VERBİS Nedir? Kayıt Yükümlülüğü, Süre ve Muafiyet

Veri Sorumluları Sicili, Kurulun gözetiminde kamuya açık olarak tutulan bir kayıt sistemidir; VERBİS ise bu Sicile ilişkin işlemlerin yürütüldüğü bilgi sistemidir.

Kayıt yükümlülüğü olan veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kaydolmalıdır. Sonradan yükümlü hâle gelenler ile ek süre talep edenler için Yönetmelikte ayrı süreler düzenlenmiştir.

Yükümlülüğün istisnaları vardır, ancak bu istisnalar kanunda sayılmaz; Kurul, Kanun ve Yönetmelikte belirlenen kriterler çerçevesinde karar alarak istisna getirir. Bu nedenle “kaç çalışandan sonra zorunlu” sorusunun cevabı kanun metninde değil, Kurulun güncel kararlarındadır ve zamanla değişebilir.

Kayıt yükümlülüğüne aykırılık, Kanunun kabahatler maddesinde ayrı bir bent olarak idari para cezasına bağlanmıştır.

1. VERBİS Nedir, Ne İşe Yarar?

Kanun Sicili kurar ve kayıt zorunluluğunu koyar:

(2) Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.16)

İki unsur birlikte okunmalıdır. Birincisi, kural kayıt zorunluluğudur ve zamanlaması veri işlemeye başlamadan öncedir. İkincisi, istisna yetkisi Kurula bırakılmıştır ve Kurul bu yetkiyi objektif kriterler çerçevesinde kullanır.

Sicilin kamuya açık tutulması ayrıca önemlidir. Yönetmelik, Sicilde yer alan bilgilerden veri sorumlusunun kimliği ve adresi, işleme amaçları, veri konusu kişi grupları ve veri kategorileri, aktarım alıcı grupları, yurt dışına aktarımı öngörülen veriler, kayıt tarihi, alınan güvenlik tedbirleri ve azami muhafaza süresinin kamuya açıklanacağını düzenler. Yani bir şirketin Sicile bildirdiği bilgiler herkesin görebileceği bir kayıttır; ilgili kişiler de bir şirketin hangi verileri hangi amaçla işlediğini buradan öğrenebilir.

2. VERBİS Kayıt Yükümlülüğü Kimlere Aittir?

Yükümlülüğün muhatabı veri sorumlusudur; veri işleyen değildir. Yönetmelik ilkeyi bu şekilde kurar:

a) Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kaydolmak zorundadır. b) Türkiye’de yerleşik olmayan veri sorumluları, veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle Sicile kaydolmak zorundadır. c) Sicil kamuya açık biçimde tutulur.

(Veri Sorumluları Sicili Hakkında Yönetmelik m.5)

Bunun pratik sonucu şudur: bir hizmet sağlayıcısı yalnızca veri işleyen konumundaysa kendi adına bu kayıt yükümlülüğü altında değildir. Ancak rol belirlemesi sözleşme başlığına değil fiilî duruma göre yapılır ve aynı taraf farklı faaliyetlerde farklı rolde olabilir; bu ayrımı veri sorumlusu ile veri işleyen farkı yazımızda ele aldık. Rolü yanlış belirleyen bir şirket, kendisini veri işleyen sayarak kayıt yaptırmazsa yaptırım riskini üzerinde tutar.

Türkiye’de yerleşik olmayan veri sorumluları için ayrı bir usul vardır: kayıt, veri sorumlusu temsilcisi marifetiyle yapılır. Ayrıca tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir; Sicile kayıt sırasında bildirilen irtibat kişisi veri sorumlusunu temsile yetkili değildir.

3. VERBİS Kaydı Ne Zaman Yapılır?

Kayıt yükümlülüğü bulunan veri sorumlusu, kaydını kişisel veri işlemeye başlamadan önce tamamlar.

