İki farklı soru sık sık birbirine karışıyor:
- "KVKK bana uygulanır mı?" → Kişisel veri işliyorsanız evet, istisnasız.
- "VERBİS'e kaydolmak zorunda mıyım?" → Duruma göre. Ölçütler var.
Bu ayrımı anlamak, gereksiz panik ile gerçek riski birbirinden ayırmanın anahtarı.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. Kendi durumunuzu Kurum duyuruları ve bir hukukçuyla teyit edin.
1. Kanun kime uygulanır?
6698 sayılı Kanun, kişisel veri işleyen herkesi kapsar: tek kişilik şahıs şirketi de, holding de. Müşteri listeniz, çalışan özlük dosyanız, ziyaretçi defteriniz varsa kanun kapsamındasınız.
Kapsam dışı kalan dar bir alan vardır: kişinin tamamen kendisiyle veya aynı konutta yaşayan aile fertleriyle ilgili faaliyetleri (ör. kişisel telefon rehberiniz). Ticari faaliyet bunun dışındadır.
Yani "biz küçüğüz, bize işlemez" doğru değil. Küçük olmak, yükümlülüklerin ölçeğini küçültür, varlığını değil.
2. VERBİS kayıt yükümlülüğü: ölçütler
Sicile kayıt, Kurul kararlarıyla belirlenen ölçütlere bağlıdır. Değerlendirmede esas alınan üç unsur:
| Ölçüt | Eşik | Sonuç |
|---|---|---|
| Yıllık çalışan sayısı | 50'den fazla | Kayıt zorunlu |
| Yıllık mali bilanço toplamı | 100 milyon TL'den fazla | Kayıt zorunlu |
| Ana faaliyet konusu | Özel nitelikli veri işlemek | Eşik aranmaz, doğrudan zorunlu |
Bu ölçütler kümülatif değil, alternatiftir: herhangi birini karşılıyorsanız kayıt zorunludur. En sık yapılan hata, "50 çalışanım yok, o zaman muafım" diye düşünmektir — 12 kişilik ama bilançosu 100 milyon TL'yi aşan bir şirket de yükümlüdür.
Not: Bilanço eşiği daha önce 25 milyon TL idi ve yukarı çekildi. İnternette hâlâ eski rakamı veren çok sayıda yazı var; karar verirken tarihine bakın.
Somut örnekler
| Şirket | Çalışan | Bilanço | Kayıt zorunlu mu? |
|---|---|---|---|
| Butik e-ticaret | 8 | 4 milyon TL | Hayır |
| Üretim firması | 62 | 40 milyon TL | Evet (çalışan sayısı) |
| Yazılım şirketi | 15 | 130 milyon TL | Evet (bilanço) |
| Diş kliniği | 6 | 3 milyon TL | Evet (özel nitelikli veri) |
Kayıt yükümlüsü olduğu hâlde kaydolmamanın 2026 yılı cezası 341.809 TL'den başlar. Ayrıntı: KVKK cezaları ne kadar.
Ayrıca bazı gruplar için özel düzenlemeler ve istisnalar bulunur (ör. belirli meslek grupları, dernek/vakıf ve siyasi partilerin sadece kendi üyelerine ilişkin verileri, noterler gibi kanunla düzenlenmiş bazı yapılar). Eşik değerler ve istisna listesi zaman içinde güncellenebildiği için karar vermeden önce Kurum'un güncel duyurusuna bakın.
Kurul ne demiş: üç karar, üç sınır
Ölçütlerin kenarındaki üç soruyu Kurul'un yayımlanmış karar özetleri cevaplıyor; hepsi birincil kaynak, linkleri yazının sonunda.
| Soru | Kurul kararı | Sonuç |
|---|---|---|
| Dernek, vakıf ve sendikalar muaf mı? | 2019/353 (26.11.2019) | 2018/32 sayılı kararla getirilen istisna, "yalnızca kendi çalışanları, üyeleri, mensupları ve bağışçılarına yönelik" veri işleyenler için geçerli; Kurul, bağış yapılanların da bu kapsamda sayıldığına karar verdi. Üye dışı kitleye (etkinlik katılımcısı, bülten abonesi) veri işleyen dernek istisnadan çıkar. |
| Yurt dışındaki şirketin Türkiye'de sadece temsilciliği varsa? | 2020/471 (23.06.2020) | Türkiye'de mevduat toplamayan, sadece tanıtım ve pazar araştırması yapan temsilciliği bulunan yabancı banka veri sorumlusu sayıldı ve Sicile kayıt yükümlüsü bulundu. Yönetmelik m.5/1-b: Türkiye'de yerleşik olmayan veri sorumlusu, veri işlemeye başlamadan önce temsilcisi aracılığıyla kaydolur. |
| Sicildeki bilgi değişince ne kadar sürede güncellenir? | 2019/299 ve 2020/542 | Değişiklik tarihinden itibaren 7 gün. Bu yüzden Kurul, yurt içi şirketlerde bir kişinin birden fazla veri sorumlusuna irtibat kişisi olmasını uygun bulmuyor; yurt dışı veri sorumluları için ise aynı kişinin birden fazla şirkete irtibat kişisi olabileceğine karar verdi (2020/542). |
Derlediğimiz 313 Kurul karar özetinin yalnızca 5'inde "Sicil" geçiyor ve hiçbirinde Sicile kayıt gerekçesiyle verilmiş para cezası yok; 153 ceza kararının tamamı aydınlatma, açık rıza, veri güvenliği, başvuru hakkı ve ihlal bildirimi gibi kalemlerden. Yani kayıt, denetimin başladığı yer değil; ceza, kayıt yükümlüsü olmayan işletmeye de aynı kalemlerden geliyor.
