VERBİS — Veri Sorumluları Sicil Bilgi Sistemi — KVKK’nın en çok bilinen, en az anlaşılan yükümlülüğüdür. Çoğu şirket onu “devlete bir form doldurmak” olarak görür, muhasebeciye ya da İK’ya havale eder ve bir öğleden sonrada bitirir. Sorun şu ki VERBİS’e girdiğiniz her bilgi kamuya açık bir beyandır ve Kurul bir inceleme başlattığında ilk baktığı yer orasıdır. Beyanınız ile gerçekte yaptığınız şey örtüşmüyorsa, kayıt olmuş olmanız sizi korumaz; aksine tutarsızlığı belgelemiş olursunuz.
Bu yazı genel bilgilendirme amaçlıdır, hukuki görüş değildir. Eşikler ve istisnalar Kurul kararlarıyla değişebildiği için kayıt öncesinde güncel duyuruları kontrol edin.
VERBİS Nedir, Ne Değildir?
VERBİS, veri sorumlularının hangi kategorilerde kişisel veri işlediğini, bunu hangi amaçla yaptığını, kimlere aktardığını, ne kadar sakladığını ve hangi güvenlik tedbirlerini aldığını beyan ettiği çevrimiçi sicildir. Herkes sicili sorgulayıp şirketinizin beyanını görebilir.
Ne değildir: VERBİS’e kişisel verinin kendisi girilmez. Müşteri listenizi yüklemezsiniz. “Müşterilerin kimlik ve iletişim verisini sözleşmenin ifası amacıyla işliyoruz, 10 yıl saklıyoruz, kargo firmasıyla paylaşıyoruz” gibi kategori düzeyinde bilgi girersiniz.
Ve en önemlisi: VERBİS kaydı KVKK uyumu değildir. Uyumun yalnızca bir adımıdır. Büyük resim için 8 adımlık uyum yol haritamıza bakın.
Kimler Kayıt Olmak Zorunda?
Kural olarak her veri sorumlusu kayıt olmak zorundadır; Kurul kararlarıyla bazı gruplar istisna tutulmuştur. Pratikte tablo şöyle:
| Durum | VERBİS kaydı |
|---|---|
| Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 100 milyon TL’den çok | Zorunlu |
| Çalışan sayısı 50’den az ve bilanço 100 milyon TL’den az, ana faaliyet özel nitelikli veri işlemek değil | İstisna |
| Ana faaliyet konusu özel nitelikli kişisel veri işlemek (özel klinik, laboratuvar, sağlık teknolojisi vb.) | Zorunlu — küçük ölçekliler için daha düşük eşikler geçerli |
| Yurt dışında yerleşik veri sorumlusu (Türkiye’deki kişilerin verisini işliyorsa) | Zorunlu — ölçekten bağımsız |
| Kamu kurum ve kuruluşları | Zorunlu |
Dikkat edilmesi gereken üç nokta:
Şartlar kümülatiftir. İstisnadan yararlanmak için hem çalışan sayısının 50’den az hem de bilanço toplamının 100 milyon TL’den az olması gerekir. 12 çalışanlı ama bilançosu 140 milyon TL olan bir ticaret şirketi kayıt olmak zorundadır.
Bilanço toplamı ciro değildir. Eşik, yıl sonu mali tablolarınızdaki aktif toplamına göre belirlenir; aylık satışlara ya da ciroya göre değil. Enflasyonla birlikte her yıl daha fazla şirket bu eşiği sessizce aşıyor — yıl sonu bilançonuz kapandığında kontrol etmeyi takvime bağlayın.
İstisna, kanundan istisna değildir. Kayıt yükümlülüğünüz olmasa bile aydınlatma, veri güvenliği, başvurulara cevap verme ve ihlal bildirimi yükümlülükleriniz aynen devam eder.
Ayrıca noterler, avukatlar, mali müşavirler, dernekler, vakıflar ve siyasi partiler gibi bazı gruplar, yalnızca kendi mevzuatları kapsamındaki faaliyetleri bakımından Kurul kararıyla istisna tutulmuştur.
Kayıttan Önce: Envanter Olmadan VERBİS Olmaz
VERBİS ekranlarında sizden istenen bilgiler, kişisel veri işleme envanterinizin özetidir. Envanteriniz yoksa ekranda gördüğünüz kutuları tahminle işaretlersiniz — ve o tahminler kamuya açık beyanınız olur.
Sağlam bir envanter her işleme faaliyeti için şunları içerir: veri kategorisi, ilgili kişi grubu (müşteri, çalışan, aday, ziyaretçi), işleme amacı, hukuki sebep, saklama süresi, aktarım yapılan alıcı grupları, yurt dışına aktarım olup olmadığı ve alınan güvenlik tedbirleri.
Envanteri yalnızca departman görüşmeleriyle çıkarmayın. Veritabanlarını, entegrasyonları ve log’ları da tarayın; çünkü sistemlerinizin gerçekte ne tuttuğunu en doğru sistemleriniz söyler.
Adım Adım Kayıt Süreci
- Veri sorumlusu yönetici hesabının açılması. VERBİS üzerinden başvuru formu doldurulur, form imzalanarak Kurum’a iletilir (KEP veya posta ile). Kurum, sisteme giriş bilgilerini tanımlar.
