Yabancı Şirket KVKK Temsilcisini Nasıl Atar?

Türkiye'de yerleşik olmayan veri sorumlusunun Sicile kaydı temsilcisi aracılığıyla yapılır. Temsilci, Türkiye'de yerleşik bir tüzel kişi veya Türkiye Cumhuriyeti vatandaşı bir gerçek kişi olabilir. Yetkilendirme, yabancı veri sorumlusunun yetkili organı ya da kişisi tarafından alınan karara dayanır. Sadece Türkiye'de bir iletişim adresi göstermek, yönetmelikteki temsilci atamasını her durumda karşılamaz.

Önce kayıt yükümlülüğü belirlenir

Yurt dışında kurulmuş her şirket hakkında, Türkiye ile ilişkisinin niteliğine bakılmadan aynı kayıt sonucu çıkarılamaz. Önce şirketin veri sorumlusu olup olmadığı, işleme faaliyeti ve uygulanabilir kayıt rejimi değerlendirilmelidir. Türkiye'de müşteri bulunması, kullanılan teknoloji veya hizmet sunum modeli incelenirken somut faaliyet esas alınır. Bu yazı, kayıt yükümlülüğü kapsamındaki yurt dışı yerleşik veri sorumlusunun temsilci düzenini açıklar.

VERBİS yükümlülüğü ve muafiyet ile temsilcinin kim olacağı iki ayrı aşamadır. Türkiye'deki işletmelere ilişkin bir muafiyet ölçütünü, yabancı şirketin durumunu incelemeden aynen taşımak doğru değildir. Ayrıca temsilci atanması, bütün veri işleme ve aktarım faaliyetlerinin kendiliğinden hukuka uygun olduğu anlamına gelmez.

Atama belgesinde hangi yetkiler bulunur?

Sicil Yönetmeliğinin 11. maddesi, yetkilendirme kararının asgari kapsamını gösterir. Temsilcinin Kurumun tebligat ve yazışmalarını veri sorumlusu adına alabilmesi gerekir. Kurumun taleplerini yabancı veri sorumlusuna, veri sorumlusunun cevaplarını da Kuruma iletebilmesi yetkilendirmenin önemli bölümüdür. Böylece Türkiye'deki idari iletişim yalnız gönüllü bir aracının yardımına bırakılmaz.

Karar ayrıca Sicile ilişkin iş ve işlemleri yürütme yetkisini kapsamalıdır. İlgili kişilerin başvurularını alma ve cevapları iletme yetkileri de yönetmelikte düzenlenmiştir; Kurulca başka esas belirlenmiş olması ihtimali saklıdır. Belge hazırlanırken “gerekli her işi yapar” gibi belirsiz ifadeyle yetinmek yerine yönetmelikteki işlevlerin gerçekten karşılandığı kontrol edilmelidir.

Yabancı veri sorumlusunun yetkili organı veya kişisi tarafından alınan atama kararının tasdikli örneği, kayıt başvurusu sırasında temsilci tarafından Kuruma sunulur. Bu gereklilik, yetkisiz bir çalışanın hazırladığı sıradan e-posta ile resmi atama kararının aynı sayılmaması açısından önemlidir. Belgenin şirket hukukuna göre kim tarafından çıkarılabileceği de ayrıca değerlendirilir.

Temsilci ile irtibat kişisi aynı şey değildir

Veri sorumlusu temsilcisi, yönetmelikte kendisine tanınan ve atama kararıyla verilen görevleri yerine getirir. İrtibat kişisi ise iletişim kurulması amacıyla bildirilen gerçek kişidir. İrtibat kişisi sıfatı tek başına Kanun ve Yönetmelik bakımından veri sorumlusunu temsil yetkisi vermez. Bu nedenle iki alanın sistemde görünmesi, aynı hukuki role işaret ettikleri şeklinde anlaşılmamalıdır.

Temsilcilik belgesi de sınırsız ticari vekâletname sayılmaz. Şirket adına kredi alma, dava sulhü yapma veya malvarlığı devretme gibi yetkilerin varlığı yalnız KVKK temsilciliğinden çıkarılamaz. Hangi işlemlerin yapılabileceği, ilgili yetki belgesi ve uygulanabilir diğer kurallar üzerinden ayrıca belirlenir.

Başvuru yapan kişi neye dikkat etmeli?

Verisi işlenen kişi, karşısında Türkiye'deki temsilci bulunduğu için yabancı veri sorumlusunun kimliğini gözden kaçırmamalıdır. Başvuruda şirketin doğru unvanı, ilgili hizmet veya hesap ve istenen işlem açıkça gösterilebilir. Temsilciye ulaşan talebin veri sorumlusuna iletilmesi ile talebin esasına uygun cevap verilmesi farklı aşamalardır. Gerektiğinde kişisel veri şikâyeti kendi başvuru şartlarıyla değerlendirilir.

Somut örnek

Varsayımsal bir yabancı yazılım şirketinin Türkiye'de yerleşik danışmanlık şirketini temsilci seçtiğini düşünelim. Yerel şirketin adı sözleşmeye yazılmış, ancak Kurum tebligatlarını alma veya ilgili kişi taleplerini iletme yetkisi verilmemişse belgenin kapsamı gözden geçirilmelidir. Temsilci seçiminin uygun kişi üzerinde yapılması ile yetkilerin eksiksiz tanımlanması ayrı kontrollerdir.

Atama değiştiğinde eski ve yeni temsilci arasındaki dosya devri de önemlidir. Devam eden başvuruların, gelen yazıların ve verilmiş cevapların tarihleri korunmalıdır. Temsilci değiştirmek, yabancı veri sorumlusunun önceki işleme faaliyetinden kaynaklanan yükümlülüklerini veya süren başvuruları ortadan kaldırmaz. Eski temsilcide kalan evrakın yeni temsilciye hangi tarihte aktarıldığını gösteren kayıtlar, cevapsız başvuru ve kaçırılan bildirim iddialarının değerlendirilmesine yardımcı olur.

Hukuki kaynaklar

• Veri Sorumluları Sicili Hakkında Yönetmelik — m. 4/p, m. 5/b, m. 11/2–4 ve m. 12: yurt dışı yerleşik veri sorumlusunun temsilcisi.