Kişisel Verileri Koruma Kurulu’na (“Kurul”) yapılan muhtelif başvurulardan; aynı gerçek kişinin, yurt dışında yerleşik birden fazla veri sorumlusu için irtibat kişisi olarak atanması talebi hakkında yapılan değerlendirme sonucunda Kurul tarafından 16.07.2020 tarih ve 2020/542 sayılı karar özeti yayımlanmıştır.

Türkiye’de yerleşik olmayan veri sorumlularınca 6698 sayılı Kişisel Verilerin Korunması Kanunu (“6698 sayılı Kanun”) ve ikincil mevzuat uyarınca Veri Sorumluları Sicil Bilgi Sistemi (“VERBİS”) kaydı gerçekleştirilirken, aynı veri sorumlusu temsilcisinin birden fazla yurt dışında yerleşik veri sorumlusu adına girişi yapılabilirken, aynı irtibat kişisinin birden fazla yurt dışında yerleşik veri sorumlusu adına girişi yapılamamaktadır. Yukarıda ifade edilen talep ise her bir yurt dışında yerleşik veri sorumlusu için farklı bir gerçek kişinin atanması gerektiğinden bu hususta yaşanan zorluklar nedeniyle Kurul’a sunulmuştur.

Veri Sorumluları Sicili Hakkında Yönetmeliğin (“Yönetmelik”) 4 üncü maddesinde veri sorumlusu temsilcisi, “Türkiye’de yerleşik olmayan veri sorumlularını bu Yönetmeliğin 11 inci maddesinin üçüncü fıkrasında belirtilen konularda asgari temsile yetkili Türkiye’de yerleşik tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı gerçek kişiyi ifade eder.” şeklinde, irtibat kişisi de “Türkiye’de yerleşik olan gerçek ve tüzel kişiler için veri sorumlusu tarafından, Türkiye’de yerleşik olmayan gerçek ve tüzel kişiler için de veri sorumlusu temsilcisi tarafından, Kanun ve bu Kanuna dayalı olarak çıkarılacak ikincil düzenlemeler kapsamındaki yükümlülükleriyle ilgili olarak, Kurum ile iletişimi sağlamak amacıyla Sicile kayıt esnasında bildirilen gerçek kişi” şeklinde tanımlanmıştır.

Buna göre, Türkiye’de yerleşik olmayan veri sorumluları için; Kurum tarafından yapılan tebligat veya yazışmaları onun adına tebellüğ veya kabul etmek, Kurum tarafından veri sorumlusuna yöneltilen talepleri veri sorumlusuna iletmek, veri sorumlusundan gelecek cevabı Kuruma iletmek, ilgili kişilerin Kanunun 13 üncü maddesinin birinci fıkrası uyarınca veri sorumlusuna yönelteceği başvuruları veri sorumlusu adına almak ve veri sorumlusuna iletmek, ilgili kişilere veri sorumlusunun cevabını iletmek ve veri sorumlusu adına Sicile ilişkin iş ve işlemleri yapmak görevleri Yönetmelikle veri sorumlusu temsilcisine verilmiştir.

Söz konusu görevleri yerine getirmekte olan veri sorumlusu temsilcilerine ilişkin Kurul tarafından yapılan değerlendirme sonucunda; Türkiye’de yerleşik bir tüzel kişi veya Türkiye Cumhuriyeti vatandaşı ve Türkiye’de yerleşik bir gerçek kişi olması, Türkiye’de yerleşik olmayan veri sorumlusu adına Sicile ilişkin iş ve işlemleri yapması, VERBİS’te güncelleme yapması ve veri sorumlusu adına Kurum ve ilgili kişilerle iletişimi sağlaması gerektiğinden hem kişisel verilerin korunması mevzuatı konusunda hem de yurtdışında yerleşik veri sorumlularıyla iletişimi sağlayabilecek düzeyde uzmanlaşmış gerçek veya tüzel kişilerin tespit edilerek veri sorumlusu temsilcisi olarak atamasının zorluğu göz önüne alınarak aynı gerçek veya tüzel kişinin Türkiye’de yerleşik olmayan birden fazla veri sorumlusu tarafından veri sorumlusu temsilcisi olarak atanabilmesine imkân sağlanmıştır.

