VERBİS Kaydı ve Veri Sorumluları Sicili: Kimler Kayıt Olmalıdır?

1. Konunun Genel Çerçevesi

Veri Sorumluları Sicili, kişisel veri işleyen gerçek ve tüzel kişilerin kayıt altına alındığı, Kişisel Verileri Koruma Başkanlığı gözetiminde tutulan ve kamuya açık olan bir sicildir. Bu sicil, Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) adı verilen elektronik sistem üzerinden yönetilmektedir. Sicilin amacı, hangi kurumun hangi amaçlarla, hangi kişi gruplarına ait verileri işlediğinin şeffaf biçimde görülebilmesidir.

Uygulamada şirket yöneticilerinin en sık karşılaştığı soru, kendi işletmelerinin kayıt yükümlüsü olup olmadığıdır. Bu sorunun cevabı; çalışan sayısına, bilanço büyüklüğüne, ana faaliyet konusuna ve şirketin yurt içinde mi yurt dışında mı yerleşik olduğuna göre değişmektedir. Kayıttan muaf olmak, kişisel verilerin korunmasına ilişkin diğer yükümlülüklerden muaf olmak anlamına gelmemektedir.

2. Hukuki Dayanak

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), özellikle KVKK m.16 (Veri Sorumluları Sicili)
• KVKK m.18 (kabahatler ve idari para cezaları)
• Veri Sorumluları Sicili Hakkında Yönetmelik
• Kişisel Verileri Koruma Kurulu'nun sicile kayıt yükümlülüğünden istisna kriterlerine ilişkin kararları, bu kapsamda 2025/1572 sayılı Kurul Kararı (RG 01.10.2025)
• KVKK m.10 (aydınlatma yükümlülüğü) ve KVKK m.12 (veri güvenliği), sicil bilgileriyle tutarlılık bakımından

3. Kanundaki Düzenleme

KVKK m.16 uyarınca kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Kanun, Kurul'a; işlenen verinin niteliği, sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterleri gözeterek istisna getirme yetkisi tanımaktadır.

Sicile Bildirilecek Bilgiler

Sicile kayıt başvurusunda en az şu bilgilerin yer alması gerekmektedir: veri sorumlusunun ve varsa temsilcisinin kimlik ve adres bilgileri, kişisel verilerin hangi amaçla işleneceği, veri konusu kişi grupları ve bu gruplara ait veri kategorileri, verilerin aktarılabileceği alıcı veya alıcı grupları, yabancı ülkelere aktarımı öngörülen veriler, veri güvenliğine ilişkin alınan tedbirler ve azami saklama süresi.

İstisnalar

Kurul kararlarıyla belirlenen genel istisnaya göre yıllık çalışan sayısı 50'den ve yıllık mali bilanço toplamı 100 milyon TL'den az olan veri sorumluları, ana faaliyetleri özel nitelikli kişisel veri işlemek değilse kayıt yükümlülüğünden muaf tutulmaktadır. 2025/1572 sayılı Kurul Kararı ile ana faaliyeti özel nitelikli kişisel veri işlemek olan veri sorumluları için de, Kurul'un belirlediği çalışan ve bilanço eşiklerinin altında kalanlara istisna tanınmıştır. Bu eşiklerin karar metninden ayrıca kontrol edilmesi gerekmektedir.

Bunun yanında Kurul kararlarıyla; kişisel verileri yalnızca otomatik olmayan yollarla (bir veri kayıt sisteminin parçası olarak) işleyenler ile noterler, dernekler, vakıflar, sendikalar, siyasi partiler, avukatlar, mali müşavirler, arabulucular ve benzeri bazı kişi ve kurumlar için faaliyetleri kapsamında istisna getirilmiştir. Yurt dışında yerleşik veri sorumluları ise bu genel istisnalardan yararlanamamakta ve Türkiye'de bir temsilci atayarak kayıt olmak durumunda bulunmaktadır.

