VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), KVKK kapsamında belirli eşikleri aşan veri sorumlularının kayıt olmakla yükümlü olduğu, Kişisel Verileri Koruma Kurumu tarafından tutulan kamuya açık bir sicildir. Doğru bir VERBİS kaydı sağlam bir veri envanterine dayanır; bu ikisi birbirinden ayrılamaz. Bu rehberde kimlerin kayıt olması gerektiğini, envanterin nasıl kurulacağını, kaydın adım adım nasıl yapılacağını ve nasıl güncel tutulacağını ele alıyoruz.
VERBİS Nedir ve Neden Önemli?
VERBİS kaydı bir uyum "formalitesi" değildir. Kaydınızda beyan ettiğiniz işleme amaçları, veri kategorileri, saklama süreleri ve aktarımlar; Kurul denetiminde ilk bakılan belgelerden biridir. Beyanlarınızla fiili uygulamanız çelişirse, bu tek başına bir yaptırım sebebi olabilir.
Ayrıca VERBİS kamuya açıktır: iş ortaklarınız, müşterileriniz ve rakipleriniz kaydınızı görüntüleyebilir. Eksik veya özensiz bir kayıt, yalnızca hukuki değil itibari bir risk de yaratır. Bu yüzden VERBİS'i "bir kez doldurup unutulacak bir form" değil, uyum programınızın vitrini olarak görün.
Kimler Kayıt Olmak Zorunda?
Genel kural olarak aşağıdaki veri sorumluları VERBİS'e kayıt olmakla yükümlüdür:
- Yıllık çalışan sayısı 50'den fazla olanlar,
- Yıllık mali bilanço toplamı belirlenen eşiği aşanlar,
- Ana faaliyeti özel nitelikli kişisel veri işlemek olanlar (çalışan sayısına bakılmaksızın),
- Yurt dışında yerleşik veri sorumluları.
Kurul, bazı veri sorumlularını kayıttan istisna tutmuştur; örneğin belirli meslek grupları ile dernek, vakıf ve sendikaların yalnızca kendi çalışanlarına ve üyelerine yönelik işlemeleri. Ancak istisnalar dar yorumlanır. "Biz küçüğüz, kapsamda değiliz" varsayımı en sık yapılan hatalardan biridir; kendi durumunuzu somut kriterlerle değerlendirmeden karar vermeyin.
Önce Veri Envanteri: Kaydın Temeli
VERBİS'e girmeden önce bir kişisel veri işleme envanteri hazırlamalısınız. Envanter, kaydın ham maddesidir ve aşağıdaki soruların yanıtını verir:
| Alan | Ne cevaplar? |
|---|---|
| Veri sahibi grubu | Kimlerin verisi? (çalışan, müşteri, ziyaretçi…) |
| İşleme amacı | Neden işliyoruz? |
| Hukuki sebep | Hangi maddeye dayanıyoruz? |
| Saklama süresi | Ne kadar süre saklıyoruz? |
| Aktarım | Kime/nereye aktarıyoruz? (yurt içi/yurt dışı) |
| Güvenlik tedbiri | Hangi teknik/idari önlemler var? |
Envanteri masabaşında "olması gerekenle" değil, sahadaki gerçek süreçlerle doldurun. İK, pazarlama, satış, bilgi işlem ve müşteri hizmetleri gibi departmanlarla tek tek görüşmek, gerçek veri akışlarını ortaya çıkarır. Çoğu şirket, bu görüşmelerde farkında olmadığı işleme faaliyetleri ve aktarımlarla karşılaşır.
Adım Adım VERBİS Kaydı
- Kapsam değerlendirmesi yapın: Eşikleri ve istisnaları kendi durumunuza göre değerlendirin. Şüphedeyseniz kayıt lehine yorumlayın.
- Veri envanterini tamamlayın: Departman departman gerçek süreçleri haritalayın; her işleme için amaç ve hukuki sebebi netleştirin.
- İrtibat kişisi belirleyin: VERBİS ve Kurul ile iletişimi yürütecek kişiyi atayın. Bu kişi bir "DPO" değildir; asıl işlevi iletişimdir.
- Kayıt oluşturun: İşleme amaçları, veri kategorileri, alıcı grupları, saklama süreleri ve aktarımları beyan edin.
- Beyanları uygulamayla eşitleyin: Kayıttaki her kalem fiili uygulamanızla birebir tutarlı olmalı; envanter ile VERBİS arasında sapma bırakmayın.
- Süresi içinde tamamlayın: