VERBİS Kaydı: KVKK'da Veri Sorumluları Sicili Rehberi

Türkiye'de faaliyet gösteren ya da Türkiye'deki kişilerin verilerini işleyen her gerçek veya tüzel kişi, veri işlemeye başlamadan önce Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kayıt olmak zorundadır. Bu yükümlülüğü yerine getirmeyen veri sorumlularına, 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca bir milyona kadar Türk lirası idari para cezası uygulanabilir. Peki VERBİS kaydı tam olarak nedir, kimler kayıt yaptırmak zorundadır ve bu süreç nasıl işler?

VERBİS Nedir?

VERBİS, Kişisel Verileri Koruma Kurumu Başkanlığı tarafından işletilen ve kamuya açık tutulan çevrimiçi bir kayıt sistemidir. KVKK'nın 16. maddesi uyarınca kurulan bu sicilde veri sorumluları; hangi kategorilerde veri işlediklerini, bu verileri hangi amaçlarla kullandıklarını, verileri kimlere aktarabileceklerini ve güvenliğe ilişkin hangi önlemleri aldıklarını beyan eder.

Sicil kamuya açık olduğundan, herhangi bir kişi bir şirketin VERBİS kaydını inceleyerek o şirketin ne tür kişisel veriler işlediğini, saklama sürelerini ve yurt dışına aktarım yapıp yapmadığını öğrenebilir. Bu şeffaflık, KVKK'nın temel amaçlarından birini doğrudan yansıtır.

Kimler Kayıt Olmak Zorunda?

KVKK'nın genel kuralına göre, kişisel verilerin işlenme amaçlarını ve araçlarını belirleyen her gerçek veya tüzel kişi "veri sorumlusu" sayılır ve veri işlemeye başlamadan önce VERBİS'e kayıt yaptırmakla yükümlüdür. Perakende, sağlık, finans, gayrimenkul, konaklama ve teknoloji gibi neredeyse tüm sektörlerdeki şirketler bu kapsamda değerlendirilebilir.

Türkiye'de şubesi ya da temsilcisi bulunan yabancı şirketler de Türkiye'deki kişilerin verilerini sistematik biçimde işliyorlarsa bu yükümlülükten muaf değildir. Fiziksel varlığı olmayan yabancı veri sorumluları, kayıt işlemlerini Türkiye'de yerleşik bir temsilci aracılığıyla gerçekleştirmek zorundadır. Kurul, yönetmelikte belirlenen ölçütlere —işlenen verinin niteliği ve miktarı, faaliyet alanı, üçüncü kişilere aktarım, çalışan sayısı, yıllık mali bilanço— dayanarak bazı veri sorumlularını kayıt yükümlülüğünden muaf tutabilir. KVKK uyumunun genel çerçevesine ilişkin daha geniş bir değerlendirme için KVKK uyum rehberimizi inceleyebilirsiniz.

Kayıt Başvurusunda Hangi Bilgiler Gerekli?

KVKK'nın 16. maddesi, VERBİS kaydının içermesi gereken bilgileri açıkça düzenler:

• Veri sorumlusunun kimlik ve adres bilgileri; Türkiye'de yerleşik olmayanlar için veri sorumlusu temsilcisinin bilgileri
• Kişisel verilerin işlenme amaçları
• Veri konusu kişi grupları ve işlenen veri kategorileri
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları
• Yurt dışına aktarımı öngörülen veriler ve hedef ülkeler
• Veri güvenliğine ilişkin alınan teknik ve idari önlemler
• Her veri kategorisi için öngörülen azami saklama süresi

Bu bilgilerin VERBİS'e yüklenebilmesi için önce Kişisel Veri İşleme Envanteri hazırlanmalıdır. Bu envanter, kurumun tüm veri işleme faaliyetlerini kategorize eden iç bir belgedir ve sicil başvurusu bu envantere dayalı olarak yapılır. Sicile kaydedilen bilgilerde herhangi bir değişiklik olması halinde, bu değişikliğin gerçekleştiği tarihten itibaren yedi gün içinde VERBİS üzerinden bildirim yapılması zorunludur.

Kayıt Ne Zaman Yapılmalı?

