Veri Sorumluları Sicili’ne (VERBİS) Kayıt Yükümlülüğündeki Yeni Gelişmeler

1. Giriş

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), Türkiye’de veri güvenliği ve gizlilik alanındaki en kapsamlı düzenlemedir.
Bu sistemin merkezinde, Veri Sorumluları Sicili (VERBİS) yer almaktadır.

VERBİS; kişisel veri işleyen gerçek veya tüzel kişilerin kayıt olmak zorunda olduğu, Kişisel Verileri Koruma Kurumu (KVKK Kurumu) tarafından yönetilen çevrimiçi bir veri tabanıdır.
Amaç, veri işleme faaliyetlerinin şeffaf, izlenebilir ve denetlenebilir hale getirilmesidir.

2024 ve 2025 yıllarında yürürlüğe giren yeni düzenlemeler, VERBİS kayıt yükümlülüğünü yalnızca büyük işletmeler için değil, artık KOBİ’ler ve dijital platformlar için de zorunlu hale getirmiştir.

---

2. VERBİS’in Hukuki Dayanağı ve Amacı

2.1. Hukuki Dayanak

VERBİS, KVKK m.16 hükmüyle düzenlenmiştir:

“Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işleme faaliyetlerine başlamadan önce Veri Sorumluları Sicili’ne kayıt olmak zorundadır.”

Aynı maddenin ikinci fıkrası, Kurul’a belirli ölçütler çerçevesinde muafiyet tanıma yetkisi verir.

2.2. Amaç

VERBİS kayıt sistemi;

• Şeffaflığı sağlamak,

• Veri işleme süreçlerini kayıt altına almak,

• Kişisel veri ihlallerinde sorumluluğu tespit etmek,

• Kurulun denetim etkinliğini artırmak,
  amaçlarıyla oluşturulmuştur.

---

3. Kimler VERBİS’e Kayıt Olmak Zorundadır?

3.1. Türkiye’de Yerleşik Veri Sorumluları

• Tüm şirketler, dernekler, vakıflar, avukatlık büroları,

• Personel, müşteri, tedarikçi, ziyaretçi gibi verileri işleyen her kuruluş.

3.2. Yurt Dışında Yerleşik Veri Sorumluları

• Türkiye’de veri işleyen, uygulama veya web sitesiyle Türk kullanıcı verisi toplayan yabancı şirketler (örneğin Meta, TikTok, Amazon).
  Bu kişiler Türkiye’de veri sorumlusu temsilcisi atamak zorundadır.

3.3. Gerçek Kişiler

Serbest meslek icra eden, çalışan veya müşteri verisi işleyen avukat, doktor, mimar gibi kişiler de kapsamdadır.

---

4. VERBİS Kayıt Süreci

4.1. Adım Adım Süreç

1. Kayıt Başvurusu:
   Kurum’un verbis.kvkk.gov.tr adresinden yapılır.

2. Sistem Kullanıcısı Tanımlama:
   Şirket yöneticisi veya temsilcisi sisteme kullanıcı tanımlar.

3. Kişisel Veri Envanteri Hazırlama:

   • İşlenen veri türleri,

   • İşleme amaçları,

   • Veri aktarımı yapılan taraflar,

   • Saklama süreleri belirlenir.

4. Politika ve Süreçlerin Yüklenmesi:
   Veri saklama ve imha politikası, veri güvenliği prosedürleri eklenir.

5. Kayıt Onayı:
   Kurul tarafından incelendikten sonra kayıt tamamlanır.

---

5. 2024–2025 Dönemi Yeni Gelişmeleri

5.1. Eşik Değerlerin Düşürülmesi

2025 itibarıyla Kurul kararıyla;

• Çalışan sayısı 50’den az,

• Mali bilanço tutarı 25 milyon TL’den az olan,
  ancak ana faaliyet konusu veri işleme olan işletmeler (örneğin e-ticaret, sağlık, danışmanlık) da VERBİS’e kayıt zorunluluğu kapsamına alınmıştır.

5.2. Dijital Platformların Kapsam Altına Alınması

Sosyal medya yöneticileri, dijital pazarlama ajansları, influencer’lar ve mobil uygulama geliştiricileri de artık “veri sorumlusu” olarak tanımlanmıştır.
Bu kişiler kullanıcı verisi topluyorsa kayıt yükümlülüğü doğmaktadır.

5.3. Veri Koruma Görevlisi (DPO) Atama Zorunluluğu

2025 değişiklikleriyle birlikte;

• 250’den fazla çalışanı olan,

• Yıllık cirosu 100 milyon TL’yi aşan,
  kurumların veri koruma görevlisi ataması zorunlu hale gelmiştir.

Bu kişi, kurum içinde KVKK uyum sürecini koordine eden hukuki ve teknik sorumludur.

---

6. Muafiyet Kapsamı

KVKK Kurulu, 2024/1 sayılı kararıyla aşağıdaki kişi ve kurumları VERBİS kaydından muaf tutmuştur:

• Dernek, vakıf ve sendikalar (sadece kendi üyelerine yönelik veri işleyenler),

• Avukatlık ve mali müşavirlik büroları,

• Noterler,

• Arabulucular,

• 50’den az çalışanı olup yıllık mali bilançosu 25 milyon TL’den az olan KOBİ’ler (ana faaliyeti veri işleme olmayanlar).

