VERBİS Nedir? Kayıt Zorunluluğu ve Kayıt Nasıl Yapılır?

VERBİS, veri sorumlularının Veri Sorumluları Siciline kayıt ve bildirim işlemlerini yürüttüğü internet tabanlı bilgi sistemidir. Kayıt yükümlülüğü bulunan veri sorumlusu, kişisel veri işlemeye başlamadan önce Sicile kaydolur. Bunun için önce veri işleme faaliyetleri belirlenir, kayıt istisnası bulunup bulunmadığı incelenir ve bildirilecek bilgiler hazırlanır (6698 sayılı Kişisel Verilerin Korunması Kanunu m.16; Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-o, m.8/1).

Bir işletmenin Sicile kaydolması ile bütün KVKK yükümlülüklerini yerine getirmesi aynı şey değildir. Kayıt istisnası da tek başına Kanundan muafiyet sağlamaz. Aşağıdaki açıklamalar, kimin kayıt yaptıracağını, nasıl hazırlanacağını ve kayıt sonrasında hangi değişiklikleri izleyeceğini ayırır (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e, m.5/1-f).

1. VERBİS Nedir, Sicile Hangi Bilgiler Yazılır?

VERBİS, Sicile başvuru ve diğer sicil işlemlerinde kullanılan sistemin adıdır; Veri Sorumluları Sicili ise kamuya açık tutulan kayıttır. Sicile bildirilen bilgiler, veri sorumlusunun kişisel verileri hangi amaçlarla ve hangi kategorilerde işlediğini gösterir (Veri Sorumluları Sicili Hakkında Yönetmelik m.4, m.5/1-c, m.9).

Örneğin bir işletmenin müşterilerinin kimlik ve iletişim verilerini hangi amaçla işlediği, bu verileri hangi alıcı gruplarına aktardığı ve ne kadar süre sakladığı bildirimde yer alır. Amaç, bütün müşterilerin kişisel bilgilerini tek tek kamuya açmak değildir; veri kategorileri ve işleme faaliyetlerine ilişkin açıklamalar bildirilir (KVKK m.16/3).

Sicilin kamuya açıklığı, veri sorumlusunun kimliği ve adresi, işleme amaçları, veri kategorileri, alıcı grupları, yurt dışına aktarımı öngörülen veriler, güvenlik tedbirleri ve azami süre gibi bilgiler bakımından düzenlenmiştir. Bu nedenle beyanın hem doğru hem güncel olması gerekir (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e, m.7).

2. VERBİS Kayıt Zorunluluğu Kimlere Aittir?

VERBİS kayıt yükümlülüğünün muhatabı veri sorumlusudur. Kişisel verilerin işleme amaçlarını ve araçlarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu kişi bu sıfatı taşır. Kayıt yükümlülüğü incelenirken önce bu rol, ardından uygulanabilecek istisna belirlenir (KVKK m.3, m.16/2).

Bir hizmet sağlayıcısı yalnız başka bir işletmenin talimatıyla ve onun adına veri işliyorsa veri işleyen rolünde olabilir. Ancak kendi çalışan verilerinin işlenmesi gibi başka bir faaliyette veri sorumlusu olabilir. Tek bir sözleşme başlığı bütün faaliyetlerin sıfatını belirlemez (KVKK m.3). Ayrımın örnekleri veri sorumlusu ve veri işleyen yazısındadır.

Tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir. Kayıt işinin çalışana, danışmana veya başka bir görevliye bırakılması tüzel kişinin sorumluluğunu ortadan kaldırmaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.11/1).

3. VERBİS Muafiyeti Nasıl Değerlendirilir?

VERBİS muafiyeti değerlendirmesinde sicile kayıt istisnası ile Kanunun kapsam istisnaları ayrılmalıdır. Kanun, belirli işleme faaliyetleri için istisnalar düzenler; ayrıca objektif ölçütlere göre kayıt zorunluluğuna istisna getirilebilmesine izin verir. Bu iki yol aynı koşullara bağlı değildir (KVKK m.16/2, m.28).

