ICO Kaydı ve GDPR Yükümlülüğü İngiltere Şirketlerini Nasıl İlgilendiriyor?

İngiltere’de limited şirket kuran girişimcilerin büyük bölümü tescil, adres ve vergi başlıklarını planlıyor; veri koruma tarafını ise ilk yıl boyunca hiç gündemine almıyor. Oysa müşteri adı, e-posta adresi, teslimat bilgisi ya da ödeme kaydı tutan her şirket, kişisel veri işliyor sayılıyor ve veri koruma mevzuatının kapsamına giriyor.

İki kavram bu alanın merkezinde duruyor: ICO kaydı ve GDPR yükümlülükleri. İlki bir idari kayıt, ikincisi ise şirketin veriyi nasıl toplayıp sakladığına dair kurallar bütünü. Aşağıda ikisinin farkını, hangi şirketleri ilgilendirdiğini ve e-ticaret ile yazılım işletmeleri açısından pratikte ne anlama geldiğini anlatıyoruz.

ICO Nedir ve Kaydı Kim Yaptırıyor?

ICO, İngiltere’de veri koruma alanındaki düzenleyici kurum. Kişisel veri işleyen kuruluşların kaydını tutuyor, rehberlik yayımlıyor ve ihlal durumlarında inceleme yürütüyor.

Kayıt mantığı şöyle kurulmuş: kişisel veri işleyen kuruluşların kendilerini kuruma bildirmesi ve yıllık bir veri koruma ücreti ödemesi bekleniyor. Kayıt, kurumun kimin veri işlediğini bilmesini sağlıyor ve şeffaflık yaratıyor.

Kapsamın beklenenden geniş olduğunu söylemek gerekiyor. Müşteri listesi tutan bir e-ticaret sitesi, kullanıcı hesabı açtıran bir yazılım şirketi, bülten aboneliği toplayan bir ajans ya da başvuru formu üzerinden isim ve telefon toplayan bir danışmanlık firması, kişisel veri işliyor kabul ediliyor.

Muafiyet hâlleri de bulunuyor ve bazı sınırlı faaliyetler kapsam dışında kalabiliyor. Kendi şirketinizin hangi tarafta olduğunu varsaymak yerine güncel ICO rehberinden doğrulamak doğru yaklaşım oluyor; kayıt yükümlülüğü yerine getirilmediğinde idari yaptırım gündeme gelebiliyor.

GDPR ile ICO Kaydı Aynı Şey mi?

Hayır, sık karıştırılan iki ayrı başlık. Farkı netleştirmek, yükümlülüğü doğru kurmanın ilk adımı.

ICO kaydı, idari bir bildirim. Şirketin kişisel veri işlediğini düzenleyici kuruma bildirmesi ve yıllık ücretini ödemesi anlamına geliyor. Tek bir işlemle tamamlanan ve yıllık yenilenen bir kayıt.

GDPR uyumu ise sürekli bir sorumluluk. Veriyi hangi hukuki dayanakla topladığınız, ne kadar süre sakladığınız, kiminle paylaştığınız, nasıl koruduğunuz ve kullanıcının haklarına nasıl cevap verdiğiniz gibi başlıkları kapsıyor. Kayıt yaptırmış olmak, uyumlu olduğunuz anlamına gelmiyor.

Pratik sonuç şu: ICO kaydı tek başına yeterli değil, GDPR tarafındaki pratikler de kurulmalı. Buna karşılık GDPR’a uygun çalışan bir şirket, kayıt yükümlülüğü varsa onu da yerine getirmek durumunda. İkisi birbirini tamamlıyor.

E-ticaret Şirketleri İçin Ne Anlama Geliyor?

Çevrimiçi satış yapan bir işletme, iş modeli gereği yoğun biçimde kişisel veri işliyor. Sipariş veren müşterinin adı, adresi, telefonu, e-postası ve sipariş geçmişi sistemde tutuluyor.

Veri koruma tarafında dikkat edilmesi gereken başlıklar şöyle sıralanabilir:

• Toplama dayanağı: Hangi veriyi neden topladığınızın belirli ve meşru bir nedeni olması bekleniyor. “İleride lazım olur” yaklaşımı kabul görmüyor.
• Saklama süresi: Verinin süresiz saklanmaması, amaç ortadan kalktığında silinmesi ya da anonimleştirilmesi gerekiyor.
• Pazarlama izni: Bülten ve kampanya iletişimi için ayrı bir izin mantığı işliyor. Sipariş vermiş olmak, her tür pazarlama iletişimine otomatik onay anlamına gelmiyor.
• Üçüncü taraflar: Kargo firması, ödeme kuruluşu, bulut sağlayıcı ve pazaryeri platformu gibi taraflarla veri paylaşımının tanımlanması gerekiyor.
• Kullanıcı hakları: Kişinin verisine erişme, düzeltme ve silinmesini talep etme hakları bulunuyor; talebe cevap verebilecek bir süreç kurulmalı.
• Aydınlatma metni: Sitede anlaşılır bir gizlilik politikası yayımlanması bekleniyor.

