Türkiye'de kişisel verilerin korunması ile ilgili atılan en önemli adım Kişisel Verilerin Korunması Kanunu'dur. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), 7 Nisan 2016 tarihli Resmi Gazete'de yayımlanarak yürürlüğe girdi. Kanun, kişisel verileri işlenen gerçek kişiler ve bu verileri işleyen gerçek ve tüzel kişilere, uyumluluk için 7 Nisan 2018 tarihine kadar süre tanıyan hükümler içermektedir. Benzer şekilde Avrupa Birliği Genel Veri Koruma Tüzüğü (EU General Data Protection Regulation - GDPR) 25 Mayıs 2018 tarihinde yürürlüğe girerek Avrupa'daki kişisel verilerin korunması gelişmelerinin önemli bir aşaması olmuştur.

6698 sayılı KVKK’nın 12. maddesinin 5. fıkrasında, işlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde, veri sorumlusunun bu durumu en kısa sürede ilgilisine ve Kurul’a bildireceği; Kurul’un, gerekmesi hâlinde bu durumu kendi internet sitesinde ya da uygun göreceği başka bir yöntemle ilan edebileceği düzenlenmiştir.

Yurt dışında yerleşik tüzel kişilerin Türkiye’de işlemekte oldukları kişisel veriler nedeniyle;

Yurt dışında yerleşik tüzel kişiler,

Yurt dışında yerleşik tüzel kişilerin Türkiye’deki şubeleri,

Yurt dışında yerleşik tüzel kişilerin Türkiye’deki irtibat bürolarının

6698 sayılı KVKK’ya göre veri sorumlusu sayılıp sayılmayacağı ve Veri Sorumluları Sicili’ne (“Sicil”) beyanda bulunma yükümlülüğü olup olmadığının incelenmesi neticesinde Kurul, 2019/225 sayılı kararı (“Karar”) vermiştir.

Kişisel verilerin bir kısmının veya tamamının yurt dışında yerleşik kurucu / ortak yabancı şirkete aktarılması ve yurt dışında yerleşik şirketin bu verileri kendi amaçları doğrultusunda kullanması durumunda, yurt dışındaki şirketin Veri Sorumluları Sicili Bilgi Sistemi (“VERBİS”)’ne kayıt yükümlülüğü doğmaktadır. Bu aktarımlar, genel bir ifade ile yurt dışında bulunan şirket tarafından sağlanan ve yönetilen bir kayıt sistemine Türkiye'deki tüzel kişiliğe ait çalışan, tedarikçi ve müşterilere ait verilerinin tamamının veya bir kısmının kaydedilmesi ile oluşmaktadır. Ancak salt kişisel verilerin yurt dışı ortak tarafından bir kayıt sisteminde tutulması VERBİS kayıt yükümlülüğü meydana getirmemekte, yurt dışı ortağın bu verileri kendi amaçları doğrultusunda kullanması gerekmektedir.