Hukuki dayanak
Veri Sorumluları Sicili Hakkında Yönetmelik, özellikle 11. madde.
Türkiye’de veri sorumlusu temsilcisi, Veri Sorumluları Sicili Hakkında Yönetmelik’te belirtilen sınırlı konularda Türkiye dışında yerleşik bir veri sorumlusunu temsil etmek üzere atanan, Türkiye’de yerleşik bir tüzel kişi veya gerekli koşulları sağlayan gerçek kişidir.
Temsilci; Kişisel Verileri Koruma Kurumu ile iletişim, 6698 sayılı Kanun'un 13. maddesi kapsamındaki ilgili kişi başvuruları ve çevrimiçi sistemi olan VERBİS ile ilgili işlemler için yerel bir arayüz sağlar.
Önemli olan husus şudur: bir yabancı şirketin sadece Türkiye'de kullanıcıları veya müşterileri olduğu için temsilci atamasına gerek yoktur. Şirket öncelikle 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) ilgili veri işleme faaliyetine uygulanıp uygulanmadığını ve Sicile kayıt yükümlülüğünün bulunup bulunmadığını değerlendirmelidir. Eğer şirket, kayıt yükümlülüğü bulunan Türkiye dışında yerleşik bir veri sorumlusu ise, VERBİS Yönetmeliği kapsamındaki temsilci atama süreci gündeme gelir.
Hızlı rehber
VERBİS kapsamında sınırlı bir yerel temsil görevi; yabancı veri sorumlusunun uyum sorumluluğunun devri değildir.
Veri Sorumluları Sicili Hakkında Yönetmelik, özellikle 11. madde.
Türkiye dışında yerleşik ve Sicile kayıt yükümlülüğü bulunan ilgili veri sorumluları.
Kurum, ilgili kişiler ve Sicil işlemleri için Türkiye’de yerel bir iletişim noktası sağlamak.
Bildirimleri almak, kaydetmek ve iletmek; Sicil işlemlerini yürütmek.
İrtibat kişisi, DPO, GDPR 27. madde temsilcisi, avukat veya genel vekil değildir.
KVKK yükümlülükleri ve esasa ilişkin kararlar yabancı veri sorumlusunda kalır.
Genelleme yapmayın: Türkiye’de kullanıcı veya müşterilerin bulunması, tek başına temsilci atama yükümlülüğü doğduğunu göstermez. Önce KVKK kapsamını ve VERBİS kayıt yükümlülüğünü değerlendirin.
Yönetmelik, veri sorumlusu temsilcisi ifadesini, Türkiye'de yerleşik olmayan bir veri sorumlusunu, en az 11. maddenin 3. fıkrasında listelenen konularda temsil etmeye yetkili, Türkiye'de yerleşik bir tüzel kişi veya nitelikli bir gerçek kişi olarak tanımlar.
Pratikte bu rol, yabancı veri sorumlusuna Türkiye'de ulaşılabilir bir arayüz sağlar. Kurum, temsilci aracılığıyla veri sorumlusu ile iletişim kurabilir ve Kurul tarafından başka bir yöntem belirlenmedikçe, ilgili kişiler 13. madde kapsamındaki başvurularını bu temsilci üzerinden iletebilirler.
“Data Controller Representative” veya “DCR”, bu rolün İngilizce karşılığıdır; ancak genel bir kurumsal temsil yetkisi anlamına gelmez. Temsilci; veri sorumlusunun genel yasal temsilcisi, yerel şubesi, veri koruma görevlisi, avukatı veya karar vericisi konumunda değildir.
Bu rol, veri sorumlusunun Türkiye dışında yerleşik olduğu durumlarda düzenleyici kurumlar ve ilgili kişilerle iletişimi işlevsel kılmak amacıyla oluşturulmuştur. Ayrıca, yabancı veri sorumlularının Veri Sorumluları Sicili (VERBİS) süreçlerini de destekler. Bu rol, veri sorumlusunun hesap verebilirliğini başka bir tarafa devretmez.
Bu soruya yaklaşırken sloganvari bir bakış açısı yerine, aşamalı bir değerlendirme yapmak en güvenli yoldur.
Bu değerlendirme hukuki soruların sırasıyla incelenmesini gerektirir; “Türkiye’de kullanıcı varsa temsilci gerekir” şeklinde bir kural yoktur.
Yabancı kuruluş, ilgili veri işleme faaliyetinin amaçlarını ve vasıtalarını belirliyor mu?
Kuruluşun yerleşikliği, faaliyetleri ve veri işleme bağlantıları, faaliyeti Türk hukukunun kapsamına sokuyor mu?
