“Türkiye Ticaret Sicili Gazetesinde açık bir şekilde ilan edilmeyen kişisel verilerin, talepleri üzerine kamu kurum ve kuruluşlarıyla paylaşılması” hususuna ilişkin Kişisel Verileri Koruma Kurulunun 22/04/2020 tarihli ve 2020/307 sayılı Karar Özeti
a) Bilindiği üzere, 6102 sayılı Türk Ticaret Kanununun (6102 sayılı Kanun) 24 üncü maddesinin ikinci fıkrasında yer alan “Ticaret sicili, Bakanlığın gözetim ve denetiminde ticaret sicili müdürlükleri ve şubeleri tarafından tutulur.” şeklindeki hüküm ile ticaret sicilinin ticaret sicil müdürlükleri tarafından tutulduğu belirtilmiştir. 1 Numaralı Cumhurbaşkanlığı Kararnamesinin “İç Ticaret Genel Müdürlüğü” başlıklı 446 ncı maddesinin birinci fıkrasının (ı) bendi ve Ticaret Sicili Yönetmeliğinin 13 üncü maddesi uyarınca da ticaret sicili işlemleri Merkezi Sicil Kayıt Sistemi (MERSİS) üzerinden gerçekleştirilmekte ve buna ilişkin sicil kayıtları MERSİS’te tutulmaktadır.
6102 sayılı Kanunun 24 üncü maddesine ait gerekçe metninde, MERSİS’in ticaret sicili kayıtlarının güvenli ve birbirinin yedeği olacak şekilde olmasını sağlayacağı ve ticaret sicili kayıtlarının aleniyetine imkân tanıyacağı belirtilmiştir. Bu anlamda, MERSİS ile getirilen aleniyetle gerçek anlamda şeffaflık sağlanarak kayıtlardaki yolsuzlukların, aykırılıkların ve düzensizliklerin önüne geçilmesi hedeflenmiştir.
b) Bilindiği üzere, ticaret sicili alenidir; diğer bir deyişle herkes ticaret sicilinin içeriğini ve dairede saklanan bütün senet ve belgeleri inceleyebilmekte, bunların onaylı suretlerini alabilmekte, bir hususun sicilde kayıtlı olup olmadığına dair onaylı belgenin verilmesini isteyebilmektedir. Nitekim, 6102 sayılı Kanunun 35 inci maddesinde,
“(1) Tescil işleminin dayanakları olan dilekçe, beyanname, senetler, belgeler ve ilanları içeren gazeteler, üzerlerine sicil defterinin tarih ve numaraları yazılarak sicil müdürlüğünce saklanır.
(2) Herkes ticaret sicilinin içeriğini ve müdürlükte saklanan tüm senet ve belgeleri inceleyebileceği gibi giderini ödeyerek bunların onaylı suretlerini de alabilir. Bir hususun sicilde kayıtlı olup olmadığına dair onaylı belge de istenebilir.
(3) Tescil edilen hususlar, Kanun veya Kanunun 26 ncı maddesine göre çıkarılacak yönetmelikte aksine bir hüküm bulunmadıkça ilan olunur.
(4) İlan, Türkiye genelinde sicil kayıtlarının ilanına özgü Türkiye Ticaret Sicili Gazetesi ile yapılır.”
düzenlemesine yer verilmek suretiyle ticaret sicili kayıtlarının aleni bir şekilde tutulduğu ve herkes tarafından sicil kayıtlarının onaylı suretlerinin alınabileceği hükme bağlanmıştır. Yine, Ticaret Sicili Yönetmeliğinin 15 inci maddesinde; “(1) Herkes, sicilin içeriğini ve müdürlükte saklanan tüm senet ve belgeleri inceleyebilir. Bu inceleme elektronik ortamda ve/veya müdürlükte yapılabilir.(…)” hükmüne yer verilmiştir. Mezkûr hükümle ticaret sicilinin herkes tarafından incelenebileceği ve kayıtların incelenme usulünün ne şekilde gerçekleştirilebileceğine ilişkin hususlar düzenlenmiştir.
c) Bilindiği üzere, Kanunun 3 üncü maddesinin birinci fıkrasının (d) bendi uyarınca kişisel veri; kimliği belirli veya belirlenebilir gerçek kişiye ilişkin her türlü bilgiyi, (e) bendi uyarınca kişisel verilerin işlenmesi; kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi ifade etmektedir. Buna göre tacirlerin ya da şirket hissedarlarının isim, kimlik, adres ve benzeri bilgileri üzerinde Müdürlükler tarafından yapılan işlemlerin kişisel veri işleme faaliyeti olduğu açıktır.
