KVKK Kapsamında İrtibat Bürolarının Hukuki Statüsü

İrtibat Bürosu Nedir?

İrtibat bürosu, ana faaliyet alanı; pazar araştırmaları, haberleşme, tanıtım, bilgi alma ve/veya teknik destek olan, Türkiye piyasasında yabancı ülke merkezli şirketler tarafından kurulan yerler olarak adlandırılmaktadır. İrtibat bürolarının şubeden en önemli farkı, herhangi bir ticari faaliyette bulunmalarına izin verilmemesidir.

İrtibat büroları, 4875 sayılı Doğrudan Yabancı Yatırımlar Kanunu'nda düzenlenmiştir. Anılan Doğrudan Yabancı Yatırımlar Kanunu'na göre, yabancı ülke kanunları uyarınca kurulmuş şirketlere, Türkiye'de ticari faaliyette bulunmamak kaydıyla irtibat bürosu açma izni verilebilir. İrtibat bürosu açma sürecinin usul ve esasları ise anılan Kanun'a dayanılarak çıkartılan Doğrudan Yabancı Yatırımlar Kanunu Uygulama Yönetmeliği'nde düzenlenmiştir.

Kişisel Verilerin Korunması Kanunu Kapsamında İrtibat Bürolarının Statüleri

Yurt dışında yerleşik tüzel kişilerin Türkiye'de işlemekte oldukları kişisel veriler nedeniyle;

• Yurt dışında yerleşik tüzel kişiler,
• Yurt dışında yerleşik tüzel kişilerin Türkiye'deki şubeleri,
• Yurt dışında yerleşik tüzel kişilerin Türkiye'deki irtibat bürolarının,

6698 sayılı Kişisel Verilerin Korunması Kanunu ("KVKK")'ya göre veri sorumlusu sayılıp sayılmayacağı ve Veri Sorumluları Sicili'ne ("Sicil" ve/veya "VERBIS") beyanda bulunma yükümlülüğü olup olmadığının incelenmesi neticesinde, Kişisel Verileri Koruma Kurumu ("Kurum") tarafından 2019/225 sayılı karar ("2019/225 sayılı Karar") verilmiştir. İşbu 2019/225 sayılı Karar kapsamında ticari faaliyet dışındaki konular hakkında yurt dışındaki merkez firmaya bilgi verme amacı doğrultusunda açılmaları ve şube özelliklerinin bulunmaması nedeniyle irtibat bürolarının veri sorumlusu sayılmayacağına; bu kapsamda VERBİS'e beyanda bulunmasının zorunlu olmadığına karar verilmişti. 2019/225 sayılı Karar'a ilişkin detaylı açıklamalarımızı içerir makalemize buradan ulaşabilirsiniz.

Ancak tüm bunların yanında Türkiye'deki şubesi veya irtibat bürosu aracılığı ile kişisel veriyi kendi amaçları için kullanan veya Türkiye'deki organizasyonun veri kayıt sistemini yöneten yurt dışındaki tüzel kişilerin, Sicil'e kayıt yükümlülüğü doğmakla birlikte veri sorumlusu temsilcisi (Data Controller Representative) atamaları gerekmektedir. Yurt dışında yerleşik veri sorumlularının yükümlülüklerine ilişkin detaylı bilgiyi içeren makalemize buradan ulaşabilirsiniz.

Kişisel Verileri Koruma Kurumu'nun Yurt Dışında Yerleşik Tüzel Kişilerin Türkiye'deki Şubeleri ile İrtibat Bürolarının Sicile Kayıt Yükümlülüğü Hakkındaki Görüş Talebi ile ilgili Kararın İncelenmesi

İşbu makalemizde Kurum tarafından 23.07.2022 tarih ve 2019/225 sayılı kararın ("Karar") incelemesi yapılarak bu kapsamda irtibat bürolarının ve merkez firmaların yükümlülükleri hususuna kısaca değinilecektir. Karar'ın detaylı metnine buradan ulaşabilirsiniz.

