İrtibat Kişisi ile Veri Sorumlusu Temsilcisi Farkı
İrtibat kişisi Türkiye'de yerleşik veri sorumluları için, veri sorumlusu temsilcisi yurt dışında yerleşik olanlar için atanır. VERBİS kaydı ve sorumluluk farkı.
İrtibat Kişisi ile Veri Sorumlusu Temsilcisi Farkı
İlgili hizmet sayfası → Fikri Mülkiyet Avukatı: Marka, telif, haksız rekabet ve dijital hukuk uyuşmazlıkları için hizmet sayfası.
Kısa cevap: İki sıfat farklı veri sorumlusu tiplerine aittir. İrtibat kişisi, Türkiye'de yerleşik tüzel kişi veri sorumlularının VERBİS kaydında bildirdiği, Kurumla iletişimi sağlayan gerçek kişidir. Veri sorumlusu temsilcisi ise Türkiye'de yerleşik olmayan veri sorumlusunun, Türkiye'deki yükümlülükleri bakımından belirlediği tüzel kişi ya da Türk vatandaşı gerçek kişidir.
Ortak nokta, ikisinin de veri sorumlusunun yerine geçmemesidir. Hukuki sorumluluk her iki halde de veri sorumlusunda kalır.
1. Kanuni Dayanak ve Kayıt Bağlantısı
KVKK md. 16, kişisel veri işleyen gerçek ve tüzel kişilerin veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını öngörür1. İki sıfat da bu kayıt yükümlülüğünün içinden doğar; Veri Sorumluları Sicili Hakkında Yönetmelik ile somutlaştırılmıştır.
Ayrım, veri sorumlusunun yerleşiklik durumuna göre yapılır:
- Türkiye'de yerleşik tüzel kişi veri sorumlusu kayıt sırasında bir irtibat kişisi bildirir.
- Türkiye'de yerleşik gerçek kişi veri sorumlusu için irtibat kişisi bizzat kendisidir; ayrıca bir kişi bildirilmez.
- Türkiye'de yerleşik olmayan veri sorumlusu önce bir veri sorumlusu temsilcisi belirler, kayıt işlemleri bu temsilci üzerinden yürür ve temsilci ayrıca bir irtibat kişisi bildirir.
Üçüncü halde iki sıfat birlikte bulunur ve birbirinin yerini almaz. Temsilci kurumsal muhataptır, irtibat kişisi ise iletişim kanalıdır.
Önemli: Yurt dışında yerleşik veri sorumlusu, temsilci atamadığı sürece Türkiye'deki kayıt yükümlülüğünü yerine getiremez. Kayıt yapılmamış olması, KVKK md. 18 kapsamında idari para cezası riskini doğurur. Türkiye'ye yönelik hizmet sunan yabancı platformlarda bu eksiklik en sık rastlanan yapısal aykırılıktır. Muafiyet ölçütleri VERBİS kaydı kimler için zorunlu başlığındadır.
2. İrtibat Kişisi: Kapsam ve Sınırları
İrtibat kişisi, veri sorumlusunun KVKK ve ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak Kurum ile kurulacak iletişim için sicile bildirilen gerçek kişidir.
Nitelikleri bellidir: Türkiye Cumhuriyeti vatandaşı olmalı ve Türkiye'de yerleşik bulunmalıdır. Sicile ad, soyad, TC kimlik numarası, adres, telefon ve elektronik posta bilgileri kaydedilir ve bu bilgiler kamuya açık sicilde görünür.
Sınırı çizen kural şudur: irtibat kişisi veri sorumlusunu temsil etmez. KVKK md. 11 kapsamında ilgili kişilerce yapılan başvuruları alma, değerlendirme ve cevaplama yetkisi ona ait değildir; başvurular veri sorumlusuna yöneltilir ve veri sorumlusunca sonuçlandırılır. İrtibat kişisinin işlevi, Kurumdan gelen bildirimlerin ulaşacağı adresi belirlemektir.
Bu ayrımın pratik sonucu, unvan seçiminde ortaya çıkar. İrtibat kişisi olarak bildirilen kişinin şirket içinde bilgi akışını sağlayabilecek konumda olması gerekir. Kuruma gelen bir tebligatın operasyonel bir personelde kalıp hukuk birimine ulaşmaması, süre kaybı doğurur ve süreler hak düşürücüdür.
3. Veri Sorumlusu Temsilcisi: Atama ve Yetkiler
Türkiye'de yerleşik olmayan veri sorumlusu, Türkiye'de yerleşik bir tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı gerçek kişi arasından temsilcisini belirler. Atama, sicile kayıttan önce ve veri sorumlusunun yetkili organının kararıyla yapılır; karar, asgari yetkileri açıkça göstermelidir.
