KVKK Kapsamında VERBİS Kaydı: Kimler Kayıt Olmak Zorunda ve Nasıl

Şirketiniz Türkiye ile bağlantılı kişisel veri işliyorsa, VERBİS'e — Türk veri koruma otoritesinin tuttuğu Veri Sorumluları Sicili'ne — kaydolmanız gerekebilir. Bu yükümlülük, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun ("KVKKKVKK6698 sayılı Kişisel Verilerin Korunması KanunuTürkiye'nin veri koruma kanunu — kişisel verinin toplanması, saklanması ve aktarılmasına dair kurallar ile bunları uygulayan kurum.Sözlük →") 16. maddesinden doğar. Kısacası: "veri sorumlusu" sıfatıyla hareket eden kuruluşların çoğu, yayımlanmış bir istisna kapsamına girmedikçe, veri işlemeye başlamadan önce kayıt yaptırmak zorundadır — ve kayıt yaptırmamak idari para cezasına yol açabilir. Aşağıda kimin kayıt olması gerektiğini, kimin istisna olduğunu, sicilin hangi bilgileri istediğini, kaydın bir irtibat kişisi ya da temsilci atama ile nasıl bağlantılı olduğunu ve kaydı atlarsanız ne olacağını anlatıyoruz.

VERBİS nedir ve yükümlülük nereden geliyor

VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'nin kısaltmasıdır — Veri Sorumluları Sicili'ni işleten bilgi sistemidir. Kişisel Verileri Koruma Kurumu ("KVKK Kurumu" / Kurum) tarafından, Kişisel Verileri Koruma Kurulu'nun ("Kurul") gözetiminde tutulan çevrim içi bir sicildir.

Yasal dayanak 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 16. maddesidir. Bu madde, veri sorumlusu (kişisel verinin neden ve nasıl işleneceğine karar veren taraf) niteliğindeki gerçek ve tüzel kişilerin, bir istisna uygulanmadıkça, kişisel veri işlemeye başlamadan önce sicile kayıt yaptırmasını gerektirir. Kurul, kimin kayıt olması gerektiğini belirleyen ölçütleri tespit etmeye ve istisnaları yayımlamaya yetkilidir.

Kayıt yaptırmak, "KVKK'ya uyum sağlamak" ile aynı şey değildir. VERBİS'ten istisna olan bir veri sorumlusu dahi, Kanun'un geri kalanına uymak zorundadır — hukuka uygun işleme, aydınlatma yükümlülüğü, veri güvenliği ve ilgili kişi taleplerine yanıt verme. VERBİS, görevlerinizin tamamı değil, belirli bir şeffaflık yükümlülüğüdür.

VERBİS'e kimler kayıt olmak zorunda?

Kısa yanıt: Kurul'un belirlediği ölçütleri karşılayan veri sorumluları kayıt olmak zorundadır. Kurul bu ölçütleri belirlerken, işlenen kişisel verinin niteliği ve hacmi, işlemenin veri sorumlusunun ana faaliyetinin bir parçası olup olmadığı ve — işletmeler açısından önemlisi — çalışan sayısı ve yıllık mali/bilanço rakamları gibi veri sorumlusunun büyüklüğünü gösteren ölçütler gibi faktörlere bakar.

Uygulamada bu, sık karşılaşılan üç durumun ortaya çıkması anlamına gelir:

• Açıkça kayıt olmanız gerekenler — örneğin büyüklük eşiklerinin üzerindeki daha büyük şirketler ve büyüklüğüne bakılmaksızın belirli veri sorumluları (örneğin ana faaliyeti özel nitelikli verileri işlemekten oluşanlar).
• Muhtemelen istisna olanlar — birçok küçük kuruluş Kurul'un belirlediği eşiklerin altında kalır ve faaliyete dayalı çeşitli istisnalar mevcuttur (bir sonraki bölüme bakınız).
• Gerçekten belirsiz olan durumlar — bir eşiğe yakın bulunuyorsunuz ya da işlemeniz yıl içinde değişti. Bir veri sorumlusu çoğunlukla işte burada hata yapar.

Bir yabancı şirket için tetikleyici, genellikle veri sorumlusu sıfatıyla Türkiye'de kişisel veri işlemesidir — örneğin Türkiye'de bir şube işletmek, Türkiye'de personel istihdam etmek, Türkiye'ye yönelik bir platform işletmek ya da başka bir şekilde Türkiye'deki kişilerin kişisel verisini Kanun kapsamına giren bir biçimde işlemek. Böyle bir durumda, veri sorumlusunun genel olarak yerli bir veri sorumlusuyla aynı şekilde, aynı ölçütlere ve istisnalara tabi olarak VERBİS'e kaydolması beklenir.

İstisnalar: kimler kayıt olmak zorunda değil

16. madde, Kurul'a belirli veri sorumlusu kategorilerini kayıt yükümlülüğünden istisna tutma yetkisi verir. İstisnalar Kurul kararları ve ikincil düzenlemelerle belirlenir ve iki geniş türe ayrılır.

Büyüklüğe dayalı istisna

Kurul'un büyüklük ölçütlerinin altındaki veri sorumluları genellikle istisnadır. İşte çalışan sayısı ve yıllık bilanço/ciro eşiklerinin önem kazandığı yer burasıdır: Bunların altında kalıyorsanız — ve faaliyete dayalı bir kurala takılmıyorsanız — kayıt olmanız gerekmeyebilir.

