VERBİS kaydı, veri sorumlusunun kişisel veri işleme faaliyetlerini Kişisel Verileri Koruma Kurumu'nun Veri Sorumluları Sicil Bilgi Sistemi'ne bildirmesidir. Yıllık çalışan sayısı 50 ve üzeri olanlar ya da yıllık mali bilançosu Kurul eşiğini aşanlar kayıt yaptırmak zorundadır. Sicile girilen bilgiler veri envanterinizle birebir örtüşmeli ve her değişiklikte güncellenmelidir.
Kısaca
- 50 ve üzeri çalışanı olan ya da yıllık mali bilançosu Kurul eşiğini aşan veri sorumluları VERBİS'e kayıt yaptırmak zorundadır.
- Ana faaliyeti özel nitelikli kişisel veri işlemek olanlar ve yurt dışında yerleşik veri sorumluları, eşiklerin altında kalsa da kayıt yaptırır.
- KVKK 2025 Faaliyet Raporu'na göre 2025'te para cezası alan 876 veri sorumlusunun 594'ü sicil yükümlülüğü nedeniyle cezalandırıldı.
- Sicildeki her bilgi kişisel veri envanterinden gelir; saklama süreleri saklama ve imha politikasıyla aynı olmalıdır.
- Sicil bilgileri değiştiğinde Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca 7 gün içinde güncelleme yapılır.
VERBİS nedir, neden bu kadar sık atlanır?
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 16. maddesi, Kişisel Verileri Koruma Kurulu gözetiminde kamuya açık bir Veri Sorumluları Sicili tutulmasını öngörür. VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), bu sicilin çevrim içi hâlidir. Kişisel veri işleyen gerçek ve tüzel kişiler, istisna kapsamında değillerse işlemeye başlamadan önce sicile kaydolmak zorundadır.
VERBİS'in Avrupa Birliği Genel Veri Koruma Tüzüğü'nde (GDPR) doğrudan bir karşılığı yoktur: AB genel kayıt zorunluluğunu kaldırıp yerine kurum içi işleme kayıtlarını getirdi, Türkiye ise kamuya açık sicili korudu.
VERBİS kaydı bir kez yapılıp unutulduğunda sorun başlar. Pek çok şirket sicile ilk son tarih döneminde, aceleyle ve bir şablonla girdi; o günden bu yana yeni yazılımlar alındı, yurt dışı bulut hizmetleri devreye girdi, kamera ve personel devam kontrol sistemi (PDKS) eklendi. Sicilde görünen tablo ise hâlâ ilk günkü. Büyüyen şirketin eşiği aştığını fark etmemesi de yaygındır: çalışan sayısı 50'yi geçtiğinde yükümlülük kendiliğinden doğar, kimse hatırlatmaz.
VERBİS kaydı yapılmazsa ne olur?
Kurul'un ceza istatistikleri, en sık yaptırım uygulanan yükümlülüğün sicile kayıt olduğunu gösteriyor:
KVKK 2025 Yılı Faaliyet Raporu'na göre 2025'te idari para cezası uygulanan 876 veri sorumlusunun 594'ü, yani üçte ikiden fazlası, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğü kapsamında cezalandırıldı.
VERBİS eksikliği kolay tespit edilir, çünkü sicil kamuya açıktır ve bir şirketin kayıtlı olup olmadığı birkaç saniyede görülür. Aynı faaliyet raporuna göre Kurum'a 2025'te 12.512 ihbar ve şikâyet başvurusu yapıldı. Bir çalışanın ya da müşterinin başvurusu, incelemenin VERBİS kaydını da kapsamasına yol açabilir; bu başvuruların nasıl yanıtlanacağını KVKK ilgili kişi başvurusu yazımızda anlattık.