Ancak muafiyet, veri sorumluluğunu ortadan kaldırmaz; yalnızca sicil kaydı yükümlülüğünden muafiyet sağlar.

---

7. Veri Envanteri ve Güncellik Yükümlülüğü

VERBİS kaydı “bir defalık” değildir.
Veri sorumluları, yılda en az bir kez kayıtlarını güncellemek zorundadır.

Güncelliğini kaybeden envanterler için Kurul, idari para cezası uygulamaktadır.
2025’te yapılan değişiklikle bu ceza 100.000 TL’den 1.000.000 TL’ye çıkarılmıştır.

---

8. VERBİS ve KVKK Uyum Programı

Bir kurumun VERBİS yükümlülüğünü yerine getirmesi, otomatik olarak KVKK’ya tam uyum sağladığı anlamına gelmez.
Uyum için ayrıca:

1. Aydınlatma metinleri,

2. Açık rıza formları,

3. Veri saklama ve imha politikası,

4. Çalışan gizlilik taahhütnameleri,

5. Üçüncü taraf veri işleme sözleşmeleri,
   hazırlanmalıdır.

Bu belgeler Kurul denetiminde talep edilebilir.

---

9. Denetim ve Cezai Yaptırımlar

9.1. KVKK m.18 Gereği Cezalar

Bu cezalar her ihlal için ayrı ayrı uygulanabilir.

9.2. Tüzel Kişi Sorumluluğu

Kurul kararlarında, cezanın şirketin tüzel kişiliğine uygulanacağı; ancak veri ihlaline neden olan yöneticinin TCK m.20/2 uyarınca ayrıca cezai sorumluluk taşıyabileceği belirtilmiştir.

---

10. Uluslararası Karşılaştırma

10.1. AB – GDPR

AB’de VERBİS benzeri sistem, her ülkenin “Data Protection Authority (DPA)” kayıtlarıyla yürütülür.
GDPR m.30 gereği “işleme faaliyetleri kayıt altına alınmalı” hükmü Türkiye’deki VERBİS sisteminin esin kaynağıdır.

10.2. ABD

Federal düzeyde merkezi bir veri sicili bulunmaz; ancak California Consumer Privacy Act (CCPA) kapsamında büyük teknoloji şirketleri veri işleme beyanı vermek zorundadır.

10.3. Türkiye’nin Uyumu

KVKK’nın 2025 revizyon taslağı, GDPR’a paralel olarak “veri işleme kayıt defteri” ve otomatik denetim sistemi kurmayı öngörmektedir.

---

11. Hakkaniyet ve Uygulama Sorunları

VERBİS’in pratikteki en büyük sorunu, bürokratik karmaşıklık ve teknik zorluk olmuştur.
Küçük işletmeler, avukatlık büroları veya serbest meslek mensupları için sistem karmaşık bulunmakta; kayıt sürecinde profesyonel destek gerekebilmektedir.

Ancak Kurul’un amacı cezalandırmak değil, bilinçlendirme ve veri güvenliği kültürü oluşturmaktır.
Bu nedenle 2025 yılında yeni rehberlerle süreç sadeleştirilecektir.

---

12. Hangi Belgeler Hazırlanmalıdır?

VERBİS kaydında aşağıdaki belgeler zorunludur:

1. Kişisel Veri Envanteri

2. Veri İşleme Amaçları Listesi

3. Veri Aktarım Kategorileri

4. Veri Saklama Süreleri

5. Alınan Teknik ve İdari Tedbirler

6. Veri Güvenliği Politikası

7. İmha Politikası

8. Aydınlatma Metni

Bu belgelerin eksikliği, kayıt geçerliliğini riske sokar.

---

13. Uygulamada Avukatların Rolü

Veri koruma uyumu, sadece teknik bir süreç değil, hukuki uzmanlık gerektirir.
Avukatlar;

• Kişisel veri politikalarını hazırlar,

• İhlal durumunda savunma geliştirir,

• Kurul denetimlerinde müvekkil şirketleri temsil eder.

Ayrıca, Kurul nezdinde yapılan itirazlarda (KVKK m.15) avukatın süreci doğru yönetmesi cezai riski azaltır.

---

14. Sonuç ve Değerlendirme

VERBİS sistemi, Türkiye’de kişisel verilerin korunması alanında şeffaflık, hesap verebilirlik ve güven ilkelerini güçlendirmiştir.

Sonuç olarak:

• 2025 itibarıyla daha fazla işletme kayıt zorunluluğu kapsamındadır.

• Muafiyet kriterleri daraltılmıştır.

• Kayıtların güncellenmemesi ciddi para cezasına yol açar.

• Dijital platformlar ve veri yoğun sektörler (sağlık, e-ticaret, finans) öncelikli denetim altındadır.

• Uyum sadece kayıtla bitmez; politika, sözleşme ve eğitim süreçleriyle desteklenmelidir.

VERBİS, artık sadece bir sicil değil, Türkiye’nin dijital hukuk altyapısının çekirdeği haline gelmiştir.
Bu sistem, teknolojinin hızına hukukun yetişebilmesi adına geleceğin veri güvenliği mimarisini oluşturmaktadır.