VERBİS Kaydı Kimler Yapmalı? Kayıt Yükümlülüğü, Muafiyetler ve Veri Envanteri

KVKK denildiğinde işletmelerin aklına gelen ilk sorulardan biri "VERBİS'e kayıt olmamız gerekiyor mu?" sorusudur. Bu sorunun cevabı; çalışan sayısına, bilanço büyüklüğüne, faaliyet konusuna ve işlenen verilerin niteliğine göre değişir. Daha da önemlisi, VERBİS kaydı yalnızca bir form doldurma işi değildir. Kayıt sırasında girilen bilgiler, işletmenin hangi kişisel verileri hangi amaçla işlediğini ortaya koyan bir veri envanterine dayanmalıdır. Bu rehberde VERBİS'in ne olduğunu, kayıt yükümlülüğünün kimleri kapsadığını, muafiyet kriterlerini, kayıt adımlarını ve sık yapılan hataları ele alıyoruz.

VERBİS nedir?

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'nin kısaltmasıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 16. maddesi uyarınca Kişisel Verileri Koruma Kurulu'nun gözetiminde, Kişisel Verileri Koruma Kurumu Başkanlığı tarafından tutulan ve kamuya açık olan veri sorumluları sicilinin elektronik ortamdaki karşılığıdır. Kanun'a göre kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce bu sicile kaydolmak zorundadır; ancak Kurul, objektif kriterlere göre bu yükümlülüğe istisna getirebilir.

Sicilin amacı şeffaflıktır. Herhangi bir kişi VERBİS üzerinden bir veri sorumlusunun hangi kategorilerde veri işlediğini, bu verileri hangi amaçlarla kullandığını ve kimlere aktardığını genel hatlarıyla görebilir. Bu nedenle sicile girilen bilgilerin doğru ve güncel olması, hem mevzuata uyum hem de kurumsal itibar açısından önemlidir.

VERBİS kaydı kimler için zorunlu?

Kayıt yükümlülüğünün çerçevesi, Kurul'un yayımladığı istisna kararlarıyla belirlenir. Kural olarak kayıt yükümlülüğü bulunanlar şunlardır:

• Yıllık çalışan sayısı 50 veya daha fazla olan gerçek ve tüzel kişi veri sorumluları,
• Yıllık mali bilanço toplamı Kurul'un belirlediği eşiğin (son güncellemeyle 100 milyon TL) üzerinde olan veri sorumluları,
• Çalışan sayısı ve bilanço büyüklüğünden bağımsız olarak, ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumluları,
• Yurt dışında yerleşik olup Türkiye'de kişisel veri işleyen veri sorumluları,
• Kurul kararlarıyla belirlenen kamu kurum ve kuruluşları.

Çalışan ve bilanço kriterleri birlikte değerlendirilir: Muafiyetten yararlanabilmek için hem çalışan sayısının 50'nin altında hem de yıllık mali bilanço toplamının eşiğin altında olması gerekir. Bu iki koşuldan birinin aşılması, kayıt yükümlülüğünü doğurur. Eşik değerler Kurul tarafından zaman içinde revize edilebildiği için karar vermeden önce güncel Kurul kararlarını kontrol edin.

Özel nitelikli veri işleyenler neden muafiyetten yararlanamaz?

Kanun'un 6. maddesi; sağlık, cinsel hayat, biyometrik ve genetik veriler, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, dernek, vakıf veya sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri özel nitelikli kişisel veri olarak sayar. Bu verilerin hukuka aykırı işlenmesi, kişiler açısından ayrımcılık veya ciddi zarar riski taşıdığı için daha sıkı kurallara tabidir.

Ana faaliyet konusu bu tür verileri işlemek olan veri sorumluları, küçük ölçekli olsalar bile VERBİS'e kaydolmak zorundadır. Tipik örnekler şunlardır:

• Muayenehaneler, diş klinikleri, poliklinikler, tıp merkezleri ve hastaneler,
• Tahlil ve görüntüleme laboratuvarları,
• Fizik tedavi, psikolojik danışmanlık ve diyetisyen hizmeti veren işletmeler,
• Sağlık turizmi aracılık hizmeti veren kuruluşlar.