Temsilcinin taşıması gereken asgari yetkiler şunlardır:
- Kurum tarafından yapılan tebligat ve yazışmaları veri sorumlusu adına kabul etmek ve veri sorumlusuna iletmek
- İlgili kişilerin veri sorumlusuna yönelttiği talepleri veri sorumlusuna iletmek ve veri sorumlusundan gelen cevabı ilgili kişiye ulaştırmak
- Kurumun veri sorumlusundan talep ettiği bilgi ve belgeleri iletmek, cevabı Kuruma ulaştırmak
- Sicile ilişkin bildirim ve güncelleme işlemlerini yürütmek
Temsilci, veri sorumlusunun kendisi değildir. Sözleşmeyle üstlenilmedikçe idari para cezasının muhatabı olmaz; ancak Kurumla iletişimin tek kanalı olduğu için bildirim yükümlülüklerindeki gecikmeler doğrudan veri sorumlusunun aleyhine sonuç doğurur. Kişisel Verileri Koruma Kurulu'nun yerleşik yaklaşımında, temsilciye yapılan tebligat veri sorumlusuna yapılmış sayılmaktadır.
Temsilcinin kimliği ayrıca aydınlatma metinlerinde görünür. KVKK md. 10, aydınlatma yükümlülüğünün içeriğinde veri sorumlusunun ve varsa temsilcisinin kimliğinin bildirilmesini öngörür. Metin kurgusu KVKK aydınlatma metni rehberi başlığında ayrıntılıdır.
4. Sorumluluk Kimde Kalır
Her iki sıfat da sorumluluğu devretmez. KVKK'nın yükümlülük kurduğu süje veri sorumlusudur; aydınlatma, veri güvenliği, başvuru yönetimi, ihlal bildirimi ve sicil yükümlülüklerinin hepsi ona aittir.
İrtibat kişisi bakımından tablo nettir: sıfat, kişisel bir hukuki sorumluluk üretmez. Şirket personeli olan irtibat kişisi, yalnızca bu sıfatı taşıdığı için idari para cezasının muhatabı olmaz. Buna karşılık kişisel verilerin hukuka aykırı biçimde ele geçirilmesi veya yayılması söz konusuysa Türk Ceza Kanunu md. 136 kapsamındaki cezai sorumluluk, fiili işleyen gerçek kişi hakkında doğar2. Bu sorumluluk sıfattan değil fiilden kaynaklanır.
Temsilci bakımından ise iki katman ayrılmalıdır. Kamu hukuku katmanında yükümlülük veri sorumlusundadır. Özel hukuk katmanında ise temsilcilik ilişkisi bir sözleşmeye dayanır ve temsilcinin kendi kusurundan doğan zarar için veri sorumlusuna karşı sorumluluğu bu sözleşmeye göre belirlenir. Türkiye'de temsilcilik hizmeti veren şirketlerin sözleşmelerinde bu sınırın açıkça çizilmesi gerekir.
Veri sorumlusu ile veri işleyen ayrımı, bu tabloyla karıştırılmamalıdır. İrtibat kişisi ve temsilci iletişim rolleridir; veri işleyen ise fiilen veri işleyen ayrı bir süjedir ve KVKK md. 12 uyarınca güvenlik yükümlülüğünden müştereken sorumludur. Ayrım veri sorumlusu ile veri işleyen arasındaki fark nedir başlığında açıklanmıştır.
Uygulamada
Şirketlerin ilk hatası, irtibat kişisini bir unvan olarak görmektir. Sicile bildirilen kişi işten ayrıldığında kayıt güncellenmezse, Kurumdan gelen bildirimler kimsenin izlemediği bir adrese düşer. Sicil bilgilerinin güncel tutulması ayrı bir yükümlülüktür ve personel değişikliklerinde bu adım rutin olarak atlanır.
İkinci hata, grup şirketlerinde yaşanır. Yurt dışındaki ana şirket Türkiye'ye yönelik hizmet sunarken, Türkiye'deki bağlı şirket kendi adına kayıt yaptırır ve ana şirketin temsilci atama yükümlülüğü gözden kaçar. Oysa iki tüzel kişi ayrı veri sorumlusudur; Türkiye'deki iştirakin kaydı ana şirketin yükümlülüğünü karşılamaz. Doğru analiz, hangi işleme faaliyetinde amaç ve vasıtaları kimin belirlediğine bakarak yapılır.
Üçüncü hata, temsilci atama kararının yetersiz yazılmasıdır. Kararda asgari yetkiler tek tek sayılmamışsa, Kurumun bildirimi teslim aldığı halde temsilcinin bu yetkiye sahip olmadığı savunması dinlenmez. Atama kararı, yetki kapsamını sınırlayan değil tanımlayan bir metin olarak kurgulanmalıdır.
Dördüncü nokta ilgili kişi başvurularının akışıdır. Yurt dışında yerleşik veri sorumlusuna yöneltilen talepler temsilci üzerinden iletilse dahi, KVKK md. 13'teki otuz günlük cevap süresi değişmez. Aradaki iletim süresi bu takvimin içindedir. Başvuru yönetiminin usulü KVKK veri sahibi başvurusu nasıl yapılır başlığında ele alınmıştır.
İlgili içerikler için bkz. Haksız Rekabet, Kişisel Verilerin Korunması: Temel Çerçeve ve Yükümlülükler, VERBİS Kaydı Kimler İçin Zorunlu?, Veri Sorumlusu ile Veri İşleyen Arasındaki Fark Nedir?.
Dipnotlar
Sonraki dosya · Soru
Kargoda Taklit Ürün Çıkarsa Satıcı Sorumlu mu?
Dosyayı aç →