KVKK Uyum Raporları ve VERBİS Kayıtları Tam mı? Eksiklikler Yatırımcı Açısından Hangi Hukuki Sorunlara Yol Açar?

GİRİŞ

Kişisel verilerin korunması, yalnızca bireylerin özel hayatını güvence altına alan bir hak değil; aynı zamanda kurumsal düzeyde işletmelerin hukuki, teknik ve ticari itibarı açısından stratejik önemde bir sorumluluktur. Bu bağlamda 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında hazırlanan uyum raporları, kişisel veri işleme envanteri, aydınlatma metinleri ve en önemlisi VERBİS kayıtları, yatırımcıların bir şirkete ilişkin yapacakları risk değerlendirmesinin merkezinde yer alır. Peki bu belgelerdeki eksiklikler veya tutarsızlıklar, yatırımcı açısından hangi hukuki sorunlara yol açar? Bu eksiklikler, yalnızca para cezası mı doğurur, yoksa daha büyük bir yasal risk zincirinin başlangıcı mı olabilir? Bu makalede, due diligence sürecinde KVKK uyum raporlarının ve VERBİS kayıtlarının nasıl analiz edilmesi gerektiği, eksikliklerin doğurabileceği riskler, örnek olaylar, yatırımcı ve şirket açısından alınabilecek önlemler detaylı biçimde incelenecektir.

---

1. Teorik Çerçeve: KVKK Uyum Raporları ve VERBİS Nedir?

1.1. KVKK Uyum Raporları

KVKK’ya uyum sürecinde hazırlanan uyum raporları, şirketin:

• Kişisel veri işleme faaliyetlerini haritalandırdığı,

• Hukuki ve teknik yükümlülüklerini analiz ettiği,

• Aydınlatma metinleri ve açık rıza süreçlerini yapılandırdığı,

• Riskleri ve açıkları belirleyerek önlemler önerdiği,

detaylı bir hukuki-teknik dokümandır. Bu raporlar, genellikle hukuk ve bilişim danışmanlığı firmalarının koordinasyonunda hazırlanır.

1.2. VERBİS Kaydı

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), Kişisel Verileri Koruma Kurumu nezdinde yürütülen bir sicil sistemidir. 50’den fazla çalışanı veya 25 milyon TL’den fazla yıllık bilanço toplamı olan veri sorumlularının bu sisteme veri kategorilerini, veri konusu kişi gruplarını, işleme amaçlarını ve saklama sürelerini beyan etmeleri zorunludur.

---

2. Due Diligence Sürecinde İnceleme Adımları

Yatırım kararı öncesinde KVKK uyumu aşağıdaki adımlarla değerlendirilmelidir:

---

3. Yatırımcı Açısından Eksikliklerin Doğuracağı Riskler

3.1. İdari Para Cezaları

Kurum tarafından uygulanan para cezaları 2024 yılı itibariyle:

• VERBİS’e kayıt olmama: 149.000 TL’ye kadar

• Aydınlatma yükümlülüğüne aykırılık: 596.000 TL’ye kadar

• Veri güvenliği tedbirlerine uymama: 1.966.000 TL’ye kadar

Bu cezalar yatırım sonrası ortaya çıkarsa yatırımcıyı doğrudan zarara uğratabilir.

3.2. Tazminat Davaları

Kişisel verileri işlenen kişiler, hem maddi hem manevi tazminat davası açabilir. Yatırımcı, devraldığı şirketin geçmiş sorumluluklarını da üstlenmiş olur.

3.3. Reputasyonel Kayıp

Kurul kararları kamuoyuna açıklandığından, veri ihlali nedeniyle ceza alan şirketin pazarlama ve kurumsal itibar kaybı yaşaması kaçınılmazdır.

3.4. Uluslararası Uyum Problemleri

Eğer yatırımcının bulunduğu ülke veya fon GDPR kapsamında ise, KVKK uyumsuzluğu bu fonun sözleşme fesih hakkını doğurabilir. Bu tür yatırım ilişkilerinde genellikle “GDPR-level data compliance” beklentisi vardır.

---

4. Örnek Olaylar

4.1. Örnek Olay 1: VERBİS Kaydı Olmayan Teknoloji Şirketi

Olay: Yazılım sektöründe faaliyet gösteren bir start-up, büyüme fonuna yatırım almak üzere girişim sermayesi ile anlaşma sağladı. Due diligence sırasında VERBİS kaydının hiç yapılmadığı, kişisel veri envanterinin ise Excel formatında ve güncel olmayan şekilde tutulduğu ortaya çıktı.

Sonuç: Yatırımcı, değerlemeyi %15 oranında düşürerek şirketi yeniden yapılandırma koşulu getirdi. Kuruma bildirim yapıldıktan sonra süreç düzeltildi, ancak yatırım 8 ay gecikti.

---

4.2. Örnek Olay 2: Aydınlatma Eksikliği ve Ceza

Olay: Perakende zinciri işleten bir şirket, müşteri kartı başvurularında yalnızca sözlü onay almakta, yazılı açık rıza ve aydınlatma metni sunmamaktaydı. Kuruma yapılan şikâyet sonrası denetim yapıldı.

Sonuç: 950.000 TL idari para cezası kesildi. Şirket, bu yükümlülüğün eski yönetim zamanına ait olduğunu savunsa da yatırımcı tarafında güven krizi oluştu. Yatırımcılar teminat talebinde bulundu.

---

5. Yatırımcı Ne Yapmalı?

5.1. Detaylı KVKK Uyum İncelemesi Talep Etmeli

• Uyum raporunun varlığı ve kapsamı sorgulanmalı

• VERBİS kayıtları sistemden kontrol edilmeli

• Envanter – VERBİS – uygulama belgeleri karşılaştırılmalı

• Aydınlatma ve rıza örnekleri dosyalanmalı

5.2. Sözleşmeye Özel Hükümler Eklenmeli

• “VERBİS yükümlülüğü yerine getirilmiştir” garantisi

• Geçmişteki ihlallerin yatırımcıya yansımayacağına dair açık taahhüt

• KVKK’ya aykırılık sebebiyle doğabilecek zararlar için cezai şart

---

6. Şirketler Ne Yapmalı?

6.1. KVKK Uyum Sürecini Belgeli Hale Getirmeli

• Her adımda oluşturulan belgeler, politika ve prosedürlerle desteklenmeli

• İç denetim raporları ve güncelleme tarihleri kaydedilmeli

• VERBİS’e giriş yapılan bilgiler ile şirket içi envanter birebir örtüşmeli

6.2. Eğitimi ve Uygulama Disiplinini Sağlamalı

• Çalışanlara veri koruma eğitimi verilmeli

• Her yeni işleme faaliyeti için güncel aydınlatma metni hazırlanmalı

• Açık rıza gerektiren süreçler otomasyona bağlanmalı

---

SONUÇ

KVKK uyumu, sadece kanuni bir yükümlülük değil; aynı zamanda yatırımcının alacağı riski doğrudan etkileyen stratejik bir denetim kriteridir. VERBİS kayıtları yapılmamış, uyum raporu eksik, aydınlatma metni güncel olmayan bir şirket; yatırımcının karşısında güven vermeyen bir profil çizer.

Due diligence sürecinde bu eksikliklerin zamanında ve şeffaf biçimde giderilmesi, yatırımın önünü açar. Aksi hâlde, hem hukuki cezalar hem de yatırımcının güven kaybı telafisi güç sonuçlar doğurabilir.

Hukuk Fakültesi Öğrencisi Gamze Akbulut