Faaliyete dayalı istisnalar

Kurul ayrıca, büyüklüklerinden ziyade ne oldukları ya da ne yaptıkları nedeniyle belirli veri sorumlularını istisna tutmuştur. Zaman içinde istisna listesinde yer alan kategorilere örnek olarak, örneğin yalnızca kendi iç ve tanımlı amaçları için veri işleyen belirli meslek mensupları ile dernekler ve benzeri kuruluşlar verilebilir. Listenin tam içeriği ve koşulları Kurul tarafından belirlenir.

Sicilin istediği bilgiler

VERBİS, bir kişisel veri işleme envanteri etrafında kurulmuştur. Kayıt olmak için, işlemenizin yapılandırılmış bir tarifini beyan eder — ve güncel tutarsınız. Sicilin istediği bilgi kategorileri tipik olarak şunları içerir:

• Veri sorumlusunun ve irtibat kişisi ya da temsilcisinin kimlik ve iletişim bilgileri.
• İlgili kişi kategorileri (örneğin çalışanlar, müşteriler, tedarikçiler, web sitesi kullanıcıları).
• İşlenen kişisel veri kategorileri; daha katı kurallara tabi oldukları için ayrıca işaretlenen özel nitelikli kişisel veriler (örneğin sağlık, biyometrik ya da ceza kaydı verileri) ile birlikte.
• Verinin işlenme amaçları.
• Verinin aktarılabileceği alıcılar ya da alıcı kategorileri.
• Yurt dışına aktarımlar — kişisel verinin Türkiye dışındaki alıcılara aktarılıp aktarılmadığı ya da aktarılabileceği.
• Her veri kategorisi için azami saklama süreleri.
• Verinin korunması için alınan teknik ve idari güvenlik tedbirleri.

Dahili olarak tuttuğunuz envanter ile VERBİS beyanı birbiriyle örtüşmelidir. İşletmenizin verileri gerçekte nasıl işlediğiyle uyuşmayan bir kayıt, başlı başına bir sorundur.

İrtibat kişisi ve yabancı veri sorumluları için temsilci

Kayıt, Kurum'la ve ilgili kişilerle muhatap olacak birinin atanmasıyla yakından bağlantılıdır.

İrtibat kişisi

Türkiye'de yerleşik olup VERBİS'e kaydolan bir veri sorumlusu, bir irtibat kişisi belirler. İrtibat kişisi, Kurum'la iletişimin sağlandığı noktadır. Önemli bir husus: İrtibat kişisi olmak hukuki sorumluluğu devretmez — uyumdan veri sorumlusu sorumlu olmaya devam eder.

Yurt dışında yerleşik veri sorumluları için temsilci

Veri sorumlusunun Türkiye'de yerleşik olmadığı durumlarda, Kurum ve ilgili kişiler tarafından ulaşılabilmesi ve VERBİS kaydını veri sorumlusu adına tamamlaması için Türkiye'de bir temsilci (Türkiye'de yerleşik bir tüzel kişi ya da bir Türk vatandaşı) ataması yerleşik bir beklentidir. Temsilcinin yetkisi gereği gibi belgelenmelidir.

Temsilciye ilişkin gereken kesin şekil, yetkinin kapsamı ve belgeler ikincil düzenlemedeki ayrıntı meseleleridir; bu nedenle atama, genel bir şablona göre değil, güncel kuralları karşılayacak biçimde kurgulanmalıdır.

Kayıt yaptırmazsanız ne olur

Kayıt olmanız gerekiyorsa ve kaydolmazsanız — ya da yapmanız gereken bir kaydı tamamlamadan kişisel veri işlerseniz — şirketi bir idari para cezası riskine sokarsınız. Kayıt yükümlülüğünün ihlaline ilişkin ceza rejimi, Kurul'un verebileceği kabahatleri ve idari para cezalarını sayan KVKK No. 6698'in 18. maddesinde yer alır.

Cezanın kendisinin ötesinde, kayıtsız ya da hatalı bir VERBİS durumu, çoğu zaman bir şikâyet ya da denetimde gün yüzüne çıkan ilk şeydir ve Kurum'un uyumunuzun geri kalanına bakışını da etkileyebilir. Doğru kayıt yaptırmak — ve kaydı güncel tutmak — daha ucuz yoldur.

Yabancı şirketler için pratik bir sıra

Durumunuzu çözmeye çalışan bir yabancı şirketseniz, sakin ve düzenli bir yaklaşım genellikle en iyisidir:

• Rolünüzü teyit edin. Veri sorumlusu musunuz (neden ve nasıla siz karar veriyorsunuz) yoksa başkası adına hareket eden bir veri işleyen mi? Kayıt yükümlülüğü veri sorumlusuna bağlanır.
• Türkiye'deki işlemenizi haritalayın. Hangi veri, kimin verisi, hangi amaçlarla, kim alıyor ve bunlardan herhangi biri yurt dışına gidiyor mu?
• İlgili yıl için ölçütleri ve istisnaları Kurul'un yürürlükteki kurallarına karşı kontrol edin — büyüklük eşikleri ve varsa faaliyete dayalı istisna.
• İrtibat kişinizi ya da Türkiye temsilcinizi netleştirin ve yetkilerini belgeleyin.
• İşleme envanterinizi hazırlayın ve yurt dışına aktarım durumunuzu 2024 sonrası 9. madde rejimiyle uyumlandırın.
• VERBİS'e geçerli süre içinde kayıt yapın, ardından işlemeniz değiştikçe kaydı güncel tutun.

Bu adımların hiçbiri hatırlanan bir rakama ya da genel bir şablona göre kararlaştırılmamalıdır. Her biri, Kurul'un belirlediği ve revize ettiği kurallara ve işletmenizin Türkiye ile bağlantılı veriyi tam olarak nasıl ele aldığına ilişkin somut olgulara dayanır.

Sıkça sorulan sorular