Buradaki ölçüt "ana faaliyet konusu"dur. Her işletme çalışanlarının sağlık raporlarını özlük dosyasında tutabilir; bu durum tek başına ana faaliyetin özel nitelikli veri işleme olduğu anlamına gelmez. Buna karşılık hizmetin kendisi hasta verisi üzerine kuruluysa, ölçekten bağımsız olarak kayıt gerekir. Örneğin tek hekimli bir diş kliniği de bu kapsamdadır. Klinikler için hasta takip yazılımında veri güvenliğinin neden temel gereklilik olduğunu hasta takip programı seçimi yazımızda anlattık.

VERBİS kaydından kimler muaf?

Kurul kararlarıyla ölçek kriterinin yanı sıra bazı meslek ve faaliyet grupları da kayıt yükümlülüğünden muaf tutulmuştur. Kurul kararlarında yer alan başlıca muafiyetler şunlardır:

Muafiyet grubu	Açıklama
Küçük ölçekli veri sorumluları	Yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı eşiğin altında olan, ana faaliyeti özel nitelikli veri işleme olmayanlar.
Otomatik olmayan yollarla veri işleyenler	Kişisel verileri yalnızca bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyenler.
Bazı serbest meslek grupları	Noterler, avukatlar, mali müşavirler ve yeminli mali müşavirler, gümrük müşavirleri ve arabulucular; mesleki faaliyetleri kapsamında.
Dernek, vakıf ve sendikalar	İlgili mevzuat ve amaçları çerçevesinde, faaliyet alanlarıyla sınırlı olarak çalışanları, üyeleri ve bağışçıları hakkında veri işlemeleri bakımından.
Siyasi partiler	İlgili mevzuat ve amaçları çerçevesinde veri işlemeleri bakımından.

Muafiyetlerin kapsamı, ilgili Kurul kararlarındaki ifadelerle sınırlıdır. Örneğin bir derneğin muafiyeti üyeleriyle ilgili veri işlemelerini kapsarken, derneğin ayrıca ticari bir faaliyet yürütmesi farklı bir değerlendirme gerektirebilir. Kararlar güncellenebildiği için kendi durumunuzu güncel Kurul kararlarına göre teyit edin.

Unutulmaması gereken önemli bir nokta: VERBİS muafiyeti, KVKK'nın diğer yükümlülüklerinden muafiyet anlamına gelmez. Kayıt yükümlülüğü olmayan küçük bir işletme de aydınlatma yükümlülüğüne, veri güvenliği tedbirlerine, ilgili kişi başvurularına ve veri ihlali bildirimine ilişkin kurallara uymak zorundadır. Web sitesi tarafındaki yükümlülükleri KVKK uyumlu web sitesi rehberimizde anlattık.

VERBİS'e hangi bilgiler girilir?

Kanun'un 16. maddesi ve Veri Sorumluları Sicili Hakkında Yönetmelik, sicile yapılacak bildirimin içeriğini belirler. Bildirimde temel olarak şu bilgiler yer alır:

• Veri sorumlusunun ve varsa temsilcisinin kimlik ve adres bilgileri,
• Kişisel verilerin hangi amaçlarla işlendiği,
• Veri konusu kişi grupları (çalışan, çalışan adayı, müşteri, potansiyel müşteri, ziyaretçi, tedarikçi yetkilisi, hasta gibi) ve bu gruplara ait veri kategorileri,
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları,
• Yabancı ülkelere aktarılması öngörülen kişisel veriler,
• Kişisel veri güvenliğine ilişkin alınan teknik ve idari tedbirler,
• Kişisel verilerin işlendikleri amaç için gerekli olan azami saklama süreleri.

Bu bilgilerin hepsi, kayıttan önce hazırlanmış bir veri envanterinden gelir. Envanter olmadan doğrudan sisteme girip seçenekleri işaretlemek, gerçeği yansıtmayan bir sicil kaydıyla sonuçlanır.

Veri envanteri nasıl hazırlanır?