Üç soruda karar
- Kişisel veri işliyor musunuz? Müşteri, çalışan, aday, tedarikçi verisi → evet. Kanun uygulanır; aşağıdaki yükümlülük tablosu sizin için geçerli.
- Şu üçünden biri var mı: 50'den fazla yıllık çalışan · 100 milyon TL'yi aşan yıllık bilanço toplamı · ana faaliyet özel nitelikli veri? Biri bile varsa VERBİS kaydı zorunlu (kayıt rehberi).
- Türkiye'de yerleşik değil misiniz ama Türkiye'deki kişilerin verisini işliyor musunuz? Eşik aranmaz; temsilci atayıp işlemeye başlamadan önce kaydolursunuz (2020/471).
Üçüne de "hayır" diyebiliyorsanız kayıt yükümlüsü değilsiniz; "1"e evet dediyseniz belge seti yine gerekir.
3. Sağlık verisi işliyorsanız dikkat
Ana faaliyeti özel nitelikli kişisel veri işlemek olan işletmeler (klinikler, laboratuvarlar, psikolog/diyetisyen ofisleri, iş sağlığı hizmeti verenler) için değerlendirme daha sıkıdır. Bu grupta çalışan sayısı düşük olsa da kayıt yükümlülüğü doğabilir.
4. Yükümlü değilseniz ne yapmalısınız?
Kayıt yükümlüsü olmamak, şu yükümlülükleri ortadan kaldırmaz:
- Aydınlatma metni hazırlamak ve göstermek (nasıl)
- Gerekli hâllerde açık rıza almak (nasıl)
- Veri güvenliği tedbirlerini uygulamak
- Saklama sürelerini belirleyip süresi dolanı imha etmek
- İlgili kişi başvurularını 30 gün içinde yanıtlamak
Yani VERBİS'ten muaf olmak "hiçbir şey yapmayabilirim" demek değil; belge seti yine gerekir.
Yükümlü değilsiniz — ama hangi yükümlülükler yine de duruyor?
En pahalı yanılgı bu: "VERBİS'e kayıtlı değilim, KVKK beni bağlamıyor." Kayıt yükümlülüğü ile Kanun'un yükümlülükleri farklı şeylerdir. Ayrım şu tabloda:
| Yükümlülük | Eşiğin altındaki işletme için |
|---|---|
| Aydınlatma yükümlülüğü (m.10) | Var — kişisel veri işleyen herkes için |
| Veri güvenliği tedbirleri (m.12) | Var — en ağır cezalar bu kalemden |
| İlgili kişi başvurularına 30 gün içinde cevap (m.13) | Var |
| Saklama sürelerine uymak ve imha etmek | Var |
| Açık rızanın geçerlilik şartları | Var |
| Veri ihlalini 72 saat içinde bildirmek | Var |
| Kişisel veri envanteri | Kayıt yükümlüsü değilseniz zorunlu değil; pratikte gerekli (diğer belgelerin kaynağı) |
| VERBİS kaydı ve güncellemesi | Yok |
Yani eşiğin altında olmak yalnızca bir yükümlülüğü kaldırıyor: sicile kayıt. Geriye kalan her şey aynen duruyor. Derlediğimiz 313 karar özetinde Sicile kayıt gerekçeli tek bir para cezası yok; 153 ceza kararının tamamı aydınlatma, açık rıza, güvenlik tedbiri, başvuru hakkı ve ihlal bildirimi kalemlerinden.
Ölçütler nasıl hesaplanır?
Üç ölçüt alternatiftir, kümülatif değil — birini karşılamanız yeterlidir.
- Yıllık çalışan sayısı (50'den fazla): Kayıtlı çalışan sayısı esas alınır. Sezonluk yoğunlukta eşiği aşan bir işletme, ölçütü karşılamış olabilir; yıl içindeki değişimi takip edin.
