VERBİS Kayıt Zorunluluğu: Kimler Kaydolmalı, Nasıl Yapılır?

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında en çok sorulan sorulardan biri şudur: "VERBİS'e kayıt olmak zorunda mıyım?" Bu yazıda VERBİS kayıt zorunluluğunun kimleri kapsadığını, kimlerin muaf olduğunu, kaydın nasıl yapıldığını ve muaf olsanız bile yapmanız gerekenleri sade bir dille anlatıyoruz.

Önemli not: Bu yazı genel bilgilendirme amaçlıdır ve hukuki görüş değildir. Kayıt eşikleri Kişisel Verileri Koruma Kurulu kararlarıyla belirlenir ve zaman içinde değişebilir. Karar vermeden önce güncel durumu Kişisel Verileri Koruma Kurumu'nun resmî internet sitesinden ya da bir hukukçudan teyit edin.

VERBİS nedir?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), kişisel veri işleyen kurum ve kuruluşların hangi verileri, hangi amaçla, kimlerle paylaşarak ve ne kadar süre işlediklerini Kişisel Verileri Koruma Kurumu'na bildirdikleri çevrim içi sicildir. Kayıt bilgileri kamuya açıktır; yani herkes bir şirketin VERBİS kaydına bakarak hangi kategorilerde veri işlediğini görebilir.

VERBİS kaydı bir "izin" değildir; kayıt olmanız verileri hukuka uygun işlediğiniz anlamına gelmez. Kayıt, KVKK uyumunun yalnızca bir parçasıdır.

Kimler VERBİS'e kaydolmak zorunda?

Kurul kararlarına göre yaygın kabul gören kural şöyledir:

• Yıllık çalışan sayısı 50'den fazla olan gerçek ve tüzel kişi veri sorumluları,
• ya da yıllık mali bilanço toplamı 100 milyon TL'den fazla olanlar,
• ana faaliyet konusu özel nitelikli kişisel veri işlemek olanlar (sağlık kuruluşları gibi): bu grup için eşikler çok daha düşüktür. Kaynakların bir kısmı 10 çalışan ya da 10 milyon TL bilanço eşiğinden, bir kısmı büyüklükten bağımsız kayıt yükümlülüğünden söz eder; bu gruptaysanız durumunuzu mutlaka güncel Kurul kararıyla teyit edin,
• yurt dışında yerleşik veri sorumluları (Türkiye'deki kişilerin verilerini işliyorlarsa, temsilci atayarak).

Bu iki eşikten (çalışan sayısı ya da bilanço) birini aşmak kayıt yükümlülüğü için yeterlidir.

Özel nitelikli kişisel veri nedir?

Sağlık, cinsel hayat, biyometrik ve genetik veriler, ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep, dernek, vakıf ya da sendika üyeliği, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler özel nitelikli kişisel veridir. Klinikler, laboratuvarlar, sağlık kuruluşları, sendikalar ve bu tür verileri asıl iş olarak işleyen kuruluşlar için eşikler bu yüzden daha düşüktür.

Kimler muaf?

Kurul, bazı veri sorumlularını kayıt yükümlülüğünden muaf tutmuştur. Bunların başlıcaları:

• Yukarıdaki eşiklerin altında kalan ve ana faaliyeti özel nitelikli veri işlemek olmayan işletmeler,
• Noterler,
• Siyasi partiler,
• Avukatlar,
• Mali müşavirler ve yeminli mali müşavirler,
• Gümrük müşavirleri ve lisanslı gümrük müşavirleri,
• Arabulucular,
• Dernekler, vakıflar ve sendikalar (yalnızca kendi üyeleri, çalışanları ve bağışçılarıyla ilgili, mevzuata ve amaçlarına uygun olarak işledikleri veriler için),
• Kurul kararlarında sayılan diğer bazı gruplar.

Muafiyetlerin kapsamı kararlarda ayrıntılı tanımlanmıştır. Örneğin dernek ve sendikalar için muafiyet, üyeleri dışındaki kişilere ait verilerin işlenmesini kapsamayabilir. Durumunuzu kararın metniyle karşılaştırın.

Muaf olmak, KVKK'dan muaf olmak demek değildir

En sık yapılan yanlış anlama budur. VERBİS'e kayıt zorunluluğunuz olmasa bile KVKK'nın diğer tüm yükümlülükleri geçerlidir:

• Aydınlatma yükümlülüğü: Verisini aldığınız kişiye, verisini hangi amaçla işlediğinizi anlatan aydınlatma metni sunmak.
• Açık rıza: Kanunda sayılan diğer hukuki sebepler yoksa, ilgili kişiden açık rıza almak.
• Veri güvenliği: Verileri yetkisiz erişime karşı korumak için teknik ve idari tedbirler almak.
• İlgili kişi başvuruları: Kişilerin "hakkımda hangi veriler var?" gibi başvurularını süresi içinde yanıtlamak.
• Veri ihlali bildirimi: Bir veri sızıntısını Kurul'a ve ilgili kişilere bildirmek.

Bu nedenle küçük bir işletme olsanız da web sitenizde KVKK aydınlatma metni, form onay kutuları ve çerez bilgilendirmesi bulunmalıdır. Nereden başlayacağınızı küçük işletmeler için KVKK uyumu yazımızda anlattık.