Veri envanteri, işletmede yürütülen her kişisel veri işleme sürecinin sistematik bir dökümüdür. Hazırlarken departman departman ilerlemek en pratik yöntemdir:

1. Süreçleri listeleyin: İnsan kaynakları (işe alım, özlük, bordro, giriş-çıkış takibi), satış ve pazarlama (teklif, müşteri kaydı, kampanya), muhasebe, satın alma, bilgi işlem, güvenlik (kamera kayıtları, ziyaretçi defteri) ve hizmetin kendisine ait süreçler.
2. Her süreçte işlenen verileri belirleyin: Kimlik, iletişim, özlük, finans, lokasyon, görsel kayıt, sağlık gibi veri kategorilerine ayırın.
3. Amaç ve hukuki sebebi yazın: Her veri kategorisinin neden işlendiğini ve Kanun'un 5. veya 6. maddesindeki hangi şarta dayandığını belirleyin.
4. Verinin nerede tutulduğunu tespit edin: CRM, muhasebe programı, PDKS cihazı, e-posta, paylaşımlı klasörler, kâğıt dosyalar.
5. Aktarımları çıkarın: Muhasebe bürosu, bordro sağlayıcısı, kargo firması, bulut hizmetleri ve resmî kurumlar gibi alıcıları ve yurt dışı aktarımları listeleyin.
6. Saklama sürelerini belirleyin: İlgili mevzuattaki saklama yükümlülüklerini ve işleme amacının gerektirdiği süreyi esas alın.

Envanterin sağlıklı çıkması, verinin işletmede ne kadar düzenli tutulduğuyla doğrudan ilişkilidir. Müşteri verileri tek bir CRM yazılımında, çalışan giriş-çıkış verileri ise yetki kontrollü bir personel takip ve PDKS sisteminde tutuluyorsa, hangi verinin nerede olduğu ve kimlerin erişebildiği kolayca gösterilebilir. Aynı bilgi Excel dosyalarına, kişisel telefonlara ve e-posta eklerine dağılmışsa envanter de eksik kalır.

Sektörlere göre VERBİS değerlendirmesi nasıl yapılır?

Aynı kurallar farklı sektörlerde farklı sonuçlar doğurur. Birkaç tipik örnek, değerlendirmenin nasıl yapılacağını gösterir:

• Oteller: Sezonluk personelle birlikte yıllık çalışan sayısı 50'yi kolayca aşabilir. Konuk kimlik bilgileri, rezervasyon kayıtları, kamera görüntüleri ve yurt dışındaki rezervasyon kanallarıyla yapılan veri paylaşımları envanterde ayrı süreçler olarak ele alınmalıdır.
• E-ticaret işletmeleri: Çalışan sayısı az olsa bile ciro ve bilanço büyüklüğü eşiği aşabilir. Üyelik, sipariş, ödeme, kargo, pazarlama izinleri ve yurt dışı merkezli reklam ve analiz araçları envanterin ana başlıklarıdır.
• Site ve apartman yönetimleri: Kat malikleri ve kiracıların iletişim bilgileri, aidat kayıtları, ziyaretçi ve araç giriş kayıtları ile kamera görüntüleri işlenir. Yönetimin hukuki yapısına ve ölçeğine göre kayıt yükümlülüğü ayrıca değerlendirilmelidir.
• Klinikler: Yukarıda anlatıldığı gibi ana faaliyet sağlık verisi işlemek olduğu için ölçekten bağımsız olarak kayıt kapsamındadır.

Hangi sektörde olursanız olun, değerlendirmeyi her yıl çalışan sayısı ve bilanço verileri kesinleştiğinde tekrarlamak, eşiğin aşıldığı yılı kaçırmamanızı sağlar.

VERBİS kaydı nasıl yapılır?

Kayıt süreci genel hatlarıyla şu adımlardan oluşur:

1. İrtibat kişisinin belirlenmesi: Türkiye'de yerleşik veri sorumluları için Kurum ile iletişimi sağlayacak bir irtibat kişisi atanır. Yurt dışında yerleşik veri sorumluları ise Türkiye'de bir veri sorumlusu temsilcisi belirler.
2. Sisteme giriş başvurusu: Tüzel kişiler, veri sorumlusu bilgilerini VERBİS üzerinden doldurup kayıtlı elektronik posta (KEP) gibi Kurum'un öngördüğü yöntemlerle iletir ve giriş bilgilerini alır.
3. Bildirim: İrtibat kişisi sisteme giriş yaparak veri envanterine dayanan bildirimi tamamlar: süreçler, veri kategorileri, amaçlar, kişi grupları, alıcılar, yurt dışı aktarımlar, saklama süreleri ve güvenlik tedbirleri.
4. Kontrol ve onay: Girilen bilgiler, envanterle ve aydınlatma metinleriyle karşılaştırılarak onaylanır.
5. Güncel tutma: Sicile kayıtlı bilgilerde değişiklik olduğunda, yönetmelikte öngörülen süre içinde (değişiklikten itibaren yedi gün) güncelleme yapılır.