Türkiye’den kurulan ve Avrupa pazarına satış yapan işletmeler için konu ayrıca önemli. Veri koruma mevzuatı, verinin hangi ülkede işlendiğinden çok kimin verisinin işlendiğine bakan bir mantıkla kurulmuş. Kendi durumunuzun nasıl değerlendirileceği konusunda güncel resmi rehberleri kontrol etmek gerekiyor.

Yazılım ve SaaS Şirketlerinde Durum Farklı mı?

Farklı ve çoğu zaman daha karmaşık. Yazılım şirketleri yalnız kendi müşterilerinin verisini işlemiyor, aynı zamanda müşterilerinin kullanıcılarına ait veriyi de barındırıyor.

Ayrım kritik. Kendi müşteri kayıtlarınızı tutarken veri sorumlusu konumundasınız. Müşterinizin verisini onun adına işlediğinizde ise veri işleyen konumuna geçiyorsunuz. İki konumun sorumlulukları farklı ve sözleşmelerde açıkça tanımlanması bekleniyor.

Kurumsal müşteriye satış yapan bir SaaS girişimi için konunun ticari bir boyutu da var. Büyük müşteriler, satın alma sürecinde tedarikçinin veri koruma pratiklerini soruyor. Nerede barındırdığınız, verinin şifrelenip şifrelenmediği, alt yüklenicilerinizin kim olduğu ve ihlal durumunda nasıl bildirim yapacağınız sorularla gelen standart başlıklar.

Hazırlıklı olmak satış sürecini hızlandırıyor. Veri koruma tarafını kurmamış bir girişim, teknik olarak hazır olsa bile kurumsal satın alma sürecinde takılabiliyor. Uzaktan kuruluş hizmeti veren AnaŞirket gibi sağlayıcıların hizmet listesinde ICO kaydının yer alması da bu ihtiyaçtan kaynaklanıyor; yazılım ve e-ticaret işletmeleri kaydı kuruluşun hemen ardından gündemine alıyor.

ICO Kaydı Nasıl Yapılıyor ve Ne Zaman Yenileniyor?

Kayıt süreci şirketin temel bilgileriyle ilerliyor: şirket adı, kayıtlı adres, faaliyet alanı, irtibat bilgileri ve işlenen veri türlerine dair beyan. Kayıt tamamlandığında şirket ICO sicilinde görünür hale geliyor.

Ödenen veri koruma ücreti, kuruluşun büyüklüğüne ve niteliğine göre farklılaşabiliyor. Güncel tutarlar ve kademeler için kurumun kendi yayınlarına bakmak gerekiyor.

Yenileme tarafında da dikkat gerekiyor. Kayıt yıllık olarak yenileniyor ve şirketin diğer yıllık yükümlülükleriyle aynı takvime giriyor. İngiltere şirketlerinin yıllık başlıkları zaten birkaç kalemden oluşuyor: confirmation statement (yıllık beyan), annual accounts (hesap beyanı) ve kayıtlı adresin yenilenmesi. ICO kaydı da listeye eklendiğinde takvimi tek bir yerde tutmak daha da önemli hale geliyor.

Şirket bilgileri değiştiğinde kaydın güncellenmesi de gerekiyor. Ad değişikliği ya da kayıtlı adres taşınması durumunda ICO kaydındaki bilginin sicildeki bilgiyle uyumlu kalması bekleniyor.

Kayıt Yapılmazsa Ne Oluyor?

Yükümlülüğü ihmal etmenin iki tür sonucu var.

Birincisi idari taraf. Kayıt yükümlülüğü bulunan bir kuruluşun kayıt yaptırmaması, düzenleyici kurumun inceleme başlatmasına ve idari yaptırım uygulanmasına yol açabiliyor. Yaptırımın kapsamı ve tutarı duruma göre değerlendiriliyor.

İkincisi ticari taraf ve çoğu zaman daha hızlı hissediliyor. Kurumsal müşteriler, tedarikçi onay süreçlerinde veri koruma kaydını soruyor. Pazaryeri ve ödeme platformları hesap incelemelerinde aynı başlığa bakıyor. Kaydı olmayan bir şirket, teknik bir eksiklik yüzünden ticari fırsat kaybedebiliyor.

Üçüncü ve en az görünen sonuç ise itibar. Veri ihlali yaşandığında, önceden kurulmuş bir uyum çerçevesi olan şirket ile hiç hazırlık yapmamış şirketin durumu aynı değerlendirilmiyor.

AnaŞirket Veri Koruma Tarafında Ne Sunuyor?

