6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 16/2 maddesi, "Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır." hükmünü içermektedir. Bu düzenleme ile Veri Sorumluları Sicili, Kişisel Verileri Koruma Kurulu tarafından yönetilen VERBİS'i işaret etmektedir.

Kural olarak veri işleyenlerin VERBİS'e kayıtlı olması gerekir; ancak kanunda ve Kurul kararlarında belirtilen istisnalar kapsamında kalan veri sorumluları sicile kayıt yükümlülüğünden muaf tutulmuştur.

KVKK 16. maddesinin devamında "Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir." ifadesi yer alır. Bu yetkiye dayanarak Kişisel Verileri Koruma Kurulu, 19.07.2018 tarihli ve 2018/87 sayılı kararı ile sicile kayıt zorunluluğuna istisna getirmiştir.

İlgili kararda, "yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanların; Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulmasına" hükmedilmiştir.

Bu karar uyarınca bir veri sorumlusunun sicile kayıt yükümlülüğünden muaf olabilmesi için üç şartın birlikte gerçekleşmesi gerekir:

  • Yıllık çalışan sayısı 50'den az olmalıdır.
  • Yıllık mali bilanço toplamı 25 milyon TL'den az olmalıdır.
  • Ana faaliyet konusu özel nitelikli kişisel veri işleme olmamalıdır.

Bu üç şartı taşıyan veri sorumluları sicile kayıt yükümlülüğünden muaftır. Ancak unutulmamalıdır ki sicile kayıt muafiyeti, veri sorumlusu olma gerçeğini değiştirmez; KVKK kapsamındaki diğer yükümlülüklere uyulması gerekir.

Faaliyet Alanına Göre Muafiyetler

Kişisel Verileri Koruma Kurulu'nun 02.04.2018 tarihli ve 2018/32 sayılı kararı ile ek bir liste yayınlanmış ve bu listede yer alan veri sorumlularının sicile kayıt yükümlülüğünden muaf olduğu belirtilmiştir. Ayrıca 05.07.2018 tarihli ve 2018/75 sayılı karar ile arabulucular da istisna kapsamına alınmıştır.

Bu düzenlemelerde, veri sorumlusunun yıllık çalışan sayısı veya mali bilançosu gibi kriterler yerine yalnızca faaliyet alanı dikkate alınmıştır. Buna göre, aşağıdaki gruplarda yer alan veri sorumluları sicile kayıt yükümlülüğünden muaftır:

  • Herhangi bir veri kayıt sisteminin parçası olmamak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler.
  • 01.1972 tarihli ve 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler.
  • 11.2004 tarihli ve 5253 sayılı Dernekler Kanunu'na göre kurulmuş dernekler, 20.02.2008 tarihli ve 5737 sayılı Vakıflar Kanunu'na göre kurulmuş vakıflar ve 18.10.2012 tarihli ve 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanunu'na göre kurulmuş sendikalar; yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler.
  • 04.1983 tarihli ve 2820 sayılı Siyasi Partiler Kanunu'na göre kurulmuş siyasi partiler.
  • 03.1969 tarihli ve 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar.
  • 06.1989 tarihli ve 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu uyarınca faaliyet gösteren serbest muhasebeci mali müşavirler ve yeminli mali müşavirler.
  • Arabulucular.

Yukarıda sayılan gruplardan birine dahil olan veri sorumluları sicile kayıt yükümlülüğünden muaftır. Ancak bu muafiyet, veri sorumlusu olma gerçeğini ortadan kaldırmaz; 6698 sayılı KVKK kapsamındaki diğer yükümlülüklere uygun hareket edilmesi zorunludur.