Yönetmelikte kayıt istisnası bakımından kişisel verinin niteliği ve sayısı, işleme amacı, faaliyet alanı, üçüncü kişilere aktarım, işlemenin kanundan kaynaklanması, saklama süresi, kişi grupları ve veri kategorileri sayılır. Yıllık çalışan sayısı veya yıllık mali bilanço toplamı da bu ölçütler arasındadır. Yönetmelik bu maddede sayısal eşik belirlemez; yalnız değerlendirme ölçütlerini gösterir (Veri Sorumluları Sicili Hakkında Yönetmelik m.16).

Bu yüzden yalnız “az çalışanım var” veya “cirom düşük” bilgisiyle kayıt gerekmediği sonucuna varılmaz. Özellikle ciro ile yıllık mali bilanço toplamı aynı kavram gibi kullanılmamalıdır: Yönetmelikteki ölçüt yıllık mali bilanço toplamıdır. Faaliyet alanı ve işlenen verinin niteliği de incelenir (Veri Sorumluları Sicili Hakkında Yönetmelik m.16/1).

İşletmenin yükümlülüğü değerlendirilirken Kurumun Veri Sorumluluğu Siciline Kayıt İstisnaları açıklaması izlenebilir; uygulanacak istisnanın güncel kapsamı ayrıca teyit edilmelidir. Bir işletme için geçerli istisna, başka bir faaliyet veya başka bir veri sorumlusu için kendiliğinden uygulanmaz. Kanunun m.28’deki faaliyet istisnaları da kendi koşullarıyla ele alınır (KVKK m.28; Veri Sorumluları Sicili Hakkında Yönetmelik m.15, m.16).

Kayıt istisnasından yararlanılması, Kanunun kapsam istisnaları saklı kalmak üzere, diğer yükümlülükleri kaldırmaz. İstisna kapsamında olduğu için Sicile kaydolmayan bir işletme, sırf bu nedenle aydınlatma ve veri güvenliği yükümlülüklerinden kurtulmuş olmaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-f).

4. VERBİS Kaydı Ne Zaman Yapılır, Sonradan Yükümlü Olana Kaç Gün Verilir?

VERBİS kaydı için ana kural, yükümlü veri sorumlusunun kişisel veri işlemeye başlamadan önce kaydolmasıdır. Daha önce yükümlü olmayıp sonradan kayıtla yükümlü hâle gelenler için ayrı süre düzenlenmiştir. Bu ayrım, herkesin veri işlemeye başladıktan sonra otuz gün bekleyebileceği anlamına gelmez (Veri Sorumluları Sicili Hakkında Yönetmelik m.8).

Durum	Süre veya işlem	Dayanak
Baş­lan­gıç­tan itibaren kayıtla yükümlü veri sorumlusu	Kişisel veri işlemeye başlamadan önce kayıt	Yönetmelik m.8/1
Sonradan kayıt yükümlüsü hâline gelen veri sorumlusu	Yükümlülük altına girmesini müteakip otuz gün içinde kayıt	Yönetmelik m.8/2
Fiilî, teknik veya hukuki imkânsızlık	İmkân­sız­lı­ğın ortaya çıkmasından itibaren en geç 7 iş günü içinde gerekçeli yazılı ek süre talebi	Yönetmelik m.8/3
Kurumun ek süre vermesi	Bir defaya mahsus, otuz günü geçmeyen süre	Yönetmelik m.8/3

Sonradan yükümlü hâle gelmede başlangıç, işletmenin durumu fark ettiği gün olarak tarif edilmemiştir. Önce istisnanın hangi koşulunun ne zaman sona erdiği belirlenmelidir. Çalışan ve bilanço bilgilerinin hangi dönem ve kapsamda değerlendirilmesi gerektiği araştırılmadan tek bir günlük değişimden yükümlülük tarihi çıkarılmamalıdır (Veri Sorumluları Sicili Hakkında Yönetmelik m.8/2, m.16).