VERBİS'e kayıt yaptırmış olmak da tek başına yetmez. Sicilde "azami saklama süresi" ya da "yurt dışına aktarım yok" yazan bir şirketin gerçekte verileri süresiz tuttuğu veya yurt dışındaki bir hizmete aktardığı ortaya çıkarsa, bu kez beyan ile gerçek arasındaki fark sorgulanır. Bir veri ihlali yaşandığında da beyan edilen güvenlik tedbirleri incelemede gündeme gelebilir. Hangi hizmetin yurt dışı aktarım sayıldığını ve bunun nasıl yönetileceğini KVKK yurt dışına veri aktarımı yazısında anlattık. Kaydı bir danışmana bırakacaksanız doğru firmayı seçmek için KVKK danışmanlık firması seçimi yazımıza bakabilirsiniz.
VERBİS kaydı kimler için zorunlu, kimler muaf?
Kurul, kararlarıyla bazı veri sorumlularını VERBİS'e kayıt yükümlülüğünden muaf tutmuştur. 2026 itibarıyla genel çerçeve şöyledir:
| Durum | VERBİS kaydı |
|---|---|
| Yıllık çalışan sayısı 50 ve üzeri | Zorunlu |
| Yıllık mali bilanço toplamı Kurul'un belirlediği eşiğin üzerinde | Zorunlu (çalışan sayısından bağımsız) |
| Ana faaliyet konusu özel nitelikli kişisel veri işlemek olan (ör. sağlık verisi işleyen klinik) | Zorunlu (eşiklerin altında olsa da) |
| Yurt dışında yerleşik veri sorumlusu | Zorunlu (temsilci atanarak) |
| Çalışan sayısı 50'den az ve bilanço eşiğin altında, ana faaliyeti özel nitelikli veri değil | Muaf |
| Kurul kararlarında sayılan meslek ve yapılar (ör. noterler, avukatlar, mali müşavirler, arabulucular, dernekler ve vakıflar) | Kararın kapsamı ölçüsünde muaf |
Mali bilanço eşiğinin tutarı Kurul kararıyla güncellenebildiği için, değerlendirmeyi yaparken Kurum sitesindeki en güncel kararı esas alın. Yurt dışında yerleşik veri sorumluları, Türkiye'de yerleşik bir tüzel kişiyi ya da Türkiye Cumhuriyeti vatandaşı bir gerçek kişiyi veri sorumlusu temsilcisi olarak atar; temsilci Kurum ve ilgili kişilerle iletişimi yürütür.
VERBİS muafiyeti yalnızca sicile kaydı kaldırır; aydınlatma, veri güvenliği, saklama-imha ve ihlal bildirimi yükümlülükleri aynen devam eder. Bu yükümlülüklerin her biri için hazırladığımız yazılar Siber Güvenlik ve KVKK rehberimizde bir arada. E-ticaret sitelerinin VERBİS dışındaki yükümlülüklerini e-ticaret yasal zorunluluklar rehberimizde topladık.
VERBİS kaydı nasıl yapılır? Adım adım süreç
- Önce envanteri hazırlayın. VERBİS bir form doldurma işi gibi görünse de girilen her bilgi kişisel veri envanterinden gelir. Envanter yoksa kayıt tahmine dayanır. Envanterin nasıl çıkarılacağını KVKK uyum süreci rehberimizde anlattık; sütunlarını ve örnek satırlarını kişisel veri envanteri hazırlama yazımızda bulabilirsiniz.
- Yükümlülüğü ve kayıt tarihini belgeleyin. Çalışan sayısını ve bilanço toplamını hangi kaynaktan, hangi tarihte kontrol ettiğinizi yazılı tutun. Eşik aşıldığında kaydın ne zaman yapılması gerektiğini Kurum'un güncel duyurularından teyit edin.
- İrtibat kişisini belirleyin. Tüzel kişi veri sorumluları, Kurum ile iletişimi sağlayacak bir irtibat kişisi atar. Bu kişi genellikle kaydı ve güncellemeleri sistemde yürüten kişidir; görevden ayrıldığında yerine atama yapmayı unutmayın.