Yönetmelik zamanlamayı üç fıkrada düzenler ve her fıkra ayrı bir duruma bakar:

MADDE 8 – (1) Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kayıt yükümlülüklerini yerine getirmek zorundadır. (2) Kayıt yükümlülüğü altında bulunmayan, sonradan kayıt yükümlüsü haline gelen veri sorumluları, yükümlülük altına girmelerini müteakip otuz gün içerisinde Sicile kaydolurlar. (3) Kayıt yükümlülüğü altında bulunan veri sorumluları, herhangi bir fiili, teknik ya da hukuki imkânsızlık nedeniyle kayıt yükümlülüklerinin yerine getirilememesi halinde, bu imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içerisinde Kuruma yazılı olarak başvurmak ve gerekçesini belirtmek şartıyla, kayıt yükümlülüklerini yerine getirmek için Kurumdan ek süre talep edebilirler. Kurum, bir defaya mahsus olmak ve her halde otuz günü geçmemek üzere ek süre verebilir.

(Veri Sorumluları Sicili Hakkında Yönetmelik m.8)

Birinci fıkra ana kuraldır: kayıt, veri işlemeye başlamadan önce tamamlanır. Yeni kurulan bir şirket için bu, ilk müşteri ya da ilk çalışan verisi işlenmeden önce kaydın yapılmış olması gerektiği anlamına gelir.

4. Sonradan Yükümlü Hâline Gelenler: Otuz Gün

Kayıt yükümlülüğü bulunmayan bir veri sorumlusu sonradan yükümlü hâle gelirse, yükümlülüğün doğmasını izleyen otuz gün içinde Sicile kaydolur. Yönetmelik m.8/2’deki bu süre, başlangıçtan beri kayıtla yükümlü olanlardan ayrı bir durum için düzenlenmiştir.

Bu hüküm, kayıt istisnasının şartlarını sonradan kaybeden işletmeler bakımından uygulanır. İstisna kapsamında olduğu için kayıt yaptırmamış bir şirket, çalışan sayısı ya da mali bilançosu Kurulun belirlediği eşiği aştığı anda yükümlü hâline gelir ve otuz günlük bir süre işlemeye başlar. Süre, eşiğin aşıldığının fark edildiği tarihten değil, yükümlülük altına girildiği tarihten işler. Bu nedenle eşiğe yaklaşan işletmelerin çalışan sayısı ve bilanço büyüklüğünü düzenli izlemesi gerekir; aksi hâlde otuz gün, farkına varılmadan geçer.

5. İmkânsızlık Hâlinde Ek Süre

Ek süre, imkânsızlığın doğduğu tarihten itibaren 7 iş günü içinde talep edilir; Kurum bir defaya mahsus, en çok otuz gün verebilir.

Yönetmelik m.8/3 uyarınca ek süre talebi için üç koşul birlikte aranır: fiili, teknik ya da hukuki bir imkânsızlık bulunması, imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içinde Kuruma yazılı başvurulması ve gerekçenin belirtilmesi.

Kurumun verebileceği süre de sınırlıdır: bir defaya mahsus olmak ve her hâlde otuz günü geçmemek üzere. Yani ek süre tekrarlanabilir bir uzatma mekanizması değildir.

Talep süresinin başlangıcı, kayıt süresinin son günü değildir. Ek süre, kayıt süresi dolduktan sonra değil, imkânsızlığın doğduğu andan itibaren yedi iş günü içinde talep edilmelidir. Süresi geçtikten sonra yapılan başvuru, imkânsızlık gerçek olsa bile bu fıkraya dayanamaz.

6. VERBİS Kayıt Muafiyeti Hangi Ölçütlere Göre Belirlenir?

Kayıt yükümlülüğüne getirilen istisnaların kapsamını Kurul belirler. Çalışan sayısı ve mali bilanço gibi ölçütler Yönetmelikte yer alır; bunların sayısal eşikleri ise Kurul kararlarında açıklanır. Yönetmelik m.16, istisna kararı alınırken gözetilecek ölçütleri düzenler:

MADDE 16 – (1) Kurul, aşağıdaki kriterleri göz önünde bulundurarak kayıt yükümlülüğüne istisna getirebilir: a) Kişisel verinin niteliği. b) Kişisel verinin sayısı. c) Kişisel verinin işlenme amacı. ç) Kişisel verinin işlendiği faaliyet alanı. d) Kişisel verinin üçüncü kişilere aktarılma durumu. e) Kişisel veri işleme faaliyetinin kanunlardan kaynaklanması. f) Kişisel verilerin muhafaza edilmesi süresi. g) Veri konusu kişi grubu veya veri kategorileri. ğ) (Ek:RG-28/4/2019-30758) Veri sorumlusunun yıllık çalışan sayısı veya yıllık mali bilanço toplamı bilgisi.