Güncel mevzuat ve Kurul kararları dikkate alındığında veri sorumlusunun Sicile kayıt yükümlülüğü var mı?
Bu üç değerlendirme kayıt yükümlülüğünü doğruluyorsa, Yönetmelik uyarınca yurt dışında yerleşik veri sorumlusunun Sicil işlemleri Türkiye’deki veri sorumlusu temsilcisi aracılığıyla yürütülür.
Bu şema genel bir ön değerlendirmedir; somut olaya özgü hukuki incelemenin yerine geçmez.
Veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişi veya kuruluştur. Yalnızca belgelendirilmiş talimatlar doğrultusunda veri işleyen yabancı bir tedarikçi, belirli bir faaliyet özelinde veri işleyen konumunda olabilir. Roller, her bir veri işleme faaliyeti için ayrı ayrı değerlendirilmelidir.
KVKK, GDPR Madde 3'e eşdeğer, tek ve ayrıntılı bir bölgesel uygulama formülü ortaya koymaz. Kurul, Türkiye ile olan bağlantıyı belirli kararlarında değerlendirmiştir. Örneğin, 2020/471 sayılı kararında, yabancı bir bankanın Türkiye'deki temsilciliğinin faaliyetlerini bankanın veri işleme süreçleriyle yakından bağlantılı görmüş ve bu bağlamda yabancı bankanın KVKK'ya ve sicile kayıt yükümlülüğüne tabi olduğuna hükmetmiştir.
Bu karar yol gösterici olsa da; sadece Türk kullanıcılar, Türkçe pazarlama faaliyetleri, web sitesinin erişilebilirliği veya tek bir ticari temas üzerinden evrensel bir kural haline getirilmemelidir. Kuruluşun yerleşikliği, operasyonel bağlantıları, söz konusu veri işleme faaliyeti, etkilenen kişiler ve ilgili Kurul kararlarının tümü bir bütün olarak değerlendirilmelidir.
KVKK Madde 16, sicil çerçevesini belirler ve Kurul'a objektif kriterlere dayanarak kayıt istisnaları oluşturma yetkisi verir. Kurul'un kayıt kararları, Türkiye dışında yerleşik veri sorumlularını ayrı bir kategori olarak ele almıştır. Bu nedenle, yerel çalışan sayısı veya bilanço muafiyetleri yabancı bir veri sorumlusuna mekanik bir şekilde uygulanmamalıdır.
Doğru soru, yabancı şirketin küçük olup olmadığı değil; söz konusu veri sorumlusunun ve işleme faaliyetinin, yasal istisnalar ve Kurul tarafından getirilen mevcut muafiyetler dikkate alındığında KVKK ve kayıt çerçevesi kapsamına girip girmediğidir.
Türkiye dışında yerleşik bir kuruluşun veri sorumlusu olarak hareket ettiği, KVKK'nın ilgili işleme faaliyetine uygulandığı ve veri sorumlusunun sicile kayıt yükümlülüğünün bulunduğu durumlarda, Yönetmelik Türkiye'de bir veri sorumlusu temsilcisi aracılığıyla kayıt yapılmasını öngörür. Bu önermelerden herhangi biri belirsizse, bir atama yasal olarak zorunlu gösterilmeden önce kapsam değerlendirilmelidir.
Yönetmelik uyarınca temsilci genel olarak şunlar olabilir:
Düzenleyici tanım, Türkiye'de yerleşik bir tüzel kişiyi veya Türk vatandaşı bir gerçek kişiyi ifade eder. 2020/542 sayılı Kurul Kararı da gerçek kişi temsilciyi, Türkiye'de yerleşik bir Türk vatandaşı olarak tanımlar. Bu nedenle, gerçek kişi atamayı düşünen kuruluşlar, işleme başlamadan önce güncel kimlik, ikamet ve sistem gerekliliklerini doğrulamalıdır.
Atama kararı, yabancı veri sorumlusunun yetkili organı veya kişisi tarafından alınır. Bu kararın onaylı bir sureti, temsilci tarafından Sicil başvurusu sırasında Kurum'a sunulur. Atama kararı, en azından 11. maddenin üçüncü fıkrasında belirtilen görevleri içermelidir.
Seçim sadece Türkiye'de bir adrese sahip olma kriterine göre yapılmamalıdır. Temsilcinin güvenilir bir erişilebilirliğe, güvenli kayıt tutma sistemine, iki dilli net bir iletişim sürecine ve zamana duyarlı bildirimleri doğru şekilde yönlendirebilecek düzeyde KVKK/VERBİS bilgisine sahip olması gerekir.
