VERBİS Kaydı: Kimler Zorunlu, Süresi ve Kaydetmemenin Yaptırımı

Kısa Cevap

Veri Sorumluları Sicili, Kurulun gözetiminde kamuya açık olarak tutulan bir kayıt sistemidir; VERBİS ise bu Sicile ilişkin işlemlerin yürütüldüğü bilgi sistemidir.

Kural açıktır: kayıt yükümlülüğü olan veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kaydolmak zorundadır. Kayıt sonradan tamamlanacak bir formalite değil, işlemenin ön koşuludur.

Yükümlülüğün istisnaları vardır, ancak bu istisnalar kanunda sayılmaz; Kurul, Kanun ve Yönetmelikte belirlenen kriterler çerçevesinde karar alarak istisna getirir. Bu nedenle “kaç çalışandan sonra zorunlu” sorusunun cevabı kanun metninde değil, Kurulun güncel kararlarındadır ve zamanla değişebilir.

Kayıt yükümlülüğüne aykırılık, Kanunun kabahatler maddesinde ayrı bir bent olarak idari para cezasına bağlanmıştır.

VERBİS Nedir, Sicil Nedir?

Kanun Sicili kurar ve kayıt zorunluluğunu koyar:

(2) Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Ancak, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kurulca belirlenecek objektif kriterler göz önüne alınmak suretiyle, Kurul tarafından, Veri Sorumluları Siciline kayıt zorunluluğuna istisna getirilebilir.

(6698 sayılı Kişisel Verilerin Korunması Kanunu m.16)

İki unsur birlikte okunmalıdır. Birincisi, kural kayıt zorunluluğudur ve zamanlaması veri işlemeye başlamadan öncedir. İkincisi, istisna yetkisi Kurula bırakılmıştır ve Kurul bu yetkiyi objektif kriterler çerçevesinde kullanır.

Sicilin kamuya açık tutulması ayrıca önemlidir. Yönetmelik, Sicilde yer alan bilgilerden veri sorumlusunun kimliği ve adresi, işleme amaçları, veri konusu kişi grupları ve veri kategorileri, aktarım alıcı grupları, yurt dışına aktarımı öngörülen veriler, kayıt tarihi, alınan güvenlik tedbirleri ve azami muhafaza süresinin kamuya açıklanacağını düzenler. Yani bir şirketin Sicile bildirdiği bilgiler herkesin görebileceği bir kayıttır; ilgili kişiler de bir şirketin hangi verileri hangi amaçla işlediğini buradan öğrenebilir.

Kayıt Yükümlülüğü Kime Ait?

Yükümlülüğün muhatabı veri sorumlusudur; veri işleyen değildir. Yönetmelik ilkeyi bu şekilde kurar:

a) Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kaydolmak zorundadır. b) Türkiye’de yerleşik olmayan veri sorumluları, veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle Sicile kaydolmak zorundadır. c) Sicil kamuya açık biçimde tutulur.

(Veri Sorumluları Sicili Hakkında Yönetmelik m.5)

Bunun pratik sonucu şudur: bir hizmet sağlayıcısı yalnızca veri işleyen konumundaysa kendi adına bu kayıt yükümlülüğü altında değildir. Ancak rol belirlemesi sözleşme başlığına değil fiilî duruma göre yapılır ve aynı taraf farklı faaliyetlerde farklı rolde olabilir; bu ayrımı veri sorumlusu ile veri işleyen farkı yazımızda ele aldık. Rolü yanlış belirleyen bir şirket, kendisini veri işleyen sayarak kayıt yaptırmazsa yaptırım riskini üzerinde tutar.

Türkiyede yerleşik olmayan veri sorumluları için ayrı bir usul vardır: kayıt, veri sorumlusu temsilcisi marifetiyle yapılır. Ayrıca tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir; Sicile kayıt sırasında bildirilen irtibat kişisi veri sorumlusunu temsile yetkili değildir.

Kayıt Ne Zaman Yapılır?