Şikâyet Konusu

Kurum'un internet sayfasında yayımladığı karar incelemesinde ilgili kişi tarafından yapılan şikâyette;

• İlgili kişinin işe kabulü yapılırken, veri sorumlusunun irtibat bürosu tarafından, veri sahibinden; adli sicil kaydı, sağlık raporu, akciğer filmi raporu, kan grubu belgesi, ehliyet fotokopisi, evlilik cüzdanı fotokopisi ve aile bireylerinin nüfus cüzdanı fotokopilerinin istenildiği ve ilgili kişi tarafından bu belgelerin teslim edildiği,
• İrtibat bürosunun bahse konu özel nitelikli kişisel verilerin işlenmesi için ilgili kişiden açık rıza almadığı,
• Aile bireylerinin nüfus cüzdanı bilgilerinin talep edilmesinin Kanun'un 4'üncü maddesinde yer alan genel ilkeler ile çeliştiği,
• Veri sorumlusunun, özel nitelikli kişisel verilerin işlenmesinde Kurum'un aldığı 31.01.2018 tarihli ve 2018/10 sayılı Karar'da belirtilen hususları yerine getirmediği,
• Veri sorumlusunun, yurt dışında mukim olması sebebiyle, ilgili kişiye ait kişisel verilerin yurt dışına da aktarılmış olabileceği,
• İlgili kişinin başvurusuna veri sorumlusu tarafından 30 günlük yasal süre içinde herhangi bir yanıt verilmediği

hususlarında şikâyet talebi iletilmiş ve KVKK kapsamında gerekli işlemlerin yapılması talep edilmiştir.

Veri Sorumlusunun Türkiye'deki İrtibat Bürosu Tarafından Kurum'a İletilen Savunması

Kurum tarafından konuya ilişkin başlatılan inceleme çerçevesinde, veri sorumlusunun Türkiye'deki irtibat bürosunun savunması talep edilmiş olup, cevabı yazıda özetle;

• Şikâyet edilenin, yurt dışı menşeili veri sorumlusunun Türkiye'deki irtibat bürosu olduğu, yasal kuruluş esasları gereği münferit bir tüzel kişiliği ve ticari faaliyeti haiz olmadığı,
• İlgili kişinin veri sorumlusu bünyesinde çalışmasının doğrudan yurt dışı merkezli yasal mevzuat hükümlerine göre belirlendiği ve buna göre iş yeri sicil dosyasının yurt dışında cari olan mevzuat hükümlerine göre oluşturulduğu,
• İlgili kişinin şikâyetine konu olan kişisel verilerin, ilgili kişinin yurt dışında mukim veri sorumlusunun çalışanı olması nedeniyle, kendi rızası doğrultusunda temin edildiği ve bu anlamda icazet olmaksızın söz konusu kişisel verilerin yurt dışına aktarılması gibi bir durumdan bahsedilemeyeceği,
• Şikâyete konu kişisel verilerin, iş akdi gereği, çalışma süresi boyunca, şikâyet edilen irtibat bürosu uhdesinde "özlük dosyası" mahiyetinde, ilgili yasal mevzuat ile kanunlarda belirlenen meşru amaca uygun olarak muhafaza edildiği, iş akdinin sonlandırılmasını müteakip ilgili kişi tarafından İş Mahkemesi nezdinde mevcutdava dosyasının bir örneğinin sunulduğu, sonrasında yasal bir zorunluluk bulunmamasına karşın söz konusu kişisel verilerin irtibat bürosu ve yurt dışı birimleri kayıtlarında imha edildiği

belirtilmiştir.

İnceleme ve Değerlendirme

Kurum tarafından konuya ilişkin yürütülen incelemede; irtibat bürolarının işverenlik statüleri çeşitli mevzuat kapsamında değerlendirilmiştir. Değerlendirmede, irtibat bürolarının 4857 sayılı İş Kanun'u kapsamında "iş yeri" statüsünde olduğu, 4875 sayılı Doğrudan Yabancı Yatırımlar Kanunu'nda tanımlanan "yabancı yatırımcıların" iş hukuku anlamında işveren sıfatını kazanacağı, bu suretle irtibat bürosu çalışanlarını istihdam eden işverenin; veri sorumlusunun irtibat bürosu değil, veri sorumlusu sıfatının yurt dışında mukim ve tüzel kişiliği haiz olan veri sorumlusunun kendisine atfedilebileceği ifade edilmiştir.

Somut hadisede, ilgili kişi tarafından gönderilen tebligatta, yetkili sıfatı ile veri sorumlusunun şirket müdürüne yer verildiği, şirket müdürünün ise yurt dışında mukim olunan yer yetkili noteri tarafından onaylanan ve düzenlenen vekâletname ile veri sorumlusu adına yetkilendirildiği ve bu hâlde ilgili kişinin veri sorumlusuna irtibat bürosu yetkilisi ve işveren vekili vasıtasıyla yaptığı tebligatın hukuken muteber ve geçerli olduğu tespitlerine yer verilmiştir. Ayrıca veri sorumlusunun da buna yanıt vermesi gerektiği, ancak veri sorumlusunun, ilgili kişinin başvurusuna yasal süre içerisinde herhangi bir yanıt vermediği, bu suretle veri sorumlusunun Kanun ve Veri Sorumlusuna Başvuru Usul ve Esasları Hakkında Tebliğ'de yer verilen ilgili kişilerin başvurularına yanıt verilmesine ilişkin hükümlere aykırı hareket ettiği tespit edilmiştir.