11. maddenin üçüncü fıkrası asgari bir yetki çerçevesi belirler. Atama kararı, temsilcinin aşağıdaki konulardaki yetkisini kapsamalıdır:
Kullanılan fiiller önemlidir. Yönetmelik, Kurum talepleri ve ilgili kişi başvuruları için temel olarak bir alma-iletme-dönüş kanalı tanımlar. Temsilcinin, olguları araştıran, hukuki durumu belirleyen veya yanıtın sahibi olan taraf olarak veri sorumlusunun yerini aldığını ifade etmez.
11. Madde kapsamındaki atama, temsilciye tek başına şu yetkileri vermez:
Bu hizmetlerin bazıları, yasal olarak uygun olduğu durumlarda ayrı bir sözleşme, vekaletname, profesyonel hizmet anlaşması veya kurum içi yetkilendirme ile kapsam altına alınabilir. Bunlar, yasal temsilci atamasının otomatik sonuçları değildir. Düzenlemeye tabi hukuki hizmetler ve resmi hukuki görüşler, uygun niteliklere sahip bir Türk hukuk danışmanı tarafından yürütülmelidir.
Yabancı kuruluş, veri sorumlusu olmaya devam eder. İşleme amaçlarını ve araçlarını belirlemeye devam eder; ayrıca Sicil'e sunulan bilgilerin doğruluğu, güncelliği, eksiksizliği ve hukuka uygunluğundan sorumludur.
Ayrıca, KVKK programının genelinden de sorumludur: işleme şartları, şeffaflık, ilgili kişi hakları, güvenlik önlemleri, saklama ve imha, uluslararası aktarımlar, ihlal değerlendirmesi ve bildirimi, veri işleyen yönetimi ve Kurul kararlarının uygulanması.
Yönetmelik, Sicil kaydının veri sorumlusunun diğer KVKK yükümlülüklerini ortadan kaldırmadığını açıkça belirtmektedir. Kurum'un resmi Sicil bilgileri de temsilci atamanın yabancı veri sorumlusunun sorumluluğunu ortadan kaldırmadığını açıklamaktadır.
Bu nedenle atama, bir uyumluluk sertifikası değil, uyumluluğun bir parçasıdır.
Bu unvanlar, gizlilikle ilgili iletişim süreçlerini içerdikleri için genellikle bir arada değerlendirilirler. Ancak birbirlerinin yerine kullanılamazlar.
| Rol | Hukuki çerçeve | Temel amaç | Kendiliğinden ifade etmediği roller |
|---|---|---|---|
| Veri sorumlusu temsilcisi | KVKK / Veri Sorumluları Sicili Hakkında Yönetmelik, 11. madde | Kurum ve ilgili kişilerle yerel iletişim; yurt dışında yerleşik veri sorumlusu adına Sicil işlemleri | DPO, avukat, genel vekil, veri sorumlusu veya esasa ilişkin karar verici |
| İrtibat kişisi | Veri Sorumluları Sicili Hakkında Yönetmelik | İletişim ve Sicil işlemlerinin yürütülmesi amacıyla VERBİS’e bildirilen gerçek kişi | Veri sorumlusunun yetkili temsilcisi değildir; Yönetmelik’in 11/4. maddesi bunu açıkça belirtir |
| Veri Koruma Görevlisi (DPO) | Kuruluşun ilgili yönetişim çerçevesi; uygulanıyorsa GDPR’ın DPO hükümleri | Uygulanabilir görev çerçevesinde veri koruma danışmanlığı, izleme, gözetim ve ilgili iletişim | Türkiye’deki 11. madde temsilcisi veya Sicildeki irtibat kişisi değildir |
| GDPR 27. Madde Temsilcisi | AB GDPR, 3/2. ve 27. maddeler | GDPR’ın uygulama alanındaki belirli AB dışı veri sorumluları veya veri işleyenler için AB temsilcisi | Türkiye’de veri sorumlusu temsilcisi atandığını veya KVKK/VERBİS’in uygulandığını göstermez |
Aynı hizmet sağlayıcı ayrı görevlendirmelerle birden fazla rol üstlenebilir; ancak her rolün hukuki dayanağı, kapsamı, olası çıkar çatışmaları ve kayıtları ayrı tutulmalıdır.
Türkiye dışında yerleşik bir veri sorumlusu için temsilci, irtibat kişisi bilgisini Sicil'e girer. irtibat kişisi gerçek kişi olmak zorundadır ve iletişim ile VERBİS işlemlerini yürütür. 11. maddenin 4. fıkrası, bu irtibat kişisinin veri sorumlusunu temsil etmeye yetkili olmadığını açıkça belirtir.