Yönetmelik zamanlamayı üç fıkrada düzenler ve her fıkra ayrı bir duruma bakar:

MADDE 8 – (1) Veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kayıt yükümlülüklerini yerine getirmek zorundadır. (2) Kayıt yükümlülüğü altında bulunmayan, sonradan kayıt yükümlüsü haline gelen veri sorumluları, yükümlülük altına girmelerini müteakip otuz gün içerisinde Sicile kaydolurlar. (3) Kayıt yükümlülüğü altında bulunan veri sorumluları, herhangi bir fiili, teknik ya da hukuki imkânsızlık nedeniyle kayıt yükümlülüklerinin yerine getirilememesi halinde, bu imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içerisinde Kuruma yazılı olarak başvurmak ve gerekçesini belirtmek şartıyla, kayıt yükümlülüklerini yerine getirmek için Kurumdan ek süre talep edebilirler. Kurum, bir defaya mahsus olmak ve her halde otuz günü geçmemek üzere ek süre verebilir.

(Veri Sorumluları Sicili Hakkında Yönetmelik m.8)

Birinci fıkra ana kuraldır: kayıt, veri işlemeye başlamadan önce tamamlanır. Yeni kurulan bir şirket için bu, ilk müşteri ya da ilk çalışan verisi işlenmeden önce kaydın yapılmış olması gerektiği anlamına gelir.

Sonradan Yükümlü Hâline Gelenler: Otuz Gün

İkinci fıkra, uygulamada en çok gözden kaçan hükümdür. Kayıt yükümlülüğü altında olmayan bir veri sorumlusu, sonradan yükümlü hâline gelirse, yükümlülük altına girmesini müteakip otuz gün içinde Sicile kaydolur.

Bu hüküm büyüyen işletmeler için kritiktir. İstisna kapsamında olduğu için kayıt yaptırmamış bir şirket, çalışan sayısı ya da mali bilançosu Kurulun belirlediği eşiği aştığı anda yükümlü hâline gelir ve otuz günlük bir süre işlemeye başlar. Süre, eşiğin aşıldığının fark edildiği tarihten değil, yükümlülük altına girildiği tarihten işler. Bu nedenle eşiğe yaklaşan işletmelerin çalışan sayısı ve bilanço büyüklüğünü düzenli izlemesi gerekir; aksi hâlde otuz gün, farkına varılmadan geçer.

İmkânsızlık Hâlinde Ek Süre

Üçüncü fıkra bir güvenlik supabı sağlar, ancak şartları katıdır. Ek süre talebi için üç koşul birliktedir: fiili, teknik ya da hukuki bir imkânsızlık bulunması, imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içinde Kuruma yazılı başvurulması ve gerekçenin belirtilmesi.

Kurumun verebileceği süre de sınırlıdır: bir defaya mahsus olmak ve her hâlde otuz günü geçmemek üzere. Yani ek süre tekrarlanabilir bir uzatma mekanizması değildir.

Buradaki 7 iş günü kuralı sık kaçırılır. Ek süre, kayıt süresi dolduktan sonra değil, imkânsızlığın doğduğu andan itibaren yedi iş günü içinde talep edilmelidir. Süresi geçtikten sonra yapılan başvuru, imkânsızlık gerçek olsa bile bu fıkraya dayanamaz.

Kim Muaf? İstisna Kriterleri

Bu, en çok sorulan ve en çok bayat bilgiyle cevaplanan sorudur. Kanun istisna yetkisini Kurula bırakır; Yönetmelik ise Kurulun bu yetkiyi hangi kriterlere göre kullanacağını sayar:

MADDE 16 – (1) Kurul, aşağıdaki kriterleri göz önünde bulundurarak kayıt yükümlülüğüne istisna getirebilir: a) Kişisel verinin niteliği. b) Kişisel verinin sayısı. c) Kişisel verinin işlenme amacı. ç) Kişisel verinin işlendiği faaliyet alanı. d) Kişisel verinin üçüncü kişilere aktarılma durumu. e) Kişisel veri işleme faaliyetinin kanunlardan kaynaklanması. f) Kişisel verilerin muhafaza edilmesi süresi. g) Veri konusu kişi grubu veya veri kategorileri. ğ) (Ek:RG-28/4/2019-30758) Veri sorumlusunun yıllık çalışan sayısı veya yıllık mali bilanço toplamı bilgisi.

