Kişisel Verilerin Korunması Mevzuatına Göre Vakıflar, Dernekler ve Sendikalar İle Bunların İktisadi İşletmelerinin Kayıt ve Beyan Sorumlulukları
Mintez ŞİMŞEK
MEB İLKSAN Genel Müdürü
msimsek@ilksan.gov.tr
Bireylerin kendileriyle ilgili olan her türlü kişisel verilerinin korunmasını ve rızaları dışında ilgisiz üçüncü taraflara ulaşmasının önlenmesini isteme hakkı, Anayasal bir hak olup devletimizin güvencesi altındadır.
Türkiye Cumhuriyeti Anayasasının 20 nci maddesinin 3 üncü fıkrasının 3 üncü cümlesi; “Kişisel veriler, ancak kanunda öngörülen hallerde veya kişinin açık rızasıyla işlenebilir.” hükmüne amir olup devlet, bireylere ait kişisel verilerin, kişilerin açık rızaları olmadan ilgisiz üçüncü tarafların eline geçmemesi konusunda gerekli tedbirleri almak ve uygulamakla mükelleftir.
Öte yandan bireylerin kişisel verilere ilişkin yasal hakları, sadece önlemeye yönelik tedbirleri kapsamamakta olup, kendi kişisel verilerine erişim, bilgi edinme, varsa yanlış ve eksik bilgilerin düzeltilmesini veya silinmesini isteme hakkını da kapsamaktadır.
Kuruluş felsefeleri itibariyle bütün sivil toplum örgütleri, bireysel güçlerin birleştirilmesi yoluyla kolektif bir güç oluşturma esasına dayanmaktadır. Dolayısı ile bütün sivil toplum örgütleri aynı zamanda kişisel veri toplayan, kaydeden ve işin mahiyetine göre işleyen kuruluşlardandır. Bu itibarla bütün sivil toplum örgütleri, üyelerine ilişkin kişisel verilerin işlenmesi ve korunmasına yönelik mevzuatın getirdiği asli yükümlülük ve sorumluluklara tabi olup her şeyden önce bu bilgileri iyi korumakla, yayılmasının önlenmesine yönelik tedbirleri almakla ve ilgisiz taraflarla paylaşılmasını önlemekle yükümlüdür.
07.04.2016 tarih ve 29677 Sayılı Resmi Gazetede yayımlanarak yürürlüğe giren 6698 Sayılı Kişisel Verilerin Korunması Kanununun 16 ncı maddesinin 2 nci fıkrası gereği, kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Kişisel Verileri Koruma Kurulunun gözetiminde, Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulmakta olan Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır.
VERBİS, veri sorumlularının kayıt olmak zorunda oldukları ve veri işleme faaliyetleri ile ilgili bilgileri beyan ettikleri bir kayıt sistemi olup makalemizin devamında sivil toplum kuruluşlarının bu kayıt sistemine ilişkin istisna hükümlerine açıklık getirilecektir.
1. VAKIF, DERNEK VE SENDİKALARIN VERİ SORUMLULARI SİCİLİNE (VERBİS) KAYIT YÜKÜMLÜLÜĞÜNDEN İSTİSNA TUTULMASI
6698 sayılı Kişisel Verilerin Korunması Kanununun 16 ncı maddesinin ikinci fıkrası ile Veri Sorumluları Sicili Hakkında Yönetmeliğin 16 ncı maddesi uyarınca VERBİS’e kayıt yükümlülüğüne getirilecek istisnalar, Kişisel Verileri Koruma Kurulu tarafından belirlenmektedir.
Bu yetki kapsamında Kişisel Verileri Koruma Kurulu, 02/04/2018 Tarihli ve 2018/32 Sayılı Kararı ile
— 04/11/2004 tarihli ve 5253 sayılı Dernekler Kanununa göre kurulmuş Dernekleri,
— 20/02/2008 tarihli ve 5737 sayılı Vakıflar Kanununa göre kurulmuş Vakıfları,
— 18/10/2012 tarihli 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanununa göre kurulmuş Sendikaları,
Yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel verilerin işlenmesi ile sınırlı tutulmak kaydı ile Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulmuştur.