- Yıllık mali bilanço toplamı (100 milyon TL'den fazla): Ciro değil, bilanço toplamıdır. Bu ikisini karıştırmak yaygın bir hata. 2026 öncesindeki 25 milyon TL'lik eşik hâlâ birçok kaynakta dolaşıyor; güncel eşik 100 milyon TL'dir.
- Ana faaliyeti özel nitelikli veri işlemek: Eşik aranmaz. Klinik, laboratuvar, diş hekimi, psikolog ofisi, iş sağlığı ve güvenliği hizmeti verenler tipik örneklerdir. "Ana faaliyet" ölçütü, arada bir sağlık raporu görmekle karıştırılmamalı — belirleyici olan işin özüdür.
Ölçütlerden birine yaklaşıyorsanız, aşacağınız yılı beklemek yerine envanteri şimdiden hazırlayın: eşiği aştığınızda kayıt için verilen süre, envanteri sıfırdan çıkarmaya yetmez.
Sektör sektör kısa cevap
| İşletme | Kayıt yükümlüsü mü? | Not |
|---|---|---|
| 8 kişilik yazılım ajansı | Muhtemelen hayır | Aydınlatma, güvenlik ve saklama yükümlülükleri sürüyor |
| 12 kişilik butik otel | Muhtemelen hayır | Kimlik bildirimi + kamera + acente aktarımı yine de belgeye bağlanmalı |
| 3 kişilik diş kliniği | Evet | Ana faaliyet özel nitelikli veri işlemek; eşik aranmaz |
| 60 çalışanlı üretim tesisi | Evet | Çalışan sayısı ölçütü |
| 20 kişilik e-ticaret, bilanço 140 milyon TL | Evet | Bilanço ölçütü |
| Tek kişilik serbest muhasebeci | Muhtemelen hayır | Müşteri verisi yoğun; envanter ve aktarım beyanı yine de gerekli |
Tabloyu bir teşhis değil, başlangıç noktası olarak kullanın; nihai değerlendirmeyi kendi rakamlarınızla yapın.
5. Pratik kontrol listesi
- Kişisel veri işliyor muyum? (Müşteri/çalışan/aday verisi varsa: evet)
- Çalışan sayım ve bilanço büyüklüğüm ölçütlerin neresinde?
- Ana faaliyetim özel nitelikli veri (sağlık, biyometri vb.) işlemeyi gerektiriyor mu?
- Yurt dışına veri aktarıyor muyum? (yabancı bulut/e-posta sağlayıcısı dâhil)
- Kayıt yükümlüsüysem VERBİS beyanım güncel mi? (kayıt rehberi)
- Envanterim ve belgelerim hazır mı? (envanter rehberi)
Sık sorulan sorular
5 kişilik şirketim var, KVKK beni bağlar mı?
Kanun sizi bağlar. VERBİS kayıt yükümlülüğünüz ise ölçütlere göre değişir; ölçütleri karşılamıyorsanız kayıt gerekmez ama diğer yükümlülükler sürer.
Şahıs şirketi de veri sorumlusu mudur?
Evet. Gerçek kişi tacirler de kişisel veri işlediklerinde veri sorumlusudur.
E-ticaret yapıyorum, durumum ne?
Müşteri, sipariş ve ödeme verileri işlediğiniz için kapsamdasınız. Ölçütleri aşıyorsanız VERBİS kaydı da gerekir. Ayrıca ticari elektronik ileti için ayrı rıza kuralları geçerlidir.
Muafiyet aldığımı nasıl kanıtlarım?
"Muafiyet belgesi" diye bir belge yoktur. Kayıt yükümlülüğü ölçütlerini karşılamadığınızı gösteren kayıtlarınızı (çalışan sayısı, bilanço) saklamanız yeterlidir.
Kaynaklar
- VERBİS portalı
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kurul Kararı 2019/353 — dernek, vakıf ve sendikaların Sicile kayıt istisnasının kapsamı
- Kurul Kararı 2020/471 — Türkiye'de temsilciliği bulunan yabancı bankanın veri sorumlusu sıfatı ve Sicile kayıt yükümlülüğü
- Kurul Kararı 2020/542 — irtibat kişisi atanması ve 7 günlük güncelleme süresi
- 313 Kurul karar özeti — açık veri seti (JSON/CSV, CC BY 4.0)
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Belirsizliği bitirin: KVKK Otomat sihirbazı ölçütleri sorar, durumunuzu özetler ve gereken belge setini üretir. Genel çerçeve: KVKK Uyum Rehberi. Kapsamda olduğunuz çıktıysa ve vaktiniz yoksa uyum dosyasını biz hazırlayalım.