Bu kapsamda, tescil ve ilanı öngörülen bilgiler, kişisel veri de içerdiği ve bu verilere herkes tarafından kolaylıkla ulaşılabildiği için bu verilerin kötü niyetli kullanımını engellemek amacıyla gerek 6102 sayılı Kanunda gerek Ticaret Sicili Yönetmeliğinde birtakım düzenlemeler öngörülmüştür. 6102 sayılı Kanunun 24 üncü maddesinin (5) numaralı fıkrasında, ticaret sicili kayıt işlemlerinin elektronik ortamda yapılması için toplanması ve işlenmesi gerekli olan kişisel verilerin, kişisel verilerin korunması ve bilgi güvenliğinin sağlanmasına ilişkin mevzuata uygun bir şekilde korunacağı hükme bağlanmış; Ticaret Sicili Yönetmeliğinin “Sicil kayıtlarına erişim hakkı” başlıklı 15 inci maddesinde de,
“(1) Herkes, sicilin içeriğini ve müdürlükte saklanan tüm senet ve belgeleri inceleyebilir. Bu inceleme elektronik ortamda ve/veya müdürlükte yapılabilir. (2) Defterler ve belgeler, sicil dairesinin bulunduğu kısımdan dışarıya çıkarılamaz. Bunların incelenmesinde müdür, kişisel verilerin korunmasına ilişkin hükümler çerçevesinde gerekli tedbirleri almak zorundadır. İnceleme esnasında müdürün vereceği talimatlara uyulması zorunludur. Aksi takdirde müdür defter ve belgeleri derhal kaldırabilir. (3) Elektronik ortamda yapılacak olan incelemelerde de kişisel verilerin korunmasını ve bilgi güvenliğini sağlayacak tedbirler alınır.”
düzenlemesine yer verilmiştir. Yine anılan Yönetmeliğin “İlan” başlıklı 41 inci maddesinde bu Yönetmelik uyarınca tescil edilen gerçek kişilerin kimlik numaralarının ilan edilmeyeceği hususu düzenlenmiştir. Nitekim Türkiye Ticaret Sicili Gazetesinde yapılan ilanlarda T.C. kimlik numaraları maskelenmek suretiyle yayımlanmakta, gerçek kişilerin yerleşim yeri adresleri olarak yalnızca il ve ilçe bilgisi ilan edilmektedir.
Bu kapsamda önemle belirtmek gerekir ki, her ne kadar aleniyet gereği herkes ticaret sicilinin içeriğini ve müdürlükte saklanan tüm senet ve belgeleri inceleyebilecek olsa da, bu durumun anılan bilgilerin kişisel verilerin korunmasına ilişkin mevzuattan muaf olması anlamına gelmeyeceği; aynı şekilde, aleniyet kapsamında işlenen kişisel verilerin aleniyetin amacıyla örtüşmesi gerektiği ve aleniyet amacı dışında kalan durumlarda bu verilerin işlenmesinin hukuka aykırı olacağı değerlendirilmektedir.
d) Diğer taraftan, Müdürlükler nezdinde tutulan kişisel verilerin çeşitli kamu kurum ve kuruluşlarıyla paylaşılması bir “aktarım” faaliyeti olup, Kanunda yer alan kişisel verilerin işlenmesi tanımında da düzenlendiği üzere, kişisel verilerin aktarımı da bir kişisel veri işleme faaliyetidir. Bu çerçevede, kişisel verilerin yurt içinde aktarımını düzenleyen Kanunun “Kişisel verilerin aktarılması” başlıklı 8 inci maddesinde; kişisel verilerin, ilgili kişinin açık rızası olmaksızın aktarılamayacağı; ancak Kanunun 5 inci maddesinin ikinci fıkrasında ve özel nitelikli kişisel veriler bakımından yeterli önlemler alınmak kaydıyla 6 ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabileceği, ayrıca kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümlerin saklı tutulduğu hüküm altına alınmıştır. Bu anlamda, ticaret sicili müdürlükleri nezdinde tutulan kişisel verilerin başka kamu kurum ve kuruluşlarıyla paylaşılmasında bir başka ifadeyle diğer kamu kurum ve kuruluşlarına aktarılmasında da 6698 sayılı Kanunun 8 inci maddesine uygun hareket edilmesi gerektiği açıktır.
Kişisel verilerin işlenme şartlarının düzenlendiği Kanunun 5 inci maddesinin birinci fıkrasında ise, kişisel verilerin ilgili kişinin açık rızası olmaksızın işlenemeyeceği; ikinci fıkrasında belirtilen şartlardan birinin varlığı halinde ise, ilgili kişinin açık rızası aranmaksızın kişisel verilerinin işlenmesinin mümkün olduğu hükme bağlanmıştır. Anılan işleme şartlarından “Kanunlarda açıkça öngörülmesi”, veri sorumlusunun herhangi bir kanundaki düzenlemeye dayanarak kişisel veri işleyebilmesini ifade etmektedir. Örneğin, 6102 sayılı Kanunun 35 inci maddesine göre sicilin içeriğinin ve müdürlükte saklanan tüm senet ve belgelerin herkes tarafından incelenebileceği hüküm altına alınarak sicilin aleniyetine yönelik düzenlemeler yer almaktadır. Yine, 5490 sayılı Nüfus Hizmetleri Kanununun (5490 sayılı Kanun) “Gizlilik” başlıklı 9 uncu maddesi;
“(1) Nüfus kayıtları ve bu kayıtların tutulmasına dayanak olan belgeler gizlidir. Bunlar, yetkili ve sorumlu memurlar ile teftiş ve denetim yetkisi olanlar dışında kimse tarafından görülüp incelenemez. Mahkemeler bu hükmün dışındadır. (2) Nüfus kayıtlarına bu bilgileri işleyen memurlar ve Kimlik Paylaşımı Sistemi kapsamında nüfus kayıtlarından faydalanan diğer görevliler de bu gizliliğe uymak zorundadırlar. Bu yükümlülük, kamu görevlilerinin görevlerinden ayrılmalarından sonra da devam eder.”
