VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), Kişisel Verileri Koruma Kurumu'nun tuttuğu kamuya açık sicildir. Kayıt yükümlüsü işletmeler, hangi verileri işlediklerini burada beyan eder.
Kayıt işleminin kendisi kısadır; asıl iş öncesindeki hazırlıktır. Bu rehber ikisini de anlatıyor.
Önemli: Genel bilgilendirmedir, hukuki danışmanlık değildir. Yükümlülüğünüzü ve güncel usulü Kurum'un resmî duyurularından teyit edin.
Kısa cevap: süreç nasıl işler?
- Yükümlü olup olmadığınızı belirleyin
- Kayıt için gereken bilgileri hazırlayın (envanter tabanlı)
- Sisteme veri sorumlusu olarak kaydolun, irtibat kişisi atayın
- Bildirim formunu doldurup beyanı tamamlayın
- Değişiklikleri 30 gün içinde güncelleyin
1. Yükümlü müsünüz?
Kayıt yükümlülüğü herkes için değildir. Şu üçünden herhangi birini karşılıyorsanız kaydolmanız gerekir:
| Ölçüt | Eşik |
|---|---|
| Yıllık çalışan sayısı | 50'den fazla |
| Yıllık mali bilanço toplamı | 100 milyon TL'den fazla |
| Ana faaliyeti özel nitelikli veri işlemek | Eşik aranmaz |
Özel nitelikli veri işleyenler (klinik, laboratuvar, psikolog ofisi, iş sağlığı hizmeti verenler) için çalışan sayısı düşük olsa da yükümlülük doğar. Bazı gruplar Kurul kararlarıyla istisna tutulmuştur.
Kayıt yükümlüsü olup da kaydolmamanın 2026 cezası 341.809 TL – 17.092.242 TL aralığındadır; geç kayıt de aynı kalem altında değerlendirilir.
Ayrıntılı ölçüt açıklaması: KVKK hangi şirketler için zorunlu.
Kayıt yükümlüsü olmamak, KVKK'dan muaf olmak anlamına gelmez: aydınlatma, güvenlik ve saklama yükümlülükleri herkes için geçerlidir.
2. Kayıt öncesi hazırlık listesi
Sistem sizden hazırda bilgi ister. Bunları önceden çıkarmazsanız kayıt yarım kalır:
- Veri sorumlusu bilgileri: unvan, MERSİS/vergi numarası, adres, iletişim
- İrtibat kişisi (gerçek kişi; yasal temsilci değil, iletişim noktası)
- Kişisel veri kategorileri (kimlik, iletişim, finans, özlük, sağlık…)
- İlgili kişi grupları (müşteri, çalışan, aday, tedarikçi…)
- İşleme amaçları
- Alıcı/alıcı grupları (muhasebe, bulut sağlayıcı, kamu kurumları…)
- Yurt dışına aktarım var mı?
- Saklama süreleri
- Alınan teknik ve idari tedbirler
Bu listenin tamamı aslında envanterinizin özetidir. Envanteriniz yoksa önce onu çıkarın: envanter rehberi.
3. Kayıt adımları
- verbis.kvkk.gov.tr üzerinden veri sorumlusu yönetici girişi oluşturun.
- Sistem tarafından iletilen kullanıcı bilgileriyle giriş yapın.
- İrtibat kişisini tanımlayın (e-Devlet ile doğrulama istenir).
- Bildirim formunu doldurun: veri kategorileri, ilgili kişi grupları, amaçlar, alıcılar, saklama süreleri, tedbirler.
- Beyanı kaydedin. Sicil kaydınız kamuya açık olarak görüntülenebilir hâle gelir.
Bildirim formunda tam olarak ne isteniyor?
Kayıt ekranını ilk kez açanların çoğu burada takılıyor: sistem serbest metin değil, seçim listesi üzerinden beyan ister. Yani envanterinizdeki ifadeleri sistemin kategorilerine eşlemeniz gerekir.
| Sistemin istediği | Ne yazacaksınız | Nereden gelir |
|---|---|---|
| Veri kategorileri | Kimlik, iletişim, özlük, finans, hukuki işlem, işlem güvenliği, görsel/işitsel kayıt, sağlık (özel nitelikli)… | Envanterin "veri kategorileri" sütunu |
| İlgili kişi grupları | Müşteri, potansiyel müşteri, çalışan, aday, tedarikçi, ziyaretçi, öğrenci… | Envanterin "ilgili kişi grubu" sütunu |
| İşleme amaçları | Sözleşme süreçlerinin yürütülmesi, mal/hizmet satış süreçleri, finans ve muhasebe, çalışan özlük işlemleri, fiziksel mekân güvenliği… | Envanterin "amaç" sütunu |
| Alıcı grupları | Yetkili kamu kurumları, tedarikçiler, iş ortakları, hissedarlar… | Envanterin "aktarım" sütunu |
| Yurt dışına aktarım | Aktarılan ülke ve veri kategorileri | Bulut/e-posta/analitik araçlarınız |
| Saklama süreleri | Her veri kategorisi için ayrı süre | Envanterin "saklama süresi" sütunu |
| Teknik ve idari tedbirler | Yetkilendirme, log tutma, şifreleme, yedekleme, eğitim, gizlilik taahhütnamesi… | Fiilen uyguladıklarınız |
Son satır en kritiği: uygulamadığınız tedbiri işaretlemeyin. Sicil kaydı kamuya açıktır ve beyanınız, bir ihlal incelemesinde ilk bakılacak belgedir. "Şifreleme yapıyoruz" diye beyan edip yapmıyorsanız, beyan sizi korumaz — aksine tespiti kolaylaştırır.
