VERBIS kaydı, veri sorumlusunun kişisel veri işleme faaliyetlerini Kişisel Verileri Koruma Kurumu'nun Veri Sorumluları Sicil Bilgi Sistemi'ne bildirmesidir. Yıllık çalışan sayısı 50 ve üzeri olanlar ya da mali bilançosu Kurul eşiğini aşanlar kayıt yaptırmak zorundadır. Kayda girilen bilgiler veri envanterinizle birebir örtüşmeli ve değiştikçe güncellenmelidir.
VERBIS nedir, neden bu kadar sık atlanır?
6698 sayılı KVKK'nın 16. maddesi, Kurul gözetiminde kamuya açık bir Veri Sorumluları Sicili tutulmasını öngörür. VERBIS (Veri Sorumluları Sicil Bilgi Sistemi), bu sicilin çevrim içi hâlidir. Kişisel veri işleyen gerçek ve tüzel kişiler, istisna kapsamında değillerse işlemeye başlamadan önce sicile kaydolmak zorundadır.
Kayıt bir kez yapılıp unutulduğunda sorun başlar. Pek çok şirket VERBIS'e ilk son tarih döneminde, aceleyle ve bir şablonla girdi; o günden bu yana yeni yazılımlar alındı, yurt dışı bulut hizmetleri devreye girdi, kamera ve PDKS sistemleri eklendi. Sicilde görünen tablo ise hâlâ ilk günkü. Bir başka yaygın durum da büyüyen şirketin eşiği aştığını fark etmemesidir: çalışan sayısı 50'yi geçtiğinde yükümlülük kendiliğinden doğar, kimse hatırlatmaz.
Kayıt yükümlülüğünü atlamanın maliyeti
Kurul'un ceza istatistikleri, en sık yaptırım uygulanan yükümlülüğün tam olarak bu olduğunu gösteriyor:
KVKK 2025 Yılı Faaliyet Raporu'na göre 2025'te idari para cezası uygulanan 876 veri sorumlusunun 594'ü, yani üçte ikiden fazlası, Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğü kapsamında cezalandırıldı.
Bu, VERBIS'in denetimde en kolay tespit edilen eksik olduğu anlamına geliyor: sicil kamuya açıktır ve bir şirketin kayıtlı olup olmadığı birkaç saniyede görülür. Şikâyetler de sicile bakılarak başlayabilir. Aynı faaliyet raporuna göre Kurum'a 2025'te 12.512 ihbar ve şikâyet başvurusu yapıldı; bir çalışanın ya da müşterinin başvurusu, incelemenin VERBIS kaydını da kapsamasına yol açabilir.
Kayıt yaptırmış olmak da tek başına yetmez. Sicilde "azami saklama süresi" ya da "yurt dışına aktarım yok" yazan bir şirketin gerçekte verileri süresiz tuttuğu veya yurt dışındaki bir hizmete aktardığı ortaya çıkarsa, bu kez beyan ile gerçek arasındaki fark sorgulanır. Bir veri ihlali yaşandığında da Kurul'un ilk bakacağı yerlerden biri, beyan edilen güvenlik tedbirleridir.
Kimler kayıt yaptırmak zorunda, kimler muaf?
