Yeni Gelişme
Kişisel Verileri Koruma Kurumu (“Kurum“) Türkiye’de temsilciliği bulunan bir yabancı bankanın 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun“) kapsamında veri sorumlusu sayılıp sayılmayacağı ve Veri Sorumluları Siciline (VERBİS) kayıt yükümlülüğü olup olmadığı hakkında gelen bir görüş talebine istinaden verdiği kararın bir özetini yayımladı. Kurum, yabancı bankanın Kanun kapsamında veri sorumlusu olacağını ve VERBİS’e kayıt yükümlülüğü bulunduğunu teyit etti.
Kurum’un duyurusuna buradan ulaşabilirsiniz.
Karar Ne Diyor?
İlk olarak karar bankaların temsilciliklerine bankacılık faaliyetleri konusunda getirilen kısıtlamaları belirttikten sonra her halükarda Türkiye’deki bu temsilciliklerin ilgili yabancı bankalar için gerçekleştirdiği iletişim ve tanıtım faaliyetlerini vurguluyor. Karar özetinde Kurumun konu hakkında özellikle aşağıdaki tespitlerine ve yorumlarına yer verilmiş:
- Yabancı bankanın, sağladığı finansman hizmetleri kapsamında Türkiye’de mukim ilgili kişilerin kişisel verilerini işlediği anlaşılmaktadır ve bu bankanın temsilciliğinin Türkiye’de gerçekleştirdiği faaliyetlerin, söz konusu faaliyetler yabancı bankanın faaliyetlerine katkı yapacağından, ilgili yabancı bankanın faaliyetlerinden ayrı tutulamayacağı değerlendirilmektedir.
- Aynı doğrultuda, AB Genel Veri Koruma Tüzüğü (“GVKT“) de GVKT alanının dışında yer alan bir şirketin bu alanın içinde bir ofisi olması ve bu ofis yoluyla dışarıdaki şirketin gelirlerinin arttırılması halinde ilgili şirkete uygulanmaktadır.
- Temsilciliğin Türkiye’deki sürekli mevcudiyeti değerlendirildiğinde, bankanın yurtdışında yerleşik olması ve kişisel veri işleme faaliyetlerini yurtdışında gerçekleştiği gerekçesiyle Kanunun uygulama alanı bulmayacağının kabulü Kanunun amacı ile bağdaşmayacaktır.
- Veri Sorumluları Sicili Hakkında Yönetmelik kapsamında Türkiye’de yerleşik olmayan veri sorumlularının (yabancı veri sorumluları) da veri işlemeye başlamadan önce VERBİS’e kayıt yükümlülüğü bulunduğu düzenlenmiştir.
- Veri ihlallerinin bildirimine ilişkin karar uyarınca da veri ihlalinin sonuçlarının Türkiye’de yerleşik ilgili kişileri etkilemesi ve bu kişilerin sunulan ürün ve hizmetlerden Türkiye’de faydalanmaları halinde, yabancı veri sorumlusunun da Kuruma bildirimde bulunması gerekmektedir.
Bu hususlara istinaden Kurum, temsilciliği vasıtasıyla Türkiye’deki sürekli mevcudiyeti nedeniyle yabancı bankanın Kanun kapsamında veri sorumlusu olduğuna ve VERBİS’e kayıt yükümlülüğü bulunduğuna karar vermiştir.
Sonuç
Kurum bir kez daha Türk kişisel verilerin korunması mevzuatının ve bu kapsamındaki yükümlülüklerin Türkiye sınırları ile kısıtlı olmadığını ve veri işleme faaliyetinin Türkiye’deki kişilerle ilgili olması halinde Kanun, ikincil mevzuat ve Kurumun otoritesinin sınır dışı uygulama alanı bulabileceğini vurgulamış oldu. Kurum ayrıca Türkiye’de temsilcilik bulunduran yabancı şirketler için bu temsilciliğin ilgili yabancı şirketin Kanun kapsamında veri sorumlusu statüsüne ilişkin açık bir gösterge olarak değerlendirilebileceğini işaret etti.
COVID-19 salgını ile ilgili hukuki düzenlemelerle ilgili bilgilere Esin Avukatlık Ortaklığı Coronavirüs Masası‘ndan ulaşabilirsiniz.