Diğer taraftan Kişisel Verileri Koruma Kurulunun 26.11.2019 Tarihli ve 2019/353 Sayılı Kararı ile 2018/32 sayılı Kurul Kararının 3 üncü maddesinde yer alan “04/11/2004 tarihli ve 5253 sayılı Dernekler Kanununa göre kurulmuş derneklerden, 20/02/2008 tarihli ve 5737 sayılı Vakıflar Kanununa göre kurulmuş vakıflardan ve 18/10/2012 tarihli 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanununa göre kurulmuş sendikalardan yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler” ifadesinin, “kendisine bağış yapılanları” da kapsadığı ve bu hususun “faaliyet alanlarıyla sınırlı” ifadesine dâhil olarak yorumlanması gerektiğine, karar verilmiştir.
Dernekler, Vakıflar ve Sendikaların VERBİS sistemine kayıt yükümlülüğünden istisna tutulmasına ilişkin hükümlere açıklık getirmek amacı ile Kişisel Verileri Koruma Kurulunca 22/04/2020 Tarihli ve 2020/315 Sayılı yeni bir karar alınmış, Sicile kayıt yükümlülüğüne istisna getirilen 02.04.2018 tarihli ve 2018/32 sayılı Kurul kararının 3 üncü maddesinde yer alan
“04/11/2004 tarihli ve 5253 sayılı Dernekler Kanununa göre kurulmuş derneklerden, 20/02/2008 tarihli ve 5737 sayılı Vakıflar Kanununa göre kurulmuş vakıflardan ve 18/10/2012 tarihli 6356 sayılı Sendikalar ve Toplu İş Sözleşmesi Kanununa göre kurulmuş sendikalardan yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyenler.” İfadesi,
“yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar”
şeklinde değiştirilmiştir.
Yapılan bu değişiklik ile Veri Sorumluları Siciline kayıt yükümlülüğünden istisna tutulan Dernek, Vakıf ve Sendikalar, Türkiye’de yerleşik olanlar ve Türkiye’de yerleşik olmayanlar şeklinde ayrıma tabi tutulmuş ve sonuç itibariyle VERBİS’e kayıt yükümlülüğünden yalnızca Türkiye’de yerleşik olan Vakıf, Dernek ve Sendikaların istisna tutulacağı karara bağlanmıştır.
Kurul kararında da açıkça ifade edildiği üzere Türkiye’de yerleşik olmayan Dernek, Vakıf ve benzeri Kâr Amacı Gütmeyen Kuruluşlar, (Nonprofit Organization (NPOs)- Non-Governmental Organizations (NGOs) İstisna kapsamında olmayıp, bu kuruluşlar, mevzuatça belirlenen sınırlar dâhilinde ki iş ve işlemleri kapsamında Veri Sorumluları Siciline kayıt olmak zorundadır.
2. VAKIF, DERNEK VE SENDİKALARA AİT İKTİSADİ İŞLETMELERİN SİCİLE KAYIT YÜKÜMLÜLÜĞÜ
Bir önceki maddede detaylı olarak izah ettiğimiz üzere, Kişisel Verileri Koruma Kurulunun 22/04/2020 tarihli ve 2020/315 sayılı Kararı ile değişik 02/04/2018 tarihli ve 2018/32 sayılı Kararı uyarınca “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar” için Sicile kayıt yükümlülüğüne istisna getirilmiş, 5520 sayılı Kurumlar Vergisi Kanununun 2 nci maddesinin 5 inci fıkrasında; “dernek veya vakıflara ait veya bağlı olup faaliyetleri devamlı bulunan, sermaye şirketi ve kooperatif statüsünde bulunmayan ticari, sınaî ve zirai işletmeler” şeklinde tanımlanan İktisadi İşletmelere ilişkin olarak ise herhangi bir hüküm tesis edilmemiş, mevzuattaki bu eksiklik, Kişisel Verileri Koruma Kurulunun 09/06/2021 Tarihli ve 2021/571 Sayılı Kararı ile giderilmiştir.