Temsilci, 11. maddenin 3. fıkrasında tanımlanan resmi yerel arayüzdür; irtibat kişisi ise Sicil iş akışında kullanılan kayıtlı bireydir. Temsilcinin tüzel kişi olması durumunda bu ayrım özellikle belirginleşir: Şirket temsilci olabilirken, belirli bir gerçek kişi irtibat kişisi olarak kaydedilir.
Veri koruma görevlisi (DPO), bir kuruluşun atadığı veya seçtiği durumlarda, genellikle gizlilik yönetişimi ve denetim rolünü üstlenir. Türkiye'deki DCR ise Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca özel bir temsilcilik rolüdür. DCR olarak atanmak otomatik olarak bir DPO görevi yaratmaz; aynı şekilde bir DPO atamak da Türkiye'deki temsilci zorunluluğunu kendiliğinden karşılamaz.
GDPR 27. madde temsilcisi, AB hukuk çerçevesine aittir ve GDPR 3(2) maddesi ile bağlantılıdır. Türkiye'nin temsilcisi ise KVKK ve Veri Sorumluları Sicili Hakkında Yönetmelik’e dayanır. Bir hizmet sağlayıcı ilgili yargı bölgelerinde her ikisini de sözleşmesel olarak sunabilir, ancak her bir atama kendi yasası kapsamında değerlendirilmeli ve belgelendirilmelidir.
Süreç genel hatlarıyla beş aşamada anlaşılabilir.
Başvuru, belgelenmiş bir kapsam değerlendirmesini ve veri işleme envanterine dayalı hazırlık sürecini izlemelidir.
Kuruluşu, veri sorumlusu sıfatını, KVKK’nın uygulanmasını ve Sicil kayıt yükümlülüğünü doğrulayın.
Sicil bildirimine esas olacak kişisel veri işleme envanterini hazırlayın veya doğrulayın.
Yönetmelik’in 11/3. maddesindeki asgari yetkileri belirtin ve onaylı karar örneğini hazırlayın.
Temsilci, yurt dışında yerleşik veri sorumlusunun VERBİS işlemlerini yürütür ve irtibat kişisini bildirir.
Güvenli iletişim kanallarını, işlem kayıtlarını, sorumlu irtibatları ve Sicil bilgilerini güncel tutun.
Önemli: Temsilci atamasının veya Sicil kaydının tamamlanması, veri sorumlusunun tüm faaliyetlerinin KVKK’ya uygun olduğunu tek başına göstermez.
İlgili tüzel kişiliği, söz konusu veri işleme faaliyetinde veri sorumlusu olarak hareket edip etmediğini, KVKK'nın uygulanıp uygulanmadığını ve kuruluşun kayıt yaptırmasının gerekip gerekmediğini belirleyin. Bunu, temsilci atamasını sadece bir formalite olarak görmeden önce yapın.
Sicil bilgileri, veri sorumlusunun kişisel veri işleme envanterine dayanmalıdır. Bu nedenle veri sorumlusu, bildirim sürecini tamamlamadan önce veri işleme amaçlarını, ilgili kişi gruplarını, veri kategorilerini, alıcıları, planlanan yurt dışı aktarımlarını, saklama sürelerini ve güvenlik önlemlerini haritalandırmalıdır.
Yabancı veri sorumlusunun yetkili organı veya kişisi, temsilciyi atayan bir karar alır. Bu karar tarafları tanımlamalı ve en azından 11. maddenin üçüncü fıkrasında listelenen yetkileri içermelidir. Kararın onaylı bir sureti, kayıt sırasında temsilci aracılığıyla sunulur.
Temsilci, veri sorumlusu adına Sicil işlemlerini yürütür ve irtibat kişisi bilgilerini girer. Sisteme ilişkin kesin adımlar ve destekleyici belgeler, başvuru anındaki güncel VERBİS arayüzü ve Kurum rehberleri doğrultusunda kontrol edilmelidir.
Kayıt, ilişkinin sonu değildir. Veri sorumlusu ve temsilcinin, Kurum yazışmalarını ve ilgili kişi başvurularını almak, doğrulamak, kaydetmek, ilgili birimlere iletmek ve sonuçlandırmak için canlı bir sürece ihtiyacı vardır. Ayrıca Sicil bilgilerinin doğru ve güncel tutulması gerekir.