hükmünü amirdir. Benzer şekilde, 5490 sayılı Kanunun “Nüfus kayıt örneğini almaya yetkili olanlar” başlıklı 44 üncü maddesi;
“(1) Nüfus kayıt örneklerini; a) Bakanlık, (…) (ç) Adlî makamlar, (…) nüfus müdürlüklerinden doğrudan almaya yetkilidirler.
(2) Birinci fıkrada sayılanlar dışında kalan kurumlar ve tüzel kişiler, yazılı olarak başvurmak ve istem nedenini açıkça belirtmek suretiyle Bakanlık veya mülkî idare amirinin emri ile nüfus kayıt örneğini alabilirler. Bakanlık bu madde hükümlerini işletmek üzere Kimlik Paylaşımı Sistemi kurar.
(…)”
hükmünü amirdir. Belirtmek gerekir ki, anılan Kanunun 7039 sayılı Kanunla değişiklik yapılan 45 inci maddesinde de, yerleşim yeri ve diğer adres bilgilerini de içeren Kimlik Paylaşım Sisteminin kullanılmasına ilişkin usul ve esaslar hükme bağlanmıştır. Görüleceği üzere, kimlik bilgilerinin ve yerleşim yeri bilgilerinin paylaşımına ilişkin usul ve esasları belirleyen kanun olan 5490 sayılı Nüfus Hizmetleri Kanunu, bu verilerin paylaşımı noktasında özel düzenleme niteliğini haizdir.
Bu kapsamda, Nüfus Hizmetleri Kanununa göre kimlik bilgilerini paylaşmaya yetkili merci nüfus müdürlükleri olup, bu verilerin ticaret sicil müdürlüklerinden istenmesi hususunun Nüfus Hizmetleri Kanununa aykırı olduğu, bir başka ifadeyle, talep edilecek kişisel verilerin özel düzenleme niteliğini haiz ilgili mevzuat hükümlerinde belirtilen yetkili kamu kurumlarından temin edilmesi gerektiği değerlendirilmektedir.
e) Öte yandan, Kanunun “Genel ilkeler” başlıklı 4 üncü maddesinde, kişisel verilerin ancak bu Kanunda ve diğer kanunlarda öngörülen usul ve esaslara uygun olarak işlenebileceği ve kişisel verilerin işlenmesinde maddede sayılan ilkelere uyulmasının zorunlu olduğu düzenleme altına alınmıştır. Anılan madde hükmünden açıkça anlaşılacağı üzere, kişisel verilerin işlenmesinde her hal ve şartta Kanunun 4 üncü maddesinde sayılan genel ilkelere uyulması hukuki bir gerekliliktir. Bu ilkelerden “işlendikleri amaçla bağlantılı, sınırlı ve ölçülü olması” ilkesine göre, işlenen veriler belirlenen amaçların gerçekleştirilmesine elverişli olmalı, amacın gerçekleştirilmesiyle ilgili olmayan veya sonradan ortaya çıkması muhtemel ihtiyaçların karşılanmasına yönelik veri işleme yoluna gidilmemelidir. Burada önemli olan, amacı gerçekleştirmeye yönelik yeterli verinin temin edilmesi, bunun dışındaki amaç için gerekli olmayan veri işlemeden kaçınılmasıdır.
Sonuç olarak, yukarıda yer verilen açıklamalar çerçevesinde;
- Müdürlük tarafından tutulan ticaret sicilinin kişisel verileri içerdiği ve sicilde yer alan kişisel veriler bakımından Müdürlüğün kişisel veri işleme faaliyetini gerçekleştirdiği;
- Ticaret sicilinin aleni olmasının sicilde yer alan kişisel verilerin 6698 sayılı Kişisel Verilerin Korunması Kanunu hükümlerinden muaf olacağı anlamını taşımadığı,
- Bu kapsamda Müdürlük tarafından kamu kurum ve kuruluşlarına gerçekleştirilecek aktarımların Kanunun 8 inci maddesinde yer alan düzenlemeye uygun biçimde yapılması ve sicilde aleni olarak işlenen verilerin işlenmesi noktasında aleniyet amacına bağlı kalınması gerektiği;
- Aktarımı talep edilen kişisel verilerin, bu verileri işleme faaliyetinin özel olarak düzenlendiği ilgili mevzuatlarca yetkili kılınmış kuruluşlardan talep edilmesi,
- Her türlü kişisel veri işleme faaliyetinde özellikle Kanunun 4 üncü maddesinde yer alan “İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesi ve veri güvenliğine ilişkin gerekli her türlü teknik ve idari tedbirlerin alınması yükümlülüğünün birlikte gözetilmesi gerektiği
değerlendirilmektedir.