Kurul, kararlarıyla bazı veri sorumlularını sicile kayıt yükümlülüğünden muaf tutmuştur. Genel çerçeve şöyledir:
| Durum | VERBIS kaydı |
|---|---|
| Yıllık çalışan sayısı 50 ve üzeri | Zorunlu |
| Yıllık mali bilanço toplamı Kurul'un belirlediği eşiğin üzerinde | Zorunlu (çalışan sayısından bağımsız) |
| Ana faaliyet konusu özel nitelikli kişisel veri işlemek olan (ör. sağlık verisi işleyen klinik) | Zorunlu (eşiklerin altında olsa da) |
| Yurt dışında yerleşik veri sorumlusu | Zorunlu (temsilci atanarak) |
| Çalışan sayısı 50'den az ve bilanço eşiğin altında, ana faaliyeti özel nitelikli veri değil | Muaf |
| Kurul kararlarında sayılan meslek ve yapılar (ör. noterler, avukatlar, mali müşavirler, arabulucular, dernekler ve vakıflar) | Kararın kapsamı ölçüsünde muaf |
Mali bilanço eşiğinin tutarı Kurul kararıyla güncellenebildiği için, değerlendirmeyi yaparken Kurum sitesindeki en güncel kararı esas alın. Muafiyet yalnızca sicile kaydı kaldırır; aydınlatma, veri güvenliği, saklama-imha ve ihlal bildirimi yükümlülükleri aynen devam eder.
VERBIS kaydı adım adım
- Önce envanteri hazırlayın. VERBIS bir form doldurma işi gibi görünse de girilen her bilgi kişisel veri envanterinden gelir. Envanter yoksa kayıt tahmine dayanır. Envanterin nasıl çıkarılacağını KVKK uyum süreci rehberimizde anlattık.
- Yükümlülüğü ve kayıt tarihini belgeleyin. Çalışan sayısını ve bilanço toplamını hangi kaynaktan, hangi tarihte kontrol ettiğinizi yazılı tutun. Eşik aşıldığında kaydın ne zaman yapılması gerektiğini Kurum'un güncel duyurularından teyit edin.
- İrtibat kişisini belirleyin. Tüzel kişi veri sorumluları, Kurum ile iletişimi sağlayacak bir irtibat kişisi atar. Bu kişi genellikle kaydı ve güncellemeleri sistemde yürüten kişidir; görevden ayrıldığında yerine atama yapmayı unutmayın.
- Şirket kaydını ve irtibat kişisi girişini tamamlayın. Veri sorumlusu adına başvuru yapılır, ardından irtibat kişisi kendi kimliğiyle sisteme girerek bildirimi hazırlar. Kullanılacak giriş ve başvuru kanallarını Kurum'un VERBIS kılavuzundan kontrol edin; yöntemler zaman içinde güncellenebiliyor.
- İşleme faaliyetlerini girin. Kanun'un 16. maddesine göre sicilde; işleme amaçları, veri konusu kişi grupları ve veri kategorileri, verilerin aktarıldığı alıcı grupları, yurt dışına aktarılması öngörülen veriler, alınan güvenlik tedbirleri ve azami saklama süreleri yer alır.
- Saklama sürelerini politikayla eşleyin. VERBIS'e girdiğiniz azami süreler, kişisel veri saklama ve imha politikanızdaki sürelerle aynı olmalı.
- Bildirimi onaylayın ve kanıtını saklayın. Kayıt tamamlandığında sistemin verdiği çıktıyı ve tarihini uyum dosyanıza ekleyin.
- Değişikliklerde güncelleyin. Sicil bilgilerinde değişiklik olduğunda, Sicil Yönetmeliği'ne göre 7 gün içinde güncelleme yapılmalıdır. Yeni bir yazılım, yeni bir yurt dışı hizmeti ya da yeni bir kişi grubu, güncelleme tetikleyicisidir.
Örnek: 60 kişilik bir üretim firması VERBIS'e ne girer?
Somut bir tablo, işi netleştirir. Adana'da 60 çalışanlı bir üretim firmasını düşünün. Çalışan sayısı 50'yi aştığı için kayıt zorunludur.
Envanter çalışmasında şu kişi grupları çıkar: çalışanlar, çalışan adayları, ziyaretçiler, tedarikçi yetkilileri ve müşteri yetkilileri. Çalışanlar için kimlik, iletişim, özlük, finans (bordro), mesleki deneyim ve fiziksel mekân güvenliği (kartlı geçiş kayıtları, kamera görüntüsü) kategorileri işlenir; parmak izi okuyucu varsa biyometrik veri de eklenir.
