetiyle" kelimesi sırayı belirliyor. Önce temsilci atanır, VERBİS kaydı ondan sonra yapılır. Kişisel Verileri Koruma Kurulu 23 Mart 2023'te Meta ve WhatsApp'a Sicile kayıt yükümlülüğünü süresinde yerine getirmedikleri gerekçesiyle ayrı ayrı 2.665.000 TL idari para cezası verdi ve otuz gün içinde kaydın tamamlanmasını istedi. Aynı aykırılığın 2026 karşılığı 341.809 TL ile 17.092.242 TL arasında bir idari para cezası.

Peki Kanun neye dayanarak yurt dışındaki bir şirkete uzanıyor? 6698 sayılı Kanun'da, Avrupa Birliği Genel Veri Koruma Tüzüğü'nün 3. maddesindeki gibi ayrıntılı bir yer bakımından uygulama hükmü yok. Kanun kapsamını kişi üzerinden kuruyor: kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanıyor. İkincil mevzuat ise tereddüde yer bırakmayacak kadar açık; Sicil Yönetmeliği yurt dışında yerleşik veri sorumlusunu doğrudan muhatap alıyor. Kurumun 1 Ağustos 2024 tarihli kamuoyu duyurusu işin ölçeğini de gösteriyor: Sicile kayıt yükümlüsü olduğu tespit edilen yaklaşık 130.600 veri sorumlusundan yaklaşık 16.350'si yükümlülüğünü yerine getirmemiş, o tarih itibarıyla yurt içinde ve yurt dışında yerleşik veri sorumlularına toplam 503.935.000 TL idari para cezası uygulanmıştı. Yani "Türkiye'de ofisimiz yok" cümlesi bir savunma değil, yalnızca bir adres bilgisi.

Temsilcinin kim olabileceği dar tanımlı ve en çok hata burada yapılıyor. Yönetmeliğin tanımlar maddesine göre veri sorumlusu temsilcisi, Türkiye'de yerleşik bir tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı bir gerçek kişi olmak zorunda. Genel merkezdeki hukuk müdürünü veya Avrupa ofisindeki uyum yöneticisini temsilci göstermek mümkün değil. Atama, veri sorumlusunun yetkili organı ya da kişisi tarafından alınan bir kararla yapılıyor. Yönetmeliğin 11. maddesinin ikinci fıkrası, bu kararın tasdikli örneğinin kayıt başvurusu sırasında temsilci tarafından Kuruma sunulmasını istiyor; uygulamada yabancı şirketin yönetim kurulu kararının noter onaylı, apostilli ve yeminli tercümeli hâli talep ediliyor. Bu evrak trafiği tek başına haftalar alabiliyor, dolayısıyla kaydı son güne bırakmak pahalıya patlıyor.

Kararın içeriği de serbest bırakılmamış. Yönetmeliğin 11. maddesinin üçüncü fıkrası, atama kararında asgari olarak bulunması gereken yetkileri tek tek sayıyor: Kurum tarafından yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etme, Kurumun veri sorumlusuna yönelttiği talepleri şirkete iletme ve gelen cevabı Kuruma ulaştırma, Kurul başkaca bir esas belirlemedikçe ilgili kişilerin Kanun'un 13. maddesinin birinci fıkrası kapsamındaki başvurularını veri sorumlusu adına alma ve iletme, yine aynı şartla veri sorumlusunun cevabını ilgili kişiye iletme, veri sorumlusu adına Sicile ilişkin iş ve işlemleri yapma. Bu başlıklardan biri eksik yazılmış bir karar, kayıt başvurusu aşamasında geri dönüyor. Şablon bir vekâletname yerine bu beş yetkiyi açıkça içeren bir organ kararı hazırlamak en kısa yol.