- Şirket kaydını ve irtibat kişisi girişini tamamlayın. Veri sorumlusu adına başvuru yapılır, ardından irtibat kişisi kendi kimliğiyle sisteme girerek bildirimi hazırlar. Kullanılacak giriş ve başvuru kanallarını Kurum'un VERBİS kılavuzundan kontrol edin; yöntemler zaman içinde güncellenebiliyor.
- İşleme faaliyetlerini girin. Kanun'un 16. maddesine göre sicilde; işleme amaçları, veri konusu kişi grupları ve veri kategorileri, verilerin aktarıldığı alıcı grupları, yurt dışına aktarılması öngörülen veriler, alınan güvenlik tedbirleri ve azami saklama süreleri yer alır.
- Saklama sürelerini politikayla eşleyin. VERBİS'e girdiğiniz azami süreler, kişisel veri saklama ve imha politikanızdaki sürelerle aynı olmalı.
- Bildirimi onaylayın ve kanıtını saklayın. Kayıt tamamlandığında sistemin verdiği çıktıyı ve tarihini uyum dosyanıza ekleyin.
- Değişikliklerde güncelleyin. Sicil bilgilerinde değişiklik olduğunda, Sicil Yönetmeliği'ne göre 7 gün içinde güncelleme yapılmalıdır. Yeni bir yazılım, yeni bir yurt dışı hizmeti ya da yeni bir kişi grubu, güncelleme tetikleyicisidir.
Bu sürecin ne kadar yaygın olduğunu Kurum'un rakamları da gösteriyor. KVKK 2025 Yılı Faaliyet Raporu'na göre 31 Aralık 2025 itibarıyla VERBİS'e 249.474 başvuru yapılmış, sicile bildirim yapan veri sorumlusu sayısı 149.118'e ulaşmıştı.
Örnek: 60 kişilik bir üretim firması VERBİS'e ne girer?
Somut bir örnek, VERBİS kaydının içeriğini netleştirir. Adana'da 60 çalışanlı bir üretim firmasını düşünün. Çalışan sayısı 50'yi aştığı için kayıt zorunludur.
Envanter çalışmasında şu kişi grupları çıkar: çalışanlar, çalışan adayları, ziyaretçiler, tedarikçi yetkilileri ve müşteri yetkilileri. Çalışanlar için kimlik, iletişim, özlük, finans (bordro), mesleki deneyim ve fiziksel mekân güvenliği (kartlı geçiş kayıtları, kamera görüntüsü) kategorileri işlenir; parmak izi okuyucu varsa biyometrik veri de eklenir. Kamera görüntülerinin saklama süresi ve aydınlatma kuralları için kamera kaydı ve KVKK yazımıza bakabilirsiniz.
Alıcı grupları arasında SGK ve vergi dairesi gibi yetkili kamu kurumları, iş sağlığı ve güvenliği hizmeti alınan firma ve bordro yazılımı sağlayıcısı yer alır; bu sağlayıcılarla yapılacak sözleşmeyi KVKK veri işleyen sözleşmesi yazımızda ele aldık. E-posta veya yedekleme hizmeti yurt dışındaki bir sunucuda çalışıyorsa bu da yurt dışı aktarım olarak işlenir; veri konumunun sağlayıcı seçimini nasıl etkilediğini buluta geçiş maliyeti yazımızda ele aldık.
Her kategori için azami saklama süresi, saklama ve imha politikasındaki tabloyla aynı yazılır. Bu ayrıntı bir şablondan kopyalanamaz; ancak envanterden gelebilir.
En sık yapılan VERBİS hataları nelerdir?
- Her şeyi seçmek. Tüm veri kategorilerini ve amaçları "ne olur ne olmaz" diye işaretlemek, gerçekte işlemediğiniz verileri işliyormuş gibi beyan etmek demektir.