İrtibat kişisi: en çok karıştırılan başlık
- İrtibat kişisi gerçek kişidir ve Türkiye'de yerleşik olmalıdır.
- Yasal temsilci veya veri sorumlusu değildir; sorumluluğu devretmez, yalnızca iletişim noktasıdır.
- Kurum'un bildirimleri ve ilgili kişi başvuruları bu kişi üzerinden akar; kullanılmayan bir e-posta adresine bağlamak, süreleri kaçırmanın en kolay yoludur.
- Kişi değiştiğinde güncelleme 30 gün içinde yapılmalıdır.
Kayıtla ilgili Kurul kararlarından iki not
Derlediğimiz 313 karar özetinde VERBİS'in doğrudan tartışıldığı 18 karar var. İkisi konuyu iyi özetliyor:
| Karar | Tarih | Konu | Ceza |
|---|---|---|---|
| 2023/1309 | 03.08.2023 | Kişisel verilerin hukuka aykırı olarak üçüncü kişilerle paylaşılması; sicil ve tedbir boyutunun birlikte değerlendirilmesi | 300.000 TL |
| 2020/429 | 28.05.2020 | Verilerin hukuka aykırı işlenmesi ve açıklanması | 125.000 TL |
Çıkan ders: VERBİS kaydı tek başına "uyumlu olmak" değildir. Sicil kaydı olan bir veri sorumlusu da, beyan ettiği tedbirleri fiilen uygulamıyorsa ceza alır. Kayıt bir beyan, uyum ise bir uygulamadır.
Kayıt sırasında en sık takılınan 6 nokta
- Envantersiz başlamak. Ekran açılınca "hangi kategoriler?" sorusuna canlı cevap üretmeye çalışmak, tutarsız beyan üretir.
- e-Devlet doğrulamasının hazır olmaması. İrtibat kişisinin e-Devlet erişimi olmadan süreç yarıda kalır.
- Yurt dışı aktarımı "yok" işaretlemek. Google Workspace, Microsoft 365, Meta/Google reklam araçları veya yurt dışı bulut kullanıyorsanız aktarım vardır (yurt dışına veri aktarımı).
- Kamera ve çalışan verilerini atlamak. Beyanın sadece müşteri süreçlerinden ibaret olması en sık eksikliktir.
- Saklama sürelerini "süresiz" veya boş bırakmak. Süresiz saklama Kanun'un ilkelerine aykırıdır.
- Beyanı bir daha açmamak. Yeni tedarikçi, yeni yazılım, adres değişikliği — hepsi 30 günlük güncelleme yükümlülüğü doğurur.
4. Kayıt sonrası: iş bitmiyor
- Değişiklik = 30 gün. Yeni bir veri kategorisi, yeni tedarikçi, adres değişikliği — hepsi güncelleme gerektirir.
- Envanteri canlı tutun. VERBİS beyanı envanterle çelişirse denetimde sorun çıkar.
- Periyodik imha: Saklama süresi dolan verileri altı aylık dönemlerde imha edin ve tutanaklayın.
- Yıllık gözden geçirme: Süreçler değişmemiş olsa bile beyanınızı yılda bir kez okuyun.
Sık yapılan hatalar
- Envanter olmadan kayıt yapmak — beyan tahmine dayanır, sonra tutmaz.
- İrtibat kişisini "unutulan bir e-posta"ya bağlamak — Kurum'un bildirimleri ulaşmaz.
- Kaydı yapıp bir daha bakmamak — güncelleme yükümlülüğü ihlal edilir.
- Yükümlü olmadığını varsaymak — ölçütleri hiç kontrol etmemek en pahalı hatadır (ceza tarafı).
Sık sorulan sorular
VERBİS kaydı ücretli mi?
Kayıt için Kurum'a ödenen bir ücret yoktur. Maliyet, hazırlık için harcanan zaman veya alınan destektir.
Kaydı muhasebecim yapabilir mi?
Teknik olarak yetkilendirdiğiniz kişi işlemi yapabilir; ancak beyanın doğruluğundan veri sorumlusu sorumludur. Envanteri sizin süreçlerinizi bilen biri hazırlamalıdır.
Şubelerim var, her biri ayrı mı kaydolur?
Kayıt tüzel kişilik bazındadır; şubeler ayrı tüzel kişilik değilse tek kayıt yeterlidir.
Yükümlü değilsem hiçbir şey yapmam gerekmiyor mu?
Yanlış. Aydınlatma metni, veri güvenliği tedbirleri, saklama ve imha politikası kayıt yükümlülüğünden bağımsız olarak gerekir. Bkz. KVKK Uyum Rehberi.
Kaynaklar
- VERBİS portalı
- Kişisel Verileri Koruma Kurumu
- 6698 sayılı Kişisel Verilerin Korunması Kanunu (tam metin)
- Kurul kararı 2023/1309 — karar özeti
- Kurul kararı 2020/429 — karar özeti
Bu yazıdaki bilgiler yukarıdaki resmî kaynaklara dayandırılarak hazırlanmıştır. Mevzuat ve Kurul kararları değişebilir; güncel metinler için kaynakları esas alın.
Hazırlığı hızlandırın: KVKK Otomat envanterinizi ve VERBİS hazırlık listenizi otomatik üretir; siz yalnızca beyanı girersiniz. VERBİS dahil tüm dosyayı sizin adınıza hazırlamamızı da isteyebilirsiniz.