Sık karışan ikinci kavram irtibat kişisi. Aynı maddenin dördüncü fıkrası, Türkiye'de yerleşik olmayan veri sorumluları adına temsilcilerin Sicile kayıt sırasında irtibat kişisi bilgilerini işleyeceğini söylüyor ve hemen ardından sınırı çiziyor: irtibat kişisi veri sorumlusunu temsile yetkili değildir. Aradaki farkın pratik sonucunu Kurul'un 16 Temmuz 2020 tarihli ve 2020/542 sayılı kararında görmek mümkün. Kurul, aynı gerçek kişinin yurt içinde yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanmasını uygun bulmadı; buna karşılık yurt dışında yerleşik birden fazla veri sorumlusu için aynı kişinin irtibat kişisi olabileceğini kabul etti. Gerekçe şu: yurt dışı yerleşiklerde asıl muhatap veri sorumlusu temsilcisidir, irtibat kişisi ise Sicil işlemlerini yürüten kişi konumunda kalır.

Temsilci atamamanın en pahalı sonucu aslında ceza değil, iletişimin hiç kurulamaması. Yönetmeliğin 12. maddesi, Kurumun Türkiye'de yerleşik olmayan veri sorumlularıyla her türlü iletişimi Sicile bildirilen veri sorumlusu temsilcisi vasıtasıyla yapacağını düzenliyor. Bildirilmiş bir muhatap yoksa şirket, hakkında yürüyen re'sen incelemeyi, bilgi ve belge talebini ya da bir şikâyet dosyasını çoğu zaman gecikmeyle öğreniyor. Kanun'un 15. maddesinin üçüncü fıkrası, Devlet sırrı niteliğindeki bilgi ve belgeler hariç olmak üzere istenen bilgi ve belgelerin on beş gün içinde gönderilmesini istiyor. Bu süre kaçırıldığında dosyanın esasına hiç girilmeden ayrı bir aykırılık doğuyor. Sessiz kalmak, dosyayı kapatmıyor; yalnızca şirketin kendi anlatımını dosyadan çıkarıyor.

Türkiye'deki şirketlerin alışkın olduğu büyüklük eşikleri bu gruba uygulanmıyor. Yurt içinde eşik, Kurul'un 6 Temmuz 2023 tarihli ve 2023/1154 sayılı kararıyla yükseltildi: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları Sicile kayıttan istisna. 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararla, ana faaliyeti özel nitelikli veri işlemek olan veri sorumluları için de bir alt sınır geldi; yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon liradan az olanlar kayıt dışında kaldı. Yurt dışı tarafında böyle bir eşik yok. Kurul'un 11 Mart 2021 tarihli ve 2021/238 sayılı kararında yurt dışında yerleşik gerçek ve tüzel kişi veri sorumluları ayrı bir grup olarak sayıldı, kayıt için 31 Aralık 2021 tarihi verildi ve bu gruba çalışan sayısı ya da bilanço şartı bağlanmadı. Türkiye'de birkaç yüz kullanıcısı olan küçük bir uygulama ile milyonlarca kullanıcısı olan bir platform, kayıt yükümlülüğü bakımından aynı yerde duruyor.

Yabancı şirketin Türkiye'de bir yapısı varsa tablo değişiyor ve bu ayrım en çok atlanan başlıklardan biri. Kurul'un 23 Temmuz 2019 tarihli ve 2019/225 sayılı kararına göre, yurt dışında yerleşik tüzel kişinin Türkiye'deki şubesi kişisel veri işleme amaç ve vasıtalarını kendisi belirliyor, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumluysa Türkiye'de yerleşik ayrı bir veri sorumlusu sayılıyor; kayıt yükümlülüğü de yıllık çalışan sayısı ve yıllık mali bilanço toplamı kriterlerine göre değerlendiriliyor. İrtibat bürolarında sonuç farklı. Tanıtım ve reklam yapmak, ülkedeki iş imkânlarını yakından izleyip merkeze bilgi vermek amacıyla açılan ve şube niteliği taşımayan irtibat bürolarının Sicile kayıt yükümlülüğü bulunmuyor. İncelik şurada: kayıt muafiyeti Kanun'un geri kalanını askıya almıyor. Büroda çalışan üç kişinin özlük dosyası, ziyaretçi kaydı ve kamera görüntüsü işlenmeye devam ediyor, aydınlatma ve veri güvenliği yükümlülükleri yerinde duruyor.