- Kamera ve PDKS'yi unutmak. Güvenlik kamerası kayıtları ve kartlı ya da biyometrik geçiş verileri sık atlanır. Birden çok tesiste kamera varsa kayıtların nerede ve ne kadar tutulduğunu IP kameraların merkezi yönetimi yazımızdaki gibi tek listede toplayın. Parmak izi okuyucu kullanıyorsanız özel nitelikli veri işlediğinizi de beyan etmelisiniz; ayrıntılar biyometrik PDKS ve KVKK yazımızda.
- E-postayı saklama süresi olmadan bırakmak. E-posta arşivi pek çok kişi grubunun verisini taşır; süresini e-posta arşivleme ve KVKK rehberindeki tabloyla belirleyebilirsiniz.
- Güvenlik tedbirlerini gerçeğe uymayan biçimde işaretlemek. "Erişim kayıtları tutuluyor" ya da "yetki matrisi var" diyorsanız bunun sistemde karşılığı olmalı. Ortak klasörler için dosya paylaşımında yetkilendirme, genel tedbirler için KOBİ siber güvenlik kontrol listesi yazılarımız işinize yarar.
- İhlal planını VERBİS'ten ayrı düşünmek. Beyan edilen tedbirler, olası bir ihlalde ilk incelenen belgelerdendir; 72 saatlik ihlal bildirimi rehberimizi de aynı dosyada tutun.
Digital Bridge'de VERBİS ve envanter çalışmasını nasıl yapıyoruz?
Digital Bridge, KVKK uyum danışmanlığı kapsamında VERBİS'i ayrı bir form değil, envanterin bir çıktısı olarak ele alır. Önce süreç sahipleriyle görüşüyor, sonra söylenenleri sistemlerde doğruluyoruz: hangi tablo hangi kişisel veriyi tutuyor, hangi yazılım veriyi nereye gönderiyor, yedekler nerede.
- Personel verisinin en yoğun olduğu İK, bordro ve personel yönetimi sistemlerinde kategori ve alıcı gruplarını çıkarıyoruz.
- Belge türlerine göre saklama sürelerini EBYS ve doküman yönetimi altyapısına işliyor, VERBİS'teki sürelerle eşliyoruz.
- Birden çok yazılımda tekrarlanan kişi kayıtlarını ve veri sahipliğini veri yönetişimi ve kalite çalışmasıyla netleştiriyoruz.
- Beyan edilen teknik tedbirlerin gerçekten var olduğunu siber güvenlik danışmanlığı ekibimizle kontrol ediyoruz.
Dağınık dosya sunucularında hangi belgenin kişisel veri taşıdığını bulmak envanterin en zor kısmıdır. Digital Bridge'in ürünü SmartFiles kurumsal dosya yönetimi, metni okunabilen belgelerde TC kimlik numarası, IBAN, kart numarası, telefon ve e-posta arar; sağlık, adli sicil ya da biyometrik veri çağrıştıran ifadeleri "olası özel nitelikli veri" olarak işaretler. SmartFiles'ta klasörlere 1 ile 30 yıl arasında saklama süresi atanabilir ve süresi dolan belgeler sorumluya listelenir; böylece VERBİS'e yazdığınız azami süreler dosya düzeyinde de izlenir. SmartFiles, Smart360 ürün ailesinin parçasıdır; paketler SmartFiles.com.tr'de, satın almak için SmartFiles satın alma sayfasını kullanabilirsiniz.
Danışmanlık tarafında hazır paket satmıyoruz; ihtiyaç analizinden sonra kapsamı, aşamaları ve bedeli içeren yazılı teklif hazırlıyoruz.
VERBİS kaydı için sonraki adım
Önce üç soruyu yanıtlayın: Son yıl ortalama çalışan sayınız kaç? Sicilde kaydınız var mı, varsa en son ne zaman güncellendi? Son güncellemeden bu yana hangi yeni yazılım veya hizmeti kullanmaya başladınız? Yanıtlarla birlikte iletişim sayfamızdan bize ulaşın; sicil bilgilerinizi envanterle karşılaştırıp eksikleri birlikte listeleyelim.