- İrtibat kişisinin atanması. Yönetici hesabıyla giriş yapılarak Türkiye’de yerleşik bir gerçek kişi irtibat kişisi olarak atanır. İrtibat kişisi e-Devlet üzerinden sisteme girer.
- Bildirimin yapılması. İrtibat kişisi; veri kategorilerini, işleme amaçlarını, ilgili kişi gruplarını, alıcı gruplarını, yurt dışı aktarımı, saklama sürelerini ve güvenlik tedbirlerini girer.
- Onay ve yayım. Bildirim onaylandığında sicilde kamuya açık hale gelir.
İrtibat kişisi hukuken sorumlu kişi değildir — sorumluluk tüzel kişiliktedir. Ama Kurum’un ve ilgili kişilerin muhatabı odur; bu yüzden şirketten ayrıldığında güncellenmesi unutulan ilk bilgi de genellikle budur.
Yurt dışında yerleşik veri sorumluları süreci, Türkiye’de atayacakları bir veri sorumlusu temsilcisi üzerinden yürütür.
En Sık Gördüğümüz 6 Hata
1. Ekrandaki her kutuyu işaretlemek. “Ne olur ne olmaz” diye tüm veri kategorilerini ve tüm amaçları seçmek, işlemediğiniz veriyi işlediğinizi beyan etmek demektir. Ölçülülük ilkesine aykırı bir tablo çizersiniz.
2. Saklama sürelerini uydurmak. “Süresiz” ya da hepsine “10 yıl” yazmak. Her kategori için süre, dayandığı mevzuata veya meşru ihtiyaca göre gerekçelendirilebilir olmalı. Ve o süre sisteminizde gerçekten uygulanıyor olmalı.
3. Yurt dışı aktarımı “yok” demek. Kurumsal e-postanız, CRM’iniz ya da analitik aracınız yurt dışındaki sunucularda çalışıyorsa, yurt dışına aktarım yapıyorsunuz. Ayrıntılar için yurt dışına aktarım yazımıza bakın.
4. Almadığınız tedbirleri beyan etmek. “Sızma testi yapılmaktadır”, “log kayıtları kullanıcı müdahalesi olmayacak şekilde tutulmaktadır” kutuları işaretlenir ama gerçekte yapılmaz. Bir ihlal sonrası incelemede bu beyanlar tek tek sorulur.
5. Kaydı bir kez yapıp unutmak. Yeni bir ürün, yeni bir mobil uygulama, yeni bir İK yazılımı — işleme faaliyetleriniz değiştikçe kayıt da güncellenmelidir. Değişikliklerin yedi gün içinde VERBİS’e yansıtılması beklenir.
6. Eşiği aştığını fark etmemek. Kayıt yükümlülüğü doğduktan sonra 30 gün içinde kayıt yapılmalıdır. Büyüyen şirketler çalışan sayısı 50’yi geçtiğinde ya da bilanço eşiği aşıldığında bunu çoğu zaman aylar sonra fark ediyor.
Kayıt Olmamanın veya Yanlış Beyanın Bedeli
VERBİS’e kayıt ve bildirim yükümlülüğüne aykırılığın 2026 yılı için idari para cezası 341.809 TL ile 17.092.242 TL arasındadır. Kurul geçmiş yıllarda, kayıt yükümlülüğünü süresinde yerine getirmeyen çok sayıda veri sorumlusuna ceza uyguladığını kamuoyuna duyurdu; bu kâğıt üzerinde kalan bir yaptırım değil.
Para cezasından bağımsız olarak, VERBİS kaydının olmaması kurumsal müşterilerin tedarikçi değerlendirmelerinde de ilk bakılan maddelerden biri haline geldi.
Kayıttan Sonra: Beyanı Canlı Tutmak
VERBİS’i sürdürülebilir kılmanın yolu, onu envantere, envanteri de değişiklik süreçlerinize bağlamaktır:
- Yeni bir sistem, form veya entegrasyon devreye alınırken “kişisel veri işliyor mu?” sorusu kontrol listenizde olsun
- Envanteri yılda en az bir kez, sistemleri tarayarak doğrulayın
- İrtibat kişisi değişikliklerini İK çıkış sürecine bağlayın
- Saklama sürelerini beyan etmekle kalmayın, imha işlemlerini otomatikleştirin
Yardıma mı İhtiyacınız Var?
VERBİS’in form kısmı bir günlük iştir. Asıl iş, o forma girilecek bilgilerin doğru olmasını sağlayan envanterdir — ve envanterin doğru olması, sistemlerinize gerçekten bakılmasına bağlıdır.
IWWOMI olarak envanteri veritabanlarınızı, entegrasyonlarınızı ve veri akışlarınızı inceleyerek çıkarıyor, VERBİS bildiriminizi bu envantere dayandırıyor ve sonrasında güncel kalmasını sağlayacak süreci kuruyoruz. Kayıt yükümlülüğünüz olup olmadığından emin değilseniz ya da mevcut kaydınızın gerçeği yansıttığından şüpheniz varsa bize yazın.
Kaynaklar: VERBİS — Kişisel Verileri Koruma Kurumu · Veri Sorumluları Sicili Hakkında Yönetmelik ve Kurul kararları