Temsilci atamak, sorumluluğu Türkiye'deki kişiye devretmek anlamına gelmiyor. Yönetmelik bunu iki ayrı yerde söylüyor: Sicile kaydolmak veri sorumlusunun Kanun kapsamındaki diğer yükümlülüklerini ortadan kaldırmaz, yapılan görevlendirme de tüzel kişiliğin sorumluluğunu ortadan kaldırmaz. Veri sorumlusu hâlâ yurt dışındaki şirkettir, idari para cezasının muhatabı da odur. Temsilci atandığında Kanun'un 10. maddesi gereği aydınlatmada veri sorumlusunun ve temsilcisinin kimliği bildirilmeli; pratikte bu, Türkçe aydınlatma metninde temsilcinin adının ve iletişim bilgisinin görünmesi demek. Kullanıcı tarafı için de yol aynı: yabancı bir uygulamadan verisinin silinmesini isteyen kişi, 13. madde başvurusunu Türkiye'deki temsilciye yapabilir ve o an süre işlemeye başlar. Cevap için en geç otuz gün var. Gelen evrakı merkeze zamanında aktarmayan bir temsilci şirkete ceza kesmez, ama süre kaybettirir.

Bir de kavram kargaşası uyarısı. KVKK'nın veri sorumlusu temsilcisi ile 5651 sayılı Kanun'un ek 4. maddesindeki sosyal ağ sağlayıcı temsilcisi aynı şey değil. İkincisi yalnızca yurt dışı kaynaklı sosyal ağ sağlayıcıları ilgilendiriyor; Türkiye'den günlük erişimi bir milyondan fazla olanların Türkiye'de en az bir temsilci belirlemesi ve temsilcinin iletişim bilgilerini internet sitesinde kolayca görülebilecek şekilde yayımlaması gerekiyor. Günlük erişimi on milyonu aşanlarda temsilcinin şube şeklinde kurulmuş bir tüzel kişi olması aranıyor, gerçek kişi belirlenecekse Türkiye'de mukim Türk vatandaşı olması gerekiyor. Yaptırımlar da farklı; reklam verilmesinin yasaklanmasından internet trafiği bant genişliğinin daraltılmasına kadar uzanıyor. Üçüncü rejim aynanın diğer tarafında: Avrupa Birliği'ndeki kişilere mal veya hizmet sunan Türkiye merkezli şirketler için GDPR'ın 27. maddesindeki Birlik temsilcisi. Üç düzenleme üç ayrı amaca hizmet ediyor, biri diğerinin yerini tutmuyor.

Denklemin bir de Türkiye'deki şirketler açısından okunuşu var. Yurt dışındaki bir sağlayıcıyla çalışırken ilk soru rol dağılımı: sağlayıcı sizin talimatınızla mı işliyor, yoksa işlemenin amaçlarını ve vasıtalarını kendisi mi belirliyor? İkinci durumda karşınızdaki şirket kendi başına veri sorumlusudur ve Türkiye'de temsilci ile Sicil yükümlülüğü onun üzerindedir. İlkinde sağlayıcı veri işleyen sıfatıyla hareket eder, güvenlik bakımından müşterek sorumluluk Kanun'un 12. maddesinin ikinci fıkrasıyla sizde kalır. Aktarım tarafında ölçüt 9. madde: yeterlilik kararı, uygun güvenceler ya da dar yorumlanması gereken arızi hâller. Çalıştığınız yabancı şirketin Türkiye'de kayıtlı olup olmadığını merak ediyorsanız VERBİS kamuya açık; sicil sorgulama ekranından bir veri sorumlusunun kaydını ve bildirdiği veri kategorilerini görebilirsiniz. Sözleşme görüşmesinde bu tek sorgulama, karşı tarafın uyum olgunluğu hakkında çoğu sunumdan fazlasını söylüyor.

Türkiye'de müşterisi olan yabancı bir şirket için liste uzun değil, ama sırası önemli: işleme faaliyetlerinin ve rollerin tespiti, temsilci atama kararının hazırlanıp tasdik ettirilmesi, VERBİS kaydı, Türkçe aydınlatma metni, gerçekten çalışan bir başvuru kanalı, saklama ve imha süreleri, gerekiyorsa aktarım belgeleri. KVKK Danışman'ın ücretsiz ön değerlendirmesinde Türkiye'deki veri akışlarınızı, temsilci ve Sicil durumunuzu ve eksik kalan adımları birlikte gözden geçiriyoruz.

Randevu Al