Kanun bu konuda net bir zaman koşulu öngörür: veri işlemeye başlamadan önce. Sonradan kayıt yükümlüsü haline gelen veri sorumluları —örneğin faaliyetleri büyüyerek muafiyet eşiğini aşan şirketler— bu durumun ortaya çıkmasından itibaren otuz gün içinde kaydı tamamlamak zorundadır.

Pek çok şirket bu yükümlülüğü faaliyete başladıktan çok sonra fark etmektedir. Oysa Kurul hem şikâyet başvuruları üzerine hem de resen inceleme yapabilmekte, VERBİS kaydının bulunmaması ise en kolay tespit edilebilen ihlallerden biri olmaktadır.

Kayıt Yaptırmamanın Sonuçları Nelerdir?

KVKK'nın 18. maddesinin birinci fıkrasının (ç) bendi, VERBİS kayıt ve bildirim yükümlülüğüne aykırı hareket edenlere 20.000 Türk lirası ile 1.000.000 Türk lirası arasında idari para cezası öngörmektedir. Ceza doğrudan veri sorumlusuna uygulanır. 2024 yılında yapılan yasal değişiklikle, Kurul tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilmesi imkânı da getirilmiştir.

Cezanın ötesinde, VERBİS kaydının bulunmaması Kurul'un daha geniş kapsamlı bir denetim başlatmasına zemin hazırlayabilir. Örneğin bir veri sahibinin erişim talebine yanıt verilmemesi ya da yurt dışı veri aktarımına ilişkin aydınlatma eksikliği gibi şikâyetler, sicil durumunu da mercek altına alır. Yurt dışına veri aktarımı konusundaki yükümlülüklerin ayrıntısını yurt dışı veri transferi rehberimizde bulabilirsiniz.

Sıkça Sorulan Sorular

S: Türkiye'de fiziksel varlığı bulunmayan yabancı şirketler de VERBİS'e kayıt olmak zorunda mı?

Türkiye'deki kişilerin verilerini sistematik biçimde işleyen yabancı şirketler, Türkiye'de ofisleri olmasa bile KVKK kapsamında değerlendirilebilir. Bu durumda Türkiye'de bir veri sorumlusu temsilcisi atanarak kayıt bu temsilci aracılığıyla gerçekleştirilmelidir.

S: VERBİS kaydının yıllık olarak yenilenmesi gerekiyor mu?

Yıllık yenileme zorunluluğu yoktur. Ancak kayıtta yer alan bilgiler her zaman güncel tutulmalıdır; herhangi bir değişiklik gerçekleştiği tarihten itibaren yedi gün içinde bildirilmek zorundadır.

S: Muafiyet kapsamında olan şirketlerin de Kişisel Veri İşleme Envanteri hazırlaması gerekiyor mu?

VERBİS kaydından muaf olmak, KVKK'nın diğer yükümlülüklerini ortadan kaldırmaz. Veri güvenliği, ilgili kişi hakları ve saklama süreleri konusundaki gereklilikler varlığını sürdürür. Kişisel Veri İşleme Envanteri ise bu yükümlülükleri yerine getirmenin pratik altyapısını oluşturur. Aydınlatma yükümlülüğü ve açık rıza konusundaki makalemiz, VERBİS kaydıyla birlikte değerlendirilmesi gereken şeffaflık yükümlülüklerini ele almaktadır.

S: Ceza miktarı 20.000 ile 1.000.000 TL aralığında nasıl belirleniyor?

Kurul, ihlalin niteliği, kapsamı, kasıtlı olup olmadığı, süresi ve veri sorumlusunun büyüklüğü gibi unsurlara göre takdir yetkisini kullanır. Önceden belirlenmiş sabit bir formül bulunmamaktadır.

Mona Hukuk Nasıl Yardımcı Olabilir

Mona Hukuk, Antalya'da ve Türkiye genelinde faaliyet gösteren şirketlere KVKK uyum süreçlerinde destek vermektedir. VERBİS kaydı, Kişisel Veri İşleme Envanterinin hazırlanması ve Kişisel Verileri Koruma Kurumu nezdindeki temsil konularında yabancı uyruklu müvekkillere de hizmet sunmaktayız.

Antalya'da bir danışmanlık için contact@monahukuk.com adresinden bize yazabilir veya +90 (242) 606 14 32 numarasından arayabilirsiniz.