VERBİS kaydı nasıl yapılır? Adım adım

1. Kişisel veri envanterini hazırlayın

Kayıt ekranına geçmeden önce şirketinizde hangi kişisel verilerin işlendiğini çıkarın. Her süreç için şu soruları yanıtlayın: Hangi kişi grubu (çalışan, müşteri, ziyaretçi, tedarikçi)? Hangi veri kategorisi (kimlik, iletişim, finans, sağlık)? Hangi amaçla? Hangi hukuki sebeple? Kimlerle paylaşılıyor? Yurt dışına aktarılıyor mu? Ne kadar süre saklanıyor?

2. Saklama ve imha politikasını hazırlayın

Kayıt yükümlüleri, verilerin ne kadar süre saklanacağını ve süre dolunca nasıl imha edileceğini anlatan bir politika hazırlamakla da yükümlüdür.

3. İrtibat kişisini belirleyin

Kurum ile iletişimi sağlayacak, Türkiye'de yerleşik bir irtibat kişisi belirlenir.

4. Başvuruyu yapın

Kurumun VERBİS sistemi üzerinden şirket bilgileri girilir. Tüzel kişiler için şirketi temsile yetkili kişinin e-Devlet üzerinden işlem yapması gerekir.

5. Envanteri sisteme girin

Veri kategorileri, amaçlar, alıcı grupları, yurt dışına aktarım, saklama süreleri ve alınan güvenlik tedbirleri sisteme girilir ve onaylanır.

6. Güncel tutun

İşleme faaliyetlerinizde bir değişiklik olduğunda VERBİS kaydınızı güncellemeniz gerekir. Yeni bir yazılım, yeni bir hizmet sağlayıcı ya da yeni bir veri kategorisi, kaydı etkileyebilir.

Ne zaman kaydolmalısınız?

Eşikleri yeni aşan işletmeler için Kurul kararlarında belirli süreler tanınmıştır. Yaygın uygulamaya göre, çalışan sayısı ya da bilanço eşiğini aştığınızı öğrendiğiniz dönemden sonra, kararda belirtilen süre içinde kayıt yapmanız gerekir. Kesin süreyi güncel Kurul kararından kontrol edin; geç kalmak idari para cezasına yol açabilir.

Kayıt yaptırmamanın sonucu

Kayıt yükümlülüğüne aykırılık, KVKK'da idari para cezası gerektiren bir ihlaldir. Ceza tutarları her yıl yeniden değerleme oranına göre güncellenir; güncel tutarları Kurum'un duyurularından öğrenebilirsiniz. Kayıt dışında aydınlatma ve veri güvenliği yükümlülüklerine aykırılıklar da ayrıca cezaya konu olabilir.

Sık yapılan 7 hata

1. "Küçüğüz, KVKK bizi ilgilendirmez" düşüncesi. VERBİS muafiyeti diğer yükümlülükleri kaldırmaz.
2. Envanteri tahminle doldurmak. Gerçek süreçleri incelemeden doldurulan kayıt, denetimde sorun yaratır.
3. Web sitesini unutmak. İletişim formu, randevu formu, çerezler ve analiz araçları da kişisel veri işler.
4. Yurt dışı aktarımı atlamak. Yurt dışında sunucusu olan e-posta, CRM ya da bulut hizmetleri yurt dışına aktarım sayılabilir.
5. Kaydı bir kez yapıp unutmak. Değişiklikler kayda yansıtılmalıdır.
6. Aydınlatma metniyle açık rızayı karıştırmak. Aydınlatma bilgi vermektir; açık rıza onay almaktır. İkisi ayrı metinlerdir.
7. Çalışan verilerini atlamak. Personel dosyaları, bordro ve sağlık raporları da envanterde yer almalıdır.

Sık sorulan sorular

Şahıs şirketleri VERBİS'e kayıt olmak zorunda mı?

Şahıs şirketleri de veri sorumlusudur. Eşikleri aşıyorlarsa ya da ana faaliyetleri özel nitelikli veri işlemekse kayıt yükümlülüğü doğar. Eşiklerin altındaysa kayıt zorunlu değildir, ama KVKK'nın diğer yükümlülükleri geçerlidir.

Klinikler ve sağlık işletmeleri kayıt olmalı mı?

Ana faaliyeti sağlık verisi işlemek olan işletmeler için eşikler çok daha düşüktür; küçük bir klinik de kayıt yükümlüsü olabilir. Klinik sahiplerinin durumlarını mutlaka bir uzmanla değerlendirmesini öneririz.

VERBİS kaydı ücretli mi?

Kurum'un sisteminde kayıt ücretsizdir. Envanterin hazırlanması ve politika metinleri için danışmanlık hizmeti alınması ise ayrı bir maliyettir.

Web sitemde ne olmalı?

KVKK aydınlatma metni, çerez politikası ve çerez onayı, formlarda aydınlatma metnine bağlantı ve gerekiyorsa açık rıza onay kutusu. Bu öğelerin sitenizde olup olmadığını ücretsiz site kontrol aracımızla hızlıca görebilirsiniz.

HNG Bilişim ile KVKK uyumu

KVKK ön analiz hizmetimizde işletmenizin veri işleme süreçlerini inceliyor, VERBİS yükümlülüğünüz olup olmadığını ve eksiklerinizi raporluyoruz. Küçük işletmeler için temel KVKK uyum paketimiz envanter, aydınlatma metinleri ve saklama-imha süreçlerini kapsar. Ayrıntıları konuşmak için ücretsiz ön görüşme planlayın.