Ek süre otomatik değildir. İmkânsızlığın ne olduğu, ne zaman ortaya çıktığı ve kaydı neden engellediği açıklanarak yazılı talepte bulunulur. Kurumun ek süre verebilmesi ile yalnız başvurunun yapılmış olması farklıdır. Ek süre verilirse başvuru o süre tamamlanmadan bitirilmelidir (Veri Sorumluları Sicili Hakkında Yönetmelik m.8/3, m.10/2).

5. VERBİS Kaydı Nasıl Yapılır?

VERBİS kaydı, veri sorumlusunun işleme faaliyetlerine ilişkin bilgileri hazırlayıp sisteme bildirmesiyle yapılır. Yönetmelik, kayıt yükümlülüğünün m.9’daki bilgilerin VERBİS’e yüklenmesiyle yerine getirilmiş sayılacağını düzenler. Bu nedenle yalnız sistem erişimi edinmek veya başvuru hazırlığını başlatmakla yetinilmez (Veri Sorumluları Sicili Hakkında Yönetmelik m.9, m.10/1).

1. Veri sorumlusunu ve yükümlülük durumunu belirleyin. Hangi kişi veya tüzel kişilik adına kayıt yapılacağı ve uygulanabilecek istisna incelenir (KVKK m.3, m.16).
2. Kişisel veri işleme envanterini hazırlayın. İş süreçleri, amaç ve hukuki sebep, veri kategorisi, kişi grubu, aktarım ve saklama bilgileri birlikte çıkarılır. Sicile açıklanacak bilgiler envantere dayanır (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h, m.5/1-ç).
3. Temsil ve iletişim bilgilerini düzenleyin. İrtibat kişisi belirlenir; Türkiye’de yerleşik olmayan veri sorumlusu için temsilci usulü ayrıca uygulanır (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-b, m.11).
4. Sicile bildirilecek bilgileri sisteme girin. Amaç, kişi ve veri kategorileri, alıcı grupları, yurt dışı aktarım, güvenlik tedbirleri ve azami muhafaza süreleri envanterle karşılaştırılır (Veri Sorumluları Sicili Hakkında Yönetmelik m.9).
5. Kaydı ve sonraki güncellemeleri takip edin. Beyanın eksiksiz, doğru ve güncel olması sağlanır. İşleme faaliyetinde veya sicil bilgilerinde değişiklik olursa ayrıca bildirim yapılır (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e, m.13).

Başvuru ve ekran işlemleri için Kurumun VERBİS sistemi kullanılır. Kurum, ekranlardaki değişikliklere göre güncellediği VERBİS kılavuzunu ve soru-cevap belgesini kendi sitesinde sunmaktadır. Kılavuz ekran kullanımına yardımcı olur; kanun ve yönetmelik yerine geçen bir düzenleme değildir.

6. VERBİS Envanteri ve Saklama Süreleri Nasıl Hazırlanır?

VERBİS envanteri, işletmenin fiilen hangi kişisel veriyi hangi süreçte işlediğini açıklamalıdır. Bir başka işletmenin bildirimini kopyalamak, kendi işleme faaliyetlerini doğru tanımlama yükümlülüğünü karşılamaz. Sicile sunulan bilgilerin doğruluğundan veri sorumlusu sorumludur (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h, m.5/1-ç, m.5/1-e).

Örneğin insan kaynakları ve müşteri ilişkileri süreçleri aynı amaçla yürütülmez. Çalışanlara ait verinin işleme amacı, aktarılacağı alıcı grubu ve saklanma gerekçesi, müşteri iletişim verisinden farklı olabilir. Envanter bu ilişkileri görünür kılacak şekilde hazırlanır; her veri kategorisine aynı amaç ve süre otomatik olarak yazılmaz (Veri Sorumluları Sicili Hakkında Yönetmelik m.4/1-h, m.9).