(Veri Sorumluları Sicili Hakkında Yönetmelik m.16)

Dikkat edilecek nokta şudur: bu madde kriterleri sayar, eşikleri değil. Uygulamada bilinen “yıllık çalışan sayısı” ve “yıllık mali bilanço toplamı” ölçütleri (g) ve (ğ) bentlerine dayanır, ancak bu ölçütlerin sayısal değerleri kanunda ya da yönetmelikte yazmaz; Kurul kararlarıyla belirlenir. Yönetmelik bunu ayrıca söyler: Kurul, sayılan kriterler çerçevesinde belirlenen istisnaların kapsamı ile uygulama usul ve esaslarını belirlemek amacıyla karar alma yetkisini haizdir ve bu kararlarını uygun yöntemlerle yayımlayarak kamuya duyurur.

Bunun doğrudan pratik sonucu: internette okuduğunuz eşik rakamı bugünkü eşik olmayabilir. Kurul kararlarıyla belirlenen eşikler ve kapsam zaman içinde değişmiştir; ayrıca ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları için farklı bir rejim uygulanmıştır. Kayıt yükümlülüğü değerlendirilirken kayıt anında Kurumun yayımladığı güncel karar ve duyuru esas alınmalıdır; bir yazıdaki rakama dayanarak muafiyet varsayımı yapılmamalıdır.

Bir de sık karıştırılan bir nokta vardır: 2018-2021 arasında duyurulan tarihler, Kanunun geçici hükmü kapsamındaki ilk kayıt takvimine ilişkindi ve o takvim dolmuştur. Bugün için geçerli olan zamanlama kuralı, yukarıda anlatılan Yönetmelik hükmüdür: işlemeye başlamadan önce, sonradan yükümlü olanlar için otuz gün içinde.

Kurulun 2023/1154 Sayılı Eşik Değişikliği

Eşiklerin neden sabit bir kanun rakamı gibi okunamayacağını 2023 tarihli Kurul kararı açıkça gösterir. Kurul, 2018/87 sayılı önceki karardaki mali bilanço ölçütünü şu birebir ifadeyle değiştirmiştir:

19.07.2018 tarihli ve 2018/87 sayılı Kurul kararında yer alan “ yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 25 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar ” ifadesindeki yıllık mali bilanço toplamı tutarının güncellenmesi suretiyle “ yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar ” şeklinde değiştirilmesine,

(Kişisel Verileri Koruma Kurulu, 06.07.2023 tarihli ve 2023/1154 sayılı karar)

Bu karar, önceki eşik bilgisinin tek bir Kurul kararıyla değişebildiğini somutlaştırır. Ancak 2023 tarihli rakamın sonraki yıllarda da değişmeden kaldığı varsayılamaz; kayıt değerlendirmesinde işlemin yapıldığı tarihteki en güncel Kurul kararı ve Kurum duyurusu ayrıca kontrol edilmelidir.

Kayıtta Nelerin Bildirileceği

Kanun, kayıt başvurusunun içeriğini yedi kalemde sayar: veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri, kişisel verilerin hangi amaçla işleneceği, veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar, kişisel verilerin aktarılabileceği alıcı veya alıcı grupları, yabancı ülkelere aktarımı öngörülen kişisel veriler, kişisel veri güvenliğine ilişkin alınan tedbirler ve kişisel verilerin işlendikleri amaç için gerekli olan azami süre. Kanun ayrıca bu bilgilerde meydana gelen değişikliklerin derhâl Başkanlığa bildirilmesini ister.