Alıcı grupları arasında SGK ve vergi dairesi gibi yetkili kamu kurumları, iş sağlığı ve güvenliği hizmeti alınan firma ve bordro yazılımı sağlayıcısı yer alır. E-posta veya yedekleme hizmeti yurt dışındaki bir sunucuda çalışıyorsa bu da yurt dışı aktarım olarak işlenir.
Her kategori için azami saklama süresi, saklama ve imha politikasındaki tabloyla aynı yazılır. Bu ayrıntıyı bir şablondan kopyalamak mümkün değildir; ancak envanterden gelebilir.
En sık yapılan VERBIS hataları
- Her şeyi seçmek. Tüm veri kategorilerini ve amaçları "ne olur ne olmaz" diye işaretlemek, gerçekte işlemediğiniz verileri işliyormuş gibi beyan etmek demektir.
- Kamera ve PDKS'yi unutmak. Güvenlik kamerası kayıtları ve kartlı ya da biyometrik geçiş verileri sık atlanır. Parmak izi okuyucu kullanıyorsanız özel nitelikli veri işlediğinizi de beyan etmelisiniz; ayrıntılar biyometrik PDKS ve KVKK yazımızda.
- E-postayı saklama süresi olmadan bırakmak. E-posta arşivi pek çok kişi grubunun verisini taşır; süresini e-posta arşivleme ve KVKK rehberindeki tabloyla belirleyebilirsiniz.
- Güvenlik tedbirlerini gerçeğe uymayan biçimde işaretlemek. "Erişim kayıtları tutuluyor" ya da "yetki matrisi var" diyorsanız bunun sistemde karşılığı olmalı. Ortak klasörler için dosya paylaşımında yetkilendirme, genel tedbirler için KOBİ siber güvenlik kontrol listesi yazılarımız işinize yarar.
- İhlal planını VERBIS'ten ayrı düşünmek. Beyan edilen tedbirler, olası bir ihlalde ilk incelenen belgelerdendir; 72 saatlik ihlal bildirimi rehberimizi de aynı dosyada tutun.
Digital Bridge'de VERBIS ve envanter çalışmasını nasıl yapıyoruz?
KVKK uyum danışmanlığı kapsamında VERBIS'i ayrı bir form değil, envanterin bir çıktısı olarak ele alıyoruz. Önce süreç sahipleriyle görüşüyor, sonra söylenenleri sistemlerde doğruluyoruz: hangi tablo hangi kişisel veriyi tutuyor, hangi yazılım veriyi nereye gönderiyor, yedekler nerede.
- Personel verisinin en yoğun olduğu İK, bordro ve personel yönetimi sistemlerinde kategori ve alıcı gruplarını çıkarıyoruz.
- Belge türlerine göre saklama sürelerini EBYS ve doküman yönetimi altyapısına işliyor, VERBIS'teki sürelerle eşliyoruz.
- Birden çok yazılımda tekrarlanan kişi kayıtlarını ve veri sahipliğini veri yönetişimi ve kalite çalışmasıyla netleştiriyoruz.
- Beyan edilen teknik tedbirlerin gerçekten var olduğunu siber güvenlik danışmanlığı ekibimizle kontrol ediyoruz.
Hazır paket satmıyoruz; ihtiyaç analizinden sonra kapsamı, aşamaları ve bedeli içeren yazılı teklif hazırlıyoruz.
Sonraki adım
Önce üç soruyu yanıtlayın: Son yıl ortalama çalışan sayınız kaç? Sicilde kaydınız var mı, varsa en son ne zaman güncellendi? Son güncellemeden bu yana hangi yeni yazılım veya hizmeti kullanmaya başladınız? Yanıtlarla birlikte iletişim sayfamızdan bize ulaşın; sicil bilgilerinizi envanterle karşılaştırıp eksikleri birlikte listeleyelim.