Bu kapsamda Türkiye’de yerleşik olmayan veri sorumluları adına gerek ilgili kişiler gerekse de Kurumla iletişimi sağlayacak asıl muhatabın veri sorumlusu temsilcisi olması, Türkiye’de yerleşik olmayan veri sorumluları için veri sorumlusu temsilcisi tarafından atanacak irtibat kişilerinin VERBİS işlemlerini gerçekleştirecek kişi olması nedeniyle aynı gerçek kişinin Türkiye’de yerleşik olmayan birden fazla veri sorumlusu için irtibat kişisi olarak atanması Kurul tarafından uygun bulunmuştur.

Kişisel Verileri Koruma Kurulu’nun ilgili kararına ilişkin açıklamaya aşağıdaki linkten ulaşabilirsiniz.

https://www.kvkk.gov.tr/Icerik/6797/2020-542

Among the various applications made to the Personal Data Protection Board (“Board“); the decision summary dated 16.07.2020 and numbered 2020/542 was published by the Board as a result of examination made regarding the request of appointment of the same individual as the contact person for more than one data controller residing abroad.

During the registration in Data Controller Registry Information System (“VERBIS”) by the data controllers non-resident in Turkey, in accordance with the Personal Data Protection Law numbered 6698 (“the Law numbered 6698”) and the secondary legislations, the same representative of data controller could be entered in on behalf of more than one data controller residing abroad, but the same contact person could not be entered in on behalf of one than one data controller residing abroad. The above mentioned request has been submitted to the Board due to the difficulties experienced in this regard, since a different individual has to be assigned for each data controller residing abroad.

The representative of data controller is defined as “ The legal person established in Turkey or the individual, citizen of the Republic of Turkey, minimum authorized to represent data controllers which are not established in Turkey within the scope of the issues specified  in the third paragraph of Article 11 of this By-law.” and the contact person is defined as “The individual notified by the data controller which is  natural and legal person established in Turkey and by the representative of the data controller which is natural and legal person not established in Turkey during the registration with the Registry for communicating with the Authority relating to obligations within the scope of the Law and secondary legislation to be prepared in accordance with this Law” in the fourth Article of the By-Law On Data Controllers Registry (“By-Law”).

Accordingly, the duty to receive or  accept notifications  and correspondences made by the Authority on behalf of the data controller, to transmit the demands made by the Authority to the data controller and to submit the responses of the data controller to the Authority, to receive and transmit requests to be made by data subjects pursuant to first paragraph of the Article 13 of the Law on behalf of the data controller, to transmit the response of the data controller to relevant persons and to perform operations relating to the Registry on behalf of the data controller have been assigned to the representative of the data controller for data controllers not established in Turkey.

As a result of the examination made by the Board regarding the data controller representatives performing the said duties, the Board has enabled the same individual or legal person to be appointed as the data controller representative by more than one data controller not established in Turkey by taking into consideration that it is difficult to determine individuals and legal persons specialized in the legislation of personal data protection and also specialized enough to communicate with data controllers residing abroad since they have to be a legal person residing in Turkey or an individual who is a citizen of the Republic of Turkey, to take action and carry on business regarding the Registry on behalf of the data controller not established in Turkey, to update VERBIS and to provide communication with the Board or relevant persons on behalf of the data controller.

In this context, the Board approved the appointment of the same individual as a contact person for more than one data controller not established in Turkey because the representative of data controller will be the main addressee who will provide communication with the Board and relevant persons on behalf of data controllers not established in Turkey and the contact person to be appointed by the representative of the data controller on behalf data controllers not established in Turkey will carry out the process of VERBIS.

You may find the Personal Data Protection Board’s announcement regarding the relevant decision through the following link.

https://www.kvkk.gov.tr/Icerik/6797/2020-542