AnaŞirket, DORSKO LIMITED tarafından işletilen ve Türkiye’den İngiltere’de limited şirket kurmak isteyenlere uzaktan hizmet veren bir sağlayıcı. Companies House numarası 15104126 olarak sitede belirtiliyor. Veri koruma ve kurumsal kayıt tarafındaki çerçevesi şöyle:

• ICO kaydı hizmeti: Kişisel veri işleyen şirketler için ICO kaydı ayrı hizmet başlığı olarak listeleniyor.
• Kendi uyum beyanı: Sitede ICO kaydı, GDPR uyumu ve SSL güvenliği belirtiliyor.
• Diğer kurumsal kayıtlar: EORI numarası, D-U-N-S numarası ve marka tescili de hizmet listesinde yer alıyor.
• Yıllık yükümlülük hizmetleri: Confirmation statement, hesap beyanı, dormant şirket beyanı ve UTR aktivasyonu ayrı hizmetler olarak veriliyor.
• Yönetim paneli: Şirket belgeleri, WebFiling kodu ve işlem takibi panel üzerinden yürüyor.
• Türkçe destek: WhatsApp, e-posta ve yönetim paneli üzerinden Türkçe ilerliyor.
• Yetkili ortak üzerinden kimlik doğrulama: Doğrulama, Companies House tarafından yetkilendirilmiş bir ACSP iş ortağı tarafından yapılıyor. AnaŞirket kendisinin hukuk bürosu, banka ya da ACSP olmadığını sitesinde yazıyor.

Sitede 248’in üzerinde şirket kuruluşu yapıldığı ve R10.net üzerinde 230 referans bulunduğu belirtiliyor; Trustpilot ile Google değerlendirmeleri de paylaşılıyor.

Kuruluş Aşamasında Veri Koruma Nasıl Planlanmalı?

En verimli zamanlama, şirket kurulurken planlamak. Tescil tamamlandıktan sonra hangi verilerin işleneceği zaten belli oluyor, dolayısıyla uyum çerçevesini baştan kurmak hem kolay hem ucuz.

Kuruluş sürecinin kendisi sade ilerliyor. İngiltere vatandaşı ya da yerleşiği olma şartı bulunmuyor, noter, apostil ya da seyahat gerekmiyor ve belgeler dijital yükleniyor: pasaport ya da kimlik kartı ile son üç ay içinde düzenlenmiş bir adres belgesi. 18 Kasım 2025 tarihinden itibaren direktörlerin GOV.UK One Login üzerinden kimlik doğrulaması yapması zorunlu. Belgeler eksiksizse kuruluş tipik olarak 24 ila 48 saat sürüyor; garanti edilmiyor, aynı gün seçeneği de bulunuyor.

Şirket kurulur kurulmaz yapılacak veri koruma hazırlığı kısa bir listeye sığıyor: gizlilik politikası hazırlamak, hangi verinin neden toplandığını yazılı hale getirmek, saklama sürelerini belirlemek, çalıştığınız üçüncü tarafları listelemek ve ICO kayıt yükümlülüğünüz olup olmadığını doğrulamak.

Şirket adı ve marka tarafında da erken hareket etmek işe yarıyor. Ücretsiz şirket adı bulucu aracı ismin sicilde kullanılabilirliğini, marka sorgulama aracı ise tescilli markalarla çakışma olup olmadığını görmeyi sağlıyor.

Sık Sorulan Sorular

ICO kaydı her İngiltere şirketi için zorunlu mu?

Kayıt, kişisel veri işleyen kuruluşlar için gündeme geliyor. Bazı sınırlı faaliyetler için muafiyet hâlleri bulunuyor. Kendi şirketinizin hangi tarafta olduğunu güncel ICO rehberinden doğrulamak gerekiyor.

GDPR uyumu ile ICO kaydı arasındaki fark ne?

ICO kaydı idari bir bildirim ve yıllık ücret ödemesi anlamına geliyor. GDPR uyumu ise verinin nasıl toplandığı, saklandığı ve paylaşıldığına dair sürekli bir sorumluluk. Kayıt yaptırmış olmak uyumlu olmak anlamına gelmiyor.

E-ticaret sitem için hangi hazırlıkları yapmalıyım?

Gizlilik politikası yayımlamak, hangi verinin neden toplandığını tanımlamak, saklama sürelerini belirlemek, pazarlama izinlerini ayrı yönetmek ve kargo ile ödeme kuruluşu gibi üçüncü taraflarla veri paylaşımını yazılı hale getirmek öne çıkan başlıklar.

Kayıt yenilemesi ne zaman yapılıyor?

Kayıt yıllık olarak yenileniyor ve şirketin diğer yıllık yükümlülükleriyle aynı takvime giriyor. Tarihleri tek bir listede takip etmek gecikmeyi önlüyor.

Şirket adım değişirse kaydı güncellemem gerekir mi?

Gerekiyor. Ad ya da kayıtlı adres değiştiğinde ICO kaydındaki bilginin sicildeki bilgiyle uyumlu kalması bekleniyor.

Veri koruma, İngiltere’de şirket yönetmenin görünmez fakat kalıcı parçası. Hangi veriyi neden tuttuğunu bilen, kaydını zamanında yaptıran ve müşterisine şeffaf davranan bir işletme, hem düzenleyici tarafta hem kurumsal satın alma süreçlerinde sorunsuz ilerliyor. Yükümlülüğünüzün kapsamı konusunda tereddüt varsa, güncel resmi rehberleri kontrol etmek ya da konunun uzmanına danışmak en sağlıklı yol.