Kurum'un değerlendirmelerinden hareketle veri sorumlusuna irtibat bürosu yetkilisi ve işveren vekili vasıtasıyla yapılan tebligatlar hukuken muteber ve geçerli olacağından, bu kapsamda irtibat büroları tarafından tebliğ alınan tebligatlar, ilgilisine yapılmış gibi kabul edileceğinden yurt dışında mukim merkez firmalarını derhâl bilgilendirmeleri önem arz edecektir.

Kurum'un yaptığı incelemelerde önem arz eden diğer bir husus ise, işveren sıfatının yurt dışı merkezli veri sorumlusunun üzerinde olduğu dikkate alındığında, çalışanlar ile akdedilen iş sözleşmelerinin irtibat bürosuyla değil, veri sorumlusunun kendisiyle akdedilmesi gerektiği, bu sebeple iş ilişkisi kapsamında taraflar arasında akdedilen sözleşme gereği, ilgili kişiye ait kişisel verilerin irtibat bürosu tarafından yurt dışında mukim veri sorumlusuna aktarılmasında herhangi bir hukuka aykırılık bulunmadığı ifade edilmiştir.

Kurum, veri sorumlusu bünyesinde çalışmak üzere iş akdi yapılan çalışana, veri sorumlusunun tabi olduğu yabancı mevzuat gereği kendisinden temin edilen bilgi ve belge mahiyetindeki kişisel verilerinin yurt dışında işleneceğini düşünmemesinin mümkün olmadığı, bir akdin gereğinin yerine getirilmesi için ilgili kişiden açık rıza temin etmekten başka hiçbir yasal yol olmaması durumunda bu akit kurulurken taraflardan açık rıza istenmesinin açık rızanın yasal unsurlarını sakatlamayacağı, somut olayda da ilgili kişinin bu akit kurulurken kişisel verilerinin akıbetine dair farkındalık sahibi olduğu hususlarında önemli değerlendirmelerde bulunmuştur.

Sonuç

Kurum'un söz konusu kararı neticesinde;

• "Veri sorumlusu" sıfatının irtibat bürolarında değil, yurt dışı merkezli tüzel kişiliğe ait olacağı,
• İrtibat bürosu müdürünün aynı zamanda veri sorumlusunun işveren vekili olması sebebiyle, ilgili kişi tarafından irtibat bürosuna yapılan tebligatın hukuken muteber ve geçerli olacağı,
• İlgili kişiye ait kişisel verilerin yurt dışında mukim veri sorumlusu tarafından iş ilişkisi kapsamında akdedilen sözleşme vasıtasıyla, yerleşik ülke hukuku doğrultusunda elde Kanun'a uygun bir şekilde işlenmek kaydıyla edilebileceği,
• Taraflar arasındaki iş akdinin ifası için ilgili kişiye ait kişisel verilerin yurt dışında işlenmesinin gerektiği ve bunun yegâne yolunun da ilgili kişinin açık rızasının alınması olduğu, ilgili kişiden Kanun'a uygun şekilde alınan açık rıza ile kişisel verilerin işlenmesinin uygun olacağı

kanaatine varılabilecektir.

Bu kapsamda Türkiye'deki irtibat bürolarının Türkiye'de ticari faaliyette bulunamamaları ve merkez firmayı bilgilendirme amacıyla kurulmuş olmaları nedeniyle Sicil'e kayıt yükümlülüğü bulunmasa da KVKK'ya uyumluluğunun irtibat büroları tarafından da tamamlanması, veri sorumlusu sıfatını haiz yurt dışı merkez tüzel kişiliğin yükümlülükleri gereğince önemli olacaktır. Bu doğrultuda Türkiye'deki irtibat bürosu aracılığı ile kişisel verileri kendi amaçları için kullanan veya Türkiye'deki organizasyonun veri kayıt sistemini yöneten yurt dışında mukim veri sorumlusu tüzel kişiliğin Veri Sorumluları Sicili Hakkında Yönetmelik'in 11'inci maddesi kapsamında veri sorumlusu temsilcisi atayarak Sicil'e kayıt yükümlülüğünü yerine getirmesi gerekmektedir.

Konu ile ilgili ayrıntılı bilgi almak ve Veri Sorumlusu Temsilciliği hizmetlerimizden yararlanmak için lütfen bizimle iletişime geçiniz.