Kayıt yükümlülüğü sonradan doğan veri sorumluları (örneğin çalışan sayısı 50'yi geçen bir işletme) için de Kurul kararlarında kaydın yapılması gereken süre belirlenmiştir. Sürelerin güncel hâlini Kurum'un duyurularından takip edin.

Saklama ve imha politikası neden gerekli?

Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik, sicile kayıt yükümlülüğü bulunan veri sorumlularının bir kişisel veri saklama ve imha politikası hazırlamasını öngörür. Bu politikada veri kategorilerinin saklama süreleri, imha yöntemleri, sorumlular ve periyodik imha süreleri tanımlanır. Yönetmelik, periyodik imhanın en fazla altı aylık aralıklarla yapılmasını öngörür.

Politika yazmak işin kolay kısmıdır; asıl mesele, belirlenen sürelerin kullanılan yazılımlarda uygulanmasıdır. Saklama süresi dolan kayıtların raporlanması, silme veya anonimleştirme işlemlerinin loglanması ve yedeklerin de aynı kurala tabi tutulması, politikanın kâğıt üzerinde kalmamasını sağlar.

VERBİS kaydında sık yapılan hatalar

• Envanter olmadan kayıt: Sistemdeki tüm seçenekleri işaretlemek veya yalnızca birkaç temel kategoriyi girmek; her iki durumda da sicil gerçeği yansıtmaz.
• Sicil ile aydınlatma metninin çelişmesi: VERBİS'te beyan edilen amaç ve alıcıların, web sitesindeki ve çalışanlara verilen aydınlatma metinleriyle uyumsuz olması.
• Yurt dışı aktarımı atlamak: Bulut tabanlı e-posta, depolama veya yazılım hizmetlerinin yurt dışında barındırıldığını hesaba katmamak.
• Kaydı bir kez yapıp unutmak: Yeni bir şube, yeni bir yazılım, kamera sistemi veya yeni bir hizmet; sicil kaydının güncellenmesini gerektirebilir.
• Muafiyeti yanlış yorumlamak: Küçük ölçekli olduğu için muaf olduğunu düşünen ancak ana faaliyeti sağlık verisi işlemek olan klinikler buna tipik bir örnektir.
• Muafiyeti "KVKK'dan muafiyet" sanmak: Kayıt yükümlülüğü olmasa da diğer tüm yükümlülükler geçerlidir.

VERBİS'e kaydolmamanın yaptırımı nedir?

Kanun'un 18. maddesi, sicile kayıt ve bildirim yükümlülüğüne aykırı hareket eden veri sorumluları için idari para cezası öngörür. Ceza tutarları her yıl yeniden değerleme oranında güncellendiği için burada rakam vermiyoruz; güncel tutarları Kurum'un duyurularından kontrol edebilirsiniz. Yaptırımın ötesinde, sicil kaydının eksik veya hatalı olması; olası bir şikâyet, ilgili kişi başvurusu veya veri ihlali incelemesinde işletmenin genel uyum düzeyine ilişkin olumsuz bir tablo da oluşturur.

Sonuç

VERBİS kaydı, KVKK uyumunun başlangıç noktası değil, mevcut veri işleme düzeninin resmî bir yansımasıdır. Önce süreçlerinizi ve verilerinizi tanıyın, envanteri çıkarın, saklama sürelerini belirleyin; sicil kaydı bu çalışmanın doğal sonucu olarak kolaylaşır. Bu noktada kullandığınız yazılımlar belirleyici rol oynar: Hasta verilerini rol bazlı yetkiyle tutan bir klinik yönetim yazılımı, müşteri verisini tek merkezde toplayan bir CRM ve erişim kayıtlarını tutan bir PDKS, hem envanteri hem de olası bir kişisel veri ihlali sonrasındaki incelemeyi büyük ölçüde kolaylaştırır. Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş yerine geçmez; kayıt yükümlülüğünüzü bir hukuk danışmanıyla ve güncel Kurul kararlarıyla teyit edin. Verinizi düzenli ve denetlenebilir tutacak yazılım yapısı için bizimle iletişime geçin.