4. Uygulamada Süreç

1. Yükümlülük tespiti: Önceki yılın çalışan sayısı ve mali bilanço toplamı, faaliyet konusu ve yurt dışında yerleşik olup olmama durumu birlikte değerlendirilmektedir.
2. Kişisel veri envanterinin hazırlanması: Kayıt, envanter üzerine kurulmaktadır. Hangi birimin hangi veriyi hangi amaçla, hangi hukuki sebebe dayanarak işlediği ve ne kadar süre sakladığı tablo hâlinde çıkarılmaktadır.
3. İrtibat kişisinin belirlenmesi: Yurt içinde yerleşik tüzel kişiler için Kurum ile iletişimi sağlayacak bir irtibat kişisi atanmaktadır. İrtibat kişisi, veri sorumlusunu temsil etme yetkisine sahip değildir; iletişim görevini üstlenmektedir.
4. VERBİS'e giriş ve başvuru: Tüzel kişiler için sisteme giriş, yetkili kişinin e-Devlet üzerinden işlem yapması ve gerekli belgelerin sunulmasıyla başlatılmaktadır. Yurt dışında yerleşik veri sorumlularında temsilci ataması karar ve belgelerle Kurum'a bildirilmektedir.
5. Bildirimin doldurulması: Envanterdeki bilgiler; veri kategorileri, işleme amaçları, alıcı grupları, yurt dışı aktarım ve güvenlik tedbirleri başlıkları altında sisteme girilmektedir.
6. Güncelleme: Sicile bildirilen bilgilerde bir değişiklik olması hâlinde, yönetmelikte öngörülen süre içinde VERBİS üzerinden güncelleme yapılması gerekmektedir.

5. Görevli ve Yetkili Mahkeme veya Merci

Sicil, Kişisel Verileri Koruma Başkanlığı bünyesinde tutulmakta; kayıt yükümlülüğüne uyulup uyulmadığının denetimi ve yaptırım uygulanması Kişisel Verileri Koruma Kurulu tarafından yapılmaktadır. Kayıt yükümlülüğüne aykırılık nedeniyle verilen idari para cezalarına karşı, 7499 sayılı Kanun ile yapılan değişiklik sonrasında 01.06.2024 tarihinden itibaren idari yargı yoluna, yani idare mahkemesine başvurulabilmektedir.

İdare mahkemesinde dava açma süresi, İYUK m.7 uyarınca kural olarak kararın tebliğinden itibaren 60 gündür. Yetkili idare mahkemesi, İdari Yargılama Usulü Kanunu'nun yetki kuralları çerçevesinde belirlenmektedir.

6. Süreler ve Dikkat Edilecek Hususlar

• Kayıt, kural olarak veri işlemeye başlanmadan önce yapılmalıdır. Eşiğin yıl içinde aşılması hâlinde, Kurul kararlarında öngörülen süre içinde kayıt yapılması gerekmektedir.
• Eşik hesabında yalnızca tek bir yılın değil, ilgili kararlarda belirtilen yöntemin esas alınması gerekmektedir. Şirketler topluluğunda her tüzel kişi ayrı veri sorumlusu olarak değerlendirilmektedir.
• VERBİS'e girilen bilgiler ile aydınlatma metinleri, açık rıza metinleri ve saklama-imha politikasının birbiriyle uyumlu olması gerekmektedir. Denetimde ilk karşılaştırılan belgeler bunlardır.
• Kayıttan muaf olmak; aydınlatma, veri güvenliği, ilgili kişi başvurularına cevap verme ve veri ihlali bildirimi gibi yükümlülükleri ortadan kaldırmamaktadır.
• Yurt dışı aktarım bilgisinin sicile girilmesi, aktarımın hukuka uygun olduğu anlamına gelmemektedir. Aktarımın ayrıca KVKK m.9 şartlarını karşılaması gerekmektedir.
• Kayıt ve bildirim yükümlülüğüne aykırılık hâlinde uygulanacak idari para cezası tutarları her yıl yeniden değerleme oranında güncellenmektedir; güncel tutarın başvuru tarihinde kontrol edilmesi gerekmektedir.

7. Sonuç

VERBİS kaydı, şeklî bir kayıt işlemi gibi görünse de aslında işletmenin tüm kişisel veri süreçlerinin bir özetidir. Doğru bir kayıt, ancak gerçekçi bir veri envanteri ve buna uygun politikalarla mümkün olmaktadır. Kayıt yükümlülüğünün bulunup bulunmadığı ve bildirilecek bilgilerin kapsamı, işletmenin faaliyet yapısına göre farklılık göstermektedir.

Somut olayın özelliklerine göre ayrıca değerlendirme yapılması gerekmektedir.

8. Akademik Kaynaklar

Bu konuya ilişkin akademik çalışmalara aşağıdaki kaynaklar üzerinden ulaşabilirsiniz. Tez ve makalelerin içeriği bu sitede çoğaltılmamaktadır.

Bu yazı genel bilgilendirme amaçlıdır; hukuki görüş niteliği taşımamaktadır.

← Kişisel Verilerin Korunması ve Veri Uyumu