24/06/2021 tarihli ve 31521 sayılı Resmi Gazete’de yayımlanan bu karara göre;
22/04/2020 tarihli ve 2020/315 sayılı Karar ile değişik 02/04/2018 tarihli 2018/32 sayılı Kurul Kararında yer alan “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalar” ifadesinin “yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunmayanlar” olarak değiştirilmiş, Yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunanların Sicile kayıt olmaları ile Sicile kayıtları esnasında yalnızca iktisadi işletmelerin faaliyetlerine ilişkin bilgi girişi yapmaları gerektiği karara bağlanmıştır.
Bahse konu kurul kararında açıkça belirtildiği üzere Dernek, Vakıf ve Sendikaların kendilerine ilişkin istisna devam etmekle birlikte İktisadi İşletmesi olan dernek, vakıf ve sendikaların işletmelerine matuf istisna hükümleri ortadan kaldırılmış, vakıf, dernek ve sendikaların (tüzel kişiliği bulunmayan) iktisadi işletmeleri adına sicile kayıt olmaları ve yalnızca iktisadi işletmeye ilişkin veri girişi yapmaları esası getirilmiştir.
3. HANGİ İKTİSADİ İŞLETMELER SİCİLE KAYIT İLE YÜKÜMLÜDÜR?
Kurumlar Vergisi Kanununda; “dernek veya vakıflara ait veya bağlı olup faaliyetleri devamlı bulunan, sermaye şirketi ve kooperatif statüsünde bulunmayan ticari, sınaî ve zirai işletmeler” şeklinde tanımlanan, dernek, vakıf ve sendikaların İktisadi İşletmelerinin VERBİS’e kayıt yükümlülüğünde de bazı sınırlamalar mevcuttur.
Buna göre;
— Yıllık çalışan sayısı 50’den az olan veya yıllık mali bilanço toplamı 25 milyon TL’yi aşmayan İktisadi İşletmesi bulunan Vakıf, Dernek ve Sendikaların sicile kayıt zorunluluğu bulunmamaktadır.
— Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan İktisadi İşletmesi bulunan Vakıf, Dernek ve Sendikalar, 31.12.2021 tarihine kadar Sicile kayıt yükümlülüğünü yerine getirmek zorundadır.
— Yıllık çalışan sayısı 50’den az ve yıllık mali bilançosu 25 milyon TL’ den az olmakla birlikte ana faaliyet konusu özel nitelikli kişisel veri işleme olan İktisadi İşletmesi bulunan Vakıf, Dernek ve Sendikalar, 31.12.2021 tarihine kadar Sicile kayıt yükümlülüğünü yerine getirmek zorundadır.
4. YILLIK ÇALIŞAN SAYISININ HESAPLANMASI
Dernek, Vakıf veya Sendikaya ait İktisadi işletmenin sicile kayı şartlarından olan yıllık 50 çalışan sayısının tespiti için tamamlanmış bir önceki yıl kayıtlarına bakılır. İlk defa kurulan İktisadi İşletmenin yıllık çalışan sayısının tespiti için de o yılın bitmesi ve biten yılın sayılarına göre işlem yapılması esastır.
Sayının tespitinde, tamamlanmış geçmiş yıl içerisinde verilen Muhtasar ve Prim Hizmet Beyannamesi kayıtlarındaki 12 aydan en az 7 ayında bildirilen çalışan sayısı dikkate alınacak olup aynı yıl içinde ki bu 7 ayın ardışık bir biçimde 50 kişiyi ihtiva etmesi zorunlu değildir.