Yönetmelik bu içeriği iki noktada ağırlaştırır. Birincisi, Sicile kayıtla yükümlü veri sorumluları Kişisel Veri İşleme Envanteri hazırlamakla yükümlüdür ve Sicile açıklanacak bilgiler bu envantere dayalı olarak hazırlanır. İkincisi, veri sorumluları azami muhafaza sürelerinin takibi için kişisel veri saklama ve imha politikası hazırlayarak bunun uygulanmasını temin ederler.

Bu iki belge, VERBİS kaydını tek seferlik bir form doldurma işinden çıkarır. Envanter olmadan yapılan bir kayıt, içeriği dayanaksız kalır; imha politikası olmadan bildirilen azami süreler ise fiilen uygulanamaz.

Kayıt ile diğer yükümlülükler arasında bir uyum şartı da vardır: aydınlatma yükümlülüğü kapsamında ilgili kişiye verilecek bilgiler, Sicile açıklanan bilgilerle uyumlu olmalıdır. Yani aydınlatma metniniz ile VERBİS bildiriminiz birbirini tutmalıdır; bu ilişkiyi aydınlatma yükümlülüğü yazımızda ayrıca ele aldık.

Kayıt Sizi Diğer Yükümlülüklerden Kurtarmaz

Yönetmelik iki yönlü bir uyarı içerir ve ikisi de uygulamada gözden kaçar.

Birincisi: veri sorumlularının Sicile kaydolması, Kanun kapsamındaki diğer yükümlülüklerini ortadan kaldırmaz. Kayıt yapıldı diye aydınlatma, veri güvenliği, silme ve başvuruya cevap yükümlülükleri sona ermez.

İkincisi ve daha çok yanlış anlaşılanı: Kurul tarafından Sicile kayıtla yükümlü tutulmamak da bu veri sorumlularının Kanun kapsamındaki yükümlülüklerini ortadan kaldırmaz. Yani muafiyet yalnızca kayıt yükümlülüğüne ilişkindir; muaf bir işletme de aydınlatma yapmak, veri güvenliğini sağlamak, başvuruları otuz gün içinde sonuçlandırmak ve silme yükümlülüğünü yerine getirmekle yükümlüdür.

Bu, küçük işletmelerin en sık düştüğü yanılgıdır: “VERBİS zorunlu değil, bizim için KVKK yükümlülüğü yok” çıkarımı hukuken yanlıştır.

Ayrıca veri sorumluları, Sicile sunulan ve Sicilde yayınlanan bilgilerin eksiksiz, doğru, güncel ve hukuka uygun olmasından sorumludur. Eksik ya da gerçeği yansıtmayan bir kayıt, kayıt yapılmamış olmasından farklı bir aykırılık değil, ayrı bir risk doğurur.

Kaydetmemenin Yaptırımı

Kanun, Sicile kayıt ve bildirim yükümlülüğüne aykırılığı kabahatler maddesinde ayrı bir bent olarak idari para cezasına bağlamıştır. Bu bendin muhatabı veri sorumlusudur.

Tutar bakımından iki nokta önemlidir. Birincisi, kanun metnindeki alt ve üst sınırlar maktu tutarlardır ve her takvim yılı başından geçerli olmak üzere yeniden değerleme oranında artırılarak uygulanır; bu nedenle uygulanacak tutar, fiilin işlendiği yıl için Kurumun ilan ettiği tutardır. İkincisi, ceza alt ve üst sınır arasında takdir edilirken kabahatin haksızlık içeriği ile failin kusuru ve ekonomik durumu birlikte göz önünde bulundurulur; bu nedenle aynı aykırılık, işletmenin büyüklüğüne göre farklı tutarlarda cezalandırılabilir.

Kurulun kararına karşı idare mahkemesinde dava açılır. İdari para cezasının muhatabı, yaptırımın hesabı ve dava yolu için KVKK ihlalinde ceza yazımıza bakabilirsiniz.