(Veri Sorumluları Sicili Hakkında Yönetmelik m.16)

Dikkat edilecek nokta şudur: bu madde kriterleri sayar, eşikleri değil. Uygulamada bilinen “yıllık çalışan sayısı” ve “yıllık mali bilanço toplamı” ölçütleri (g) ve (ğ) bentlerine dayanır, ancak bu ölçütlerin sayısal değerleri kanunda ya da yönetmelikte yazmaz; Kurul kararlarıyla belirlenir. Yönetmelik bunu ayrıca söyler: Kurul, sayılan kriterler çerçevesinde belirlenen istisnaların kapsamı ile uygulama usul ve esaslarını belirlemek amacıyla karar alma yetkisini haizdir ve bu kararlarını uygun yöntemlerle yayımlayarak kamuya duyurur.

Bunun doğrudan pratik sonucu: internette okuduğunuz eşik rakamı bugünkü eşik olmayabilir. Kurul kararlarıyla belirlenen eşikler ve kapsam zaman içinde değişmiştir; ayrıca ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları için farklı bir rejim uygulanmıştır. Kayıt yükümlülüğü değerlendirilirken kayıt anında Kurumun yayımladığı güncel karar ve duyuru esas alınmalıdır; bir yazıdaki rakama dayanarak muafiyet varsayımı yapılmamalıdır.

Kayıt tarihleri değerlendirilirken ilk kayıt takvimi ile sürekli kayıt yükümlülüğü ayrılmalıdır: 2018-2021 arasında duyurulan tarihler, Kanunun geçici hükmü kapsamındaki ilk kayıt takvimine ilişkindi ve o takvim dolmuştur. Bugün için geçerli olan zamanlama kuralı, yukarıda anlatılan Yönetmelik hükmüdür: işlemeye başlamadan önce, sonradan yükümlü olanlar için otuz gün içinde.

6.1. Kurulun 2023/1154 Sayılı Eşik Değişikliği

Eşiklerin neden sabit bir kanun rakamı gibi okunamayacağını 2023 tarihli Kurul kararı açıkça gösterir. Kurul, 2018/87 sayılı önceki karardaki mali bilanço ölçütünü şu birebir ifadeyle değiştirmiştir:

19.07.2018 tarihli ve 2018/87 sayılı Kurul kararında yer alan “ yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar ” ifadesindeki yıllık mali bilanço toplamı tutarının güncellenmesi suretiyle “ yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar ” şeklinde değiştirilmesine,

(Kişisel Verileri Koruma Kurulu, 06.07.2023 tarihli ve 2023/1154 sayılı karar)

Bu karar, önceki eşik bilgisinin tek bir Kurul kararıyla değişebildiğini somutlaştırır. Ancak 2023 tarihli rakamın sonraki yıllarda da değişmeden kaldığı varsayılamaz; kayıt değerlendirmesinde işlemin yapıldığı tarihteki en güncel Kurul kararı ve Kurum duyurusu ayrıca kontrol edilmelidir.

7. VERBİS Kaydında Hangi Bilgiler Bildirilir?

Kanun, kayıt başvurusunun içeriğini yedi kalemde sayar: veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri, kişisel verilerin hangi amaçla işleneceği, veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar, kişisel verilerin aktarılabileceği alıcı veya alıcı grupları, yabancı ülkelere aktarımı öngörülen kişisel veriler, kişisel veri güvenliğine ilişkin alınan tedbirler ve kişisel verilerin işlendikleri amaç için gerekli olan azami süre. Kanun ayrıca bu bilgilerde meydana gelen değişikliklerin derhâl Başkanlığa bildirilmesini ister.