Azami muhafaza süresinin belirlenmesinde mevzuattaki süreler, hukuki ilişkinin devamı, hukuki yükümlülük ve hakkın ileri sürülmesine ilişkin zamanaşımı gibi ölçütler dikkate alınır. Bildirim veri kategorileriyle eşleştirilir. Veri sorumlusu, azami sürenin belirlenmesi, envanterle uyumu ve sürenin aşılıp aşılmadığının takibi için saklama ve imha politikası hazırlayarak uygulanmasını sağlar (Veri Sorumluları Sicili Hakkında Yönetmelik m.9/4, m.9/5).

Alanların süreçlere göre nasıl doldurulacağı, kişisel veri envanteri hazırlama rehberinde açıklamalı örnekle gösterilmiştir.

Envanter ile ilgili kişiye verilen KVKK aydınlatma metnindeki bilgiler de birlikte kontrol edilmelidir. İşletmenin gerçekte yapmadığı aktarımı Sicile yazması veya yaptığı aktarımı bildirmemesi, beyan ile faaliyet arasında uyumsuzluk doğurur (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-d, m.5/1-e).

7. VERBİS İrtibat Kişisi ve Veri Sorumlusu Temsilcisi Aynı mı?

VERBİS irtibat kişisi ile veri sorumlusu temsilcisi farklı görevlerdir. İrtibat kişisi Kurumla iletişim için bildirilen gerçek kişidir ve bu sıfatla veri sorumlusunu temsile yetkili değildir. Türkiye’de yerleşik olmayan veri sorumlusunun temsilcisi ise Yönetmelikte sayılan alanlarda temsil görevini yürütür (Veri Sorumluları Sicili Hakkında Yönetmelik m.4, m.11).

Rol	Görevin sınırı
Veri sorumlusu	Veri işleme amaçlarını ve araçlarını belirler; tüzel kişide sıfat tüzel kişiliğe aittir. KVKK m.3; Yönetmelik m.11/1
Veri sorumlusu temsilcisi	Türkiye’de yerleşik olmayan veri sorumlusu adına tebligat, taleplerin iletilmesi ve sicil işlemleri gibi asgari temsil görevlerini yürütür. Yönetmelik m.11/3
İrtibat kişisi	Kurumla iletişim için Sicile bildirilir; bu sıfatla veri sorumlusunu temsile yetkili değildir. Yönetmelik m.11/4

Yurt dışında yerleşik veri sorumlusunun temsilci atamasına ilişkin yetkili organ veya kişi kararının tasdikli örneği kayıt başvurusunda sunulur. İrtibat kişisinin bildirilmesi bu temsilci atama işleminin yerine geçmez (Veri Sorumluları Sicili Hakkında Yönetmelik m.11/2, m.11/4).

8. VERBİS Bilgi Güncellemesi ve Sicil Kaydının Silinmesi Nasıl Yapılır?

VERBİS kaydı tamamlandıktan sonra sicil bilgilerinin güncel tutulması gerekir. Kanun, bilgilerdeki değişikliklerin derhâl bildirilmesini ister. Yönetmelik ise değişikliklerin, meydana geldikleri tarihten itibaren yedi gün içerisinde VERBİS üzerinden Kuruma bildirilmesini düzenler. Bu süre, ilk kayıt için sonradan yükümlü olanlara tanınan otuz günlük süreyle karıştırılmamalıdır (KVKK m.16/4; Veri Sorumluları Sicili Hakkında Yönetmelik m.13).

Adres, irtibat bilgisi, işleme amacı, alıcı grubu veya saklama süresi değiştiğinde, değişikliğin hangi sicil alanını etkilediği kontrol edilir. “Kaydı bir kez yaptık” yaklaşımı güncellik yükümlülüğünü karşılamaz. Envanterin ve ilgili kişilere verilen bilgilerin de aynı faaliyetle uyumlu olması gerekir (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-d, m.5/1-e).