5. İKTİSADİ İŞLETMELER İÇİN KAYIT YÜKÜMLÜLÜĞÜNÜN BAŞLANGICI
30.12.2017 tarih ve 30286 sayılı Resmi Gazete’de yayımlanarak yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmeliğin 8 nci maddesi gereği Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kayıt yükümlülüklerini yerine getirmek zorundadır.
Önceki hal ve durumuna göre kayıt yükümlülüğü altında bulunmayan ve sonradan kayıt yükümlüsü haline gelen veri sorumluları, yükümlülük altına girmelerini müteakip 30 gün içerisinde Sicile kaydolmak zorundadır.
Kayıt yükümlülüğü altında bulunan veri sorumluları, herhangi bir fiili, teknik ya da hukuki imkânsızlık nedeniyle kayıt yükümlülüklerinin yerine getirilememesi halinde, bu imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içerisinde Kuruma yazılı olarak başvurmak ve gerekçesini belirtmek şartıyla, kayıt yükümlülüklerini yerine getirmek için Kurumdan ek süre talep edebileceklerdir.
Kişisel Verileri Koruma Kurumu bahse konu talep sahiplerine bir defaya mahsus olmak ve her halde 30 günü geçmemek üzere ek süre verebilmektedir.
6. SONUÇ
Faaliyetlerinin gereği itibariyle kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulmakta olan Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadırlar.
Bununla birlikte, 6698 sayılı Kişisel Verilerin Korunması Kanununun 16 ncı maddesinin ikinci fıkrası ile Veri Sorumluları Sicili Hakkında Yönetmeliğin 16 ncı maddesi ve Kişisel Verileri Koruma Kurulu tarafından alınan karar doğrultusunda Dernekler, Vakıflar ve Sendikalar VERBİS kayıt zorunluluğundan istisna tutulmuşlardır.
Dernek, Vakıf ve Sendikaların Veri Sorumluları Sicili kaydından istisna tutulmaları;
— Vakıf, Dernek veya Sendikanın Türkiye’de yerleşik olması,
— Kişisel Veri İşleme faaliyetinin, Dernek Tüzüğü, Vakıf Senedi veya Sendika Tüzüğünde açıkça belirtilen faaliyet alanları ile sınırlı olması,
— İşlenen kişisel verilerin, sadece kendi çalışanlarına, üyelerine veya mensuplarına ilişkin verilerle sınırlı olması,
— İşlenen kişisel verilerin, sadece bağışçılarına veya kendisine bağış yapılanlarla sınırlı olması,
Kaydı ile mümkündür.
Türkiye’de yerleşik olmayan dernek, vakıf ve sendikalar ile kar amacı gütmeyen kuruluşlar, Veri siciline kayıt istisnası kapsamında olmayıp, bu tüzel kişiliklerin VERBİS’e kayıt olma zorunluluğu bulunmaktadır.
Türkiye’de yerleşik Vakıf, Dernek ve Sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunanlar, Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadırlar.
İktisadi İşletmesi bulunan Vakıf, Dernek ve Sendikalar, Sicile kayıtları esnasında yalnızca iktisadi işletmelerin faaliyetlerine ilişkin bilgi girişi yapmakla mükellef olup, Dernek, Vakıf ve Sendikanın Tüzük veya Senet gereği yaptıkları faaliyetleri hakkında sicil sistemine herhangi bir giriş yapmayacaklardır.
Sicile kayıt zorunluluğu, yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 25 milyon TL’den çok olan İktisadi İşletmesi bulunan Vakıf, Dernek ve Sendikalar ile çalışan sayısı 50’den az ve yıllık mali bilançosu 25 milyon TL’ den az olmakla birlikte ana faaliyet konusu özel nitelikli kişisel veri işleme olan İktisadi İşletmesi bulunan Vakıf, Dernek ve Sendikaları kapsamaktadır.
Yukarıda ki şartları haiz İktisadi İşletmesi bulunan Vakıf, Dernek ve Sendikalar, 31.12.2021 tarihine kadar Sicile kayıt yükümlülüğünü yerine getirmek zorundadırlar.