Yönetmelik bu içeriği iki noktada ağırlaştırır. Birincisi, Sicile kayıtla yükümlü veri sorumluları Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür ve Sicile açıklanacak bilgiler bu envantere dayalı olarak hazırlanır. İkincisi, veri sorumluları azami muhafaza sürelerinin takibi için kişisel veri saklama ve imha politikası hazırlayarak bunun uygulanmasını temin ederler.

Bu iki belge, VERBİS kaydını tek seferlik bir form doldurma işinden çıkarır. Envanter olmadan yapılan bir kayıt, içeriği dayanaksız kalır; imha politikası olmadan bildirilen azami süreler ise fiilen uygulanamaz.

Kayıt ile diğer yükümlülükler arasında bir uyum şartı da vardır: aydınlatma yükümlülüğü kapsamında ilgili kişiye verilecek bilgiler, Sicile açıklanan bilgilerle uyumlu olmalıdır. Yani aydınlatma metniniz ile VERBİS bildiriminiz birbirini tutmalıdır; bu ilişkiyi aydınlatma yükümlülüğü yazımızda ayrıca ele aldık.

8. Kayıt ve Muafiyet Diğer KVKK Yükümlülüklerini Etkiler mi?

Sicile kayıt yaptırmak da kayıt yükümlülüğünden istisna tutulmak da diğer KVKK yükümlülüklerini ortadan kaldırmaz. Yönetmelik bu iki durumu ayrı ayrı düzenler.

Birincisi: veri sorumlularının Sicile kaydolması, Kanun kapsamındaki diğer yükümlülüklerini ortadan kaldırmaz. Kayıt yapıldı diye aydınlatma, veri güvenliği, silme ve başvuruya cevap yükümlülükleri sona ermez.

İkincisi: Kurul tarafından Sicile kayıtla yükümlü tutulmamak da bu veri sorumlularının Kanun kapsamındaki yükümlülüklerini ortadan kaldırmaz. Yani muafiyet yalnızca kayıt yükümlülüğüne ilişkindir; muaf bir işletme de aydınlatma yapmak, veri güvenliğini sağlamak, başvuruları otuz gün içinde sonuçlandırmak ve silme yükümlülüğünü yerine getirmekle yükümlüdür.

Ayrıca veri sorumluları, Sicile sunulan ve Sicilde yayınlanan bilgilerin eksiksiz, doğru, güncel ve hukuka uygun olmasından sorumludur. Eksik ya da gerçeği yansıtmayan bir kayıt, kayıt yapılmamış olmasından farklı bir aykırılık değil, ayrı bir risk doğurur.

9. VERBİS Kaydı Yapmamanın Cezası Nedir?

Kanun, Sicile kayıt ve bildirim yükümlülüğüne aykırılığı kabahatler maddesinde ayrı bir bent olarak idari para cezasına bağlamıştır. Bu bendin muhatabı veri sorumlusudur.

Tutar bakımından iki nokta önemlidir. Birincisi, kanun metnindeki alt ve üst sınırlar maktu tutarlardır ve her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılarak uygulanır; bu nedenle uygulanacak tutar, fiilin işlendiği yıl için Kurumun ilan ettiği tutardır. İkincisi, ceza alt ve üst sınır arasında takdir edilirken kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu birlikte göz önünde bulundurulur; bu nedenle aynı aykırılık, işletmenin büyüklüğüne göre farklı tutarlarda cezalandırılabilir.

Kurulun kararına karşı idare mahkemesinde dava açılır. İdari para cezasının muhatabı, yaptırımın hesabı ve dava yolu için KVKK ihlalinde ceza yazımıza bakabilirsiniz.

Kayıt eksikliği ile diğer yükümlülüklere aykırılık aynı dosyada incelenebilir. Kurul bir dosyada kayıt eksikliğini tespit ettiğinde, aynı incelemede aydınlatma ve veri güvenliği yükümlülüklerinin de yerine getirilip getirilmediği değerlendirilir. Bu nedenle geç kalınmış bir kayıt, yalnızca kayıt bendinden değil, birden çok bentten risk doğurabilir.

İlgili yazılar: Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri · KVKK İhlalinde Ceza: İdari Para Cezası ile Suç Arasındaki Fark · Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Fark