Kayıt yükümlülüğünü gerektiren faaliyet sona ererse veya ortadan kalkarsa sicil kaydının silinmesi gündeme gelir. Veri sorumlusu bunun için VERBİS üzerinden Kuruma başvurur. Kaydın silinmesi, Sicile kayıtlı olunan dönemdeki yükümlülükleri ortadan kaldırmaz; geçmiş dönem sorumluluğu yalnız kayıt kapatıldığı için sona ermez (Veri Sorumluları Sicili Hakkında Yönetmelik m.14).

9. VERBİS Kaydı Yapmamanın Cezası 2026 Yılında Ne Kadar?

VERBİS kayıt ve bildirim yükümlülüğüne aykırılık, Kanunda ayrı bir idari yaptırıma bağlanmıştır. Yükümlülüğün doğup doğmadığı ve hangi kayıt ya da bildirim işleminin yerine getirilmediği belirlenmeden yalnız işletme türünden ceza sonucu çıkarılamaz (KVKK m.18/1-ç; Veri Sorumluları Sicili Hakkında Yönetmelik m.17).

Kişisel Verileri Koruma Kurumunun resmî ceza tablosunda 2026 yılı için sicile kayıt ve bildirim yükümlülüğüne aykırılıkta alt sınır 341.809 TL, üst sınır 17.092.242 TL olarak yayımlanmıştır. Kaynak, Kurumun idari para cezası tutarları tablosudur. Tablo mevzuat değildir, Resmî Gazete’de yayımlanmaz. Rakamlar kurum yayımından aynen alınmış, yeniden değerleme oranıyla hesaplanmamıştır; kaynak 17 Ekim 2026 tarihinde kontrol edilmiştir.

Ceza aralığı, her olayda üst sınırın veya aynı tutarın uygulanacağı anlamına gelmez. Kanun, bu bentteki idari para cezasının veri sorumlusu gerçek kişiler ve özel hukuk tüzel kişileri hakkında uygulanacağını; kamu kurumları ve ilgili meslek kuruluşları bakımından ise disiplin işlemi düzenini belirtir. İdari para cezasına karşı idare mahkemesinde dava açılabilir (KVKK m.18/2, m.18/3, m.18/4). Yaptırımların ayrıntıları KVKK ihlal cezaları yazısındadır.

10. VERBİS Kaydı Diğer KVKK Yükümlülüklerinin Yerine Geçer mi?

VERBİS kaydı, aydınlatma yapma, veri güvenliğini sağlama veya ilgili kişi başvurularını cevaplama yükümlülüklerinin yerine geçmez. Sicile kayıt yaptırmak da kayıt istisnasından yararlanmak da diğer yükümlülükler yönünden tek başına sonuç doğurmaz; Kanunun kapsam istisnaları ayrıca değerlendirilir (Veri Sorumluları Sicili Hakkında Yönetmelik m.5/1-e, m.5/1-f; KVKK m.28).

Örneğin kaydı tamamlanmış işletmede kişisel veriler kanuni olmayan yollarla başkalarınca elde edilirse, Kurula ve ilgili kişiye bildirim konusu ayrıca doğar. VERBİS kaydı bu ihlalin bildirimi değildir (KVKK m.12/5). Ayrıntılar veri ihlali bildirimi yazısındadır.

İlgili kişinin bilgi isteme başvurusu da ayrı takip edilir. Kanun, başvurunun niteliğine göre en kısa sürede ve en geç otuz gün içinde sonuçlandırılmasını öngörür. Sicilde bir kaydın bulunması bu başvuruyu cevaplamış sayılmaz (KVKK m.13/2). Başvuru yöntemi veri sorumlusuna KVKK başvurusu yazısında açıklanmıştır.