Son olarak: kayıt yükümlülüğüne aykırılık tek başına gelmez. Kurul bir dosyada kayıt eksikliğini tespit ettiğinde, aynı incelemede aydınlatma ve veri güvenliği yükümlülüklerinin de yerine getirilip getirilmediği değerlendirilir. Bu nedenle geç kalınmış bir kayıt, yalnızca kayıt bendinden değil, birden çok bentten risk doğurabilir.

Sık Yapılan Hatalar

• Kaydı veri işlemeye başladıktan sonraya bırakmak. Yönetmelik, kaydın işlemeye başlamadan önce tamamlanmasını ister.
• “VERBİS zorunlu değilse KVKK yükümlülüğü de yok” demek. Yönetmelik, kayıtla yükümlü tutulmamanın Kanun kapsamındaki diğer yükümlülükleri ortadan kaldırmadığını açıkça yazar.
• İnternetteki eşik rakamına güvenmek. Eşikler kanunda değil Kurul kararlarında belirlenir ve değişir; kayıt anındaki güncel duyuru esas alınmalıdır.
• 2018-2021 tarihlerini bugünkü takvim sanmak. O tarihler geçici hüküm kapsamındaki ilk kayıt takvimine ilişkindi ve dolmuştur.
• Büyürken otuz günlük süreyi kaçırmak. Sonradan yükümlü hâline gelen veri sorumlusu, yükümlülük altına girmesini müteakip otuz gün içinde kaydolur.
• Ek süre talebini kayıt süresi dolduktan sonra yapmak. Talep, imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içinde yapılmalıdır.
• Envanter ve imha politikası hazırlamadan kayıt yapmak. Sicile açıklanacak bilgiler envantere dayalı hazırlanır; azami sürelerin takibi imha politikası gerektirir.
• Aydınlatma metni ile VERBİS bildirimini birbirine uydurmamak. Yönetmelik, aydınlatmada verilecek bilgilerin Sicile açıklanan bilgilerle uyumlu olmasını ister.
• Kendini veri işleyen sayarak kayıt yaptırmamak. Rol, sözleşme başlığına değil fiilî duruma göre belirlenir.
• Değişikliği bildirmemek. Kanun, bildirilen bilgilerde meydana gelen değişikliklerin derhâl Başkanlığa bildirilmesini ister.

Özet

• Kayıt, veri işlemeye başlamadan önce tamamlanır; sonradan doldurulacak bir formalite değildir.
• Yükümlülüğün muhatabı veri sorumlusudur; veri işleyen değildir.
• Sonradan yükümlü hâline gelenler, yükümlülük altına girmelerini müteakip otuz gün içinde kaydolur.
• Ek süre, imkânsızlığın doğduğu tarihten itibaren 7 iş günü içinde talep edilir; Kurum bir defaya mahsus, en çok otuz gün verebilir.
• Eşikler (çalışan sayısı, mali bilanço) kanunda değil Kurul kararlarında belirlenir ve değişir → kayıt anındaki güncel duyuru esas alınır.
• 2018-2021 tarihleri geçici hüküm kapsamındaki ilk kayıt takvimine aitti ve dolmuştur.
• Sicile açıklanacak bilgiler Kişisel Veri İşleme Envanterine dayanır; azami sürelerin takibi için saklama ve imha politikası gerekir.
• Kayıt yapmak diğer yükümlülükleri bitirmez; muafiyet de Kanun kapsamındaki yükümlülükleri ortadan kaldırmaz.
• Bildirilen bilgilerdeki değişiklikler derhâl bildirilir; bilgilerin doğruluğundan veri sorumlusu sorumludur.
• Aykırılık, kabahatler maddesinde ayrı bir bent olarak idari para cezasına bağlanmıştır.

İlgili yazılar: Veri Sorumlusu Kimdir? Veri İşleyenden Farkı ve Yükümlülükleri · KVKK İhlalinde Ceza: İdari Para Cezası ile Suç Arasındaki Fark · Aydınlatma Yükümlülüğü ile Açık Rıza Arasındaki Fark