Yönetmelik asgari yasal işlevleri tanımlar, ancak güvenilir bir uygulama operasyonel detay gerektirir. Yabancı bir veri sorumlusu, temsilcisiyle en azından şunlar üzerinde anlaşmalıdır:
Bunlar, 11. Madde ile otomatik olarak tanınan ek yetkiler değil, önerilen kontrollerdir. Hizmet sözleşmesi; yasal asgari gereklilikleri, üzerinde anlaşılan operasyonel desteği, kapsam dışı hizmetleri ve hukuki danışmanlık veya ek yetkilendirme gerektiren konuları birbirinden ayırmalıdır.
Hayır. Türk müşteriler veya kullanıcılar ilgili olgular olsa da, tek başına yeterli bir hukuki test değildir. Organizasyon; veri sorumlusu olup olmadığını, KVKK'nın veri işleme faaliyetine uygulanıp uygulanmadığını ve Sicil kaydının gerekli olup olmadığını değerlendirmelidir.
Kurul tarafından başka bir prosedür belirlenmedikçe, 11. maddenin üçüncü fıkrası kapsamındaki asgari yükümlülük, başvuruyu almak, iletmek ve veri sorumlusunun yanıtını aktarmaktır. Başvuruyu değerlendirme ve sonuçlandırma sorumluluğu veri sorumlusuna aittir. Daha kapsamlı bir hazırlık veya vaka yönetimi desteği ayrıca tanımlanmalıdır.
Sadece 11. madde temsilcisi olarak atandığı için hayır. Ayrı ve hukuken geçerli bir yetkilendirme bulunmadığı sürece, bunlar veri sorumlusunun esaslı kararlarıdır. Bu durumda dahi, veri sorumlusunun yasal sorumluluğu kendiliğinden ortadan kalkmaz.
Yönetmelik, bu rolü sadece avukatlarla sınırlandırmamıştır. Uygun nitelikteki tüzel veya gerçek kişilerin görevlendirilmesine olanak tanır. Hukuki temsil, hukuki görüş, itiraz ve dava süreçleri, Türk avukatların katılımını ve uygun yetkilendirmeyi gerektirebilecek ayrı konulardır.
Hayır. Bu iki rol farklı yasal düzenlemelerden doğar, kapsamları ve atanma mantıkları farklıdır. Her iki çerçeveye de tabi olabilecek bir şirket, her bir rolü ayrı ayrı değerlendirmeli ve belgelemelidir.
Hayır. Yönetmelik, kaydın veri sorumlusunun diğer KVKK yükümlülüklerini ortadan kaldırmadığını açıkça belirtmektedir. Kayıt, daha geniş kapsamlı bir uyum programının yalnızca bir parçasıdır.
Türkiye veri sorumlusu temsilcisi, yurt dışında yerleşik bir veri sorumlusu için sınırlı ancak önemli bir düzenleyici ve iletişim arayüzü olarak görülmelidir. Temsilci, Kurum yazışmalarını ve 13. madde kapsamındaki başvuruları alır ve yönlendirir, veri sorumlusunun yanıtlarını iletir ve sicil işlemlerini yürütür. Veri işleme faaliyetlerinden ve KVKK kapsamındaki esaslı kararlardan veri sorumlusu sorumludur.
Bu nedenle yabancı şirketler iki uç noktadan kaçınmalıdır: Türkiye ile her bağlantının bir temsilci gerektirdiğini varsaymak veya küçük ölçekli olmanın ya da yurt dışında yerleşik bulunmanın bu yükümlülüğü ortadan kaldırdığını düşünmek. Savunulabilir bir yaklaşım, belgelenmiş bir kapsam ve kayıt değerlendirmesi ile başlar; ardından, gerektiğinde doğru şekilde yapılandırılmış bir atama ve pratik bir operasyonel süreç ile devam eder.
Kooch, yurt dışında yerleşik veri sorumlularına; atama süreci, VERBİS koordinasyonu, Kurum yazışmalarının güvenli bir şekilde alınması ve iletilmesi, 13. madde kapsamındaki başvuruların yönlendirilmesi, kayıt tutma ve ilgili birimlere iletme süreçlerini kapsayan yapılandırılmış bir Türkiye veri sorumlusu temsilciliği hizmeti sunar. Kapsama duyarlı hukuki sorular ve resmi hukuki görüşler, gerektiğinde yetkin Türk avukatlarla koordine edilebilir.
Hukuki durum 21 Ağustos 2026 itibarıyla kontrol edilmiştir. Bu makale genel hukuki bilgiler ve araştırma analizi sunmaktadır; resmî bir hukuki mütalaa veya belirli bir kurum için verilmiş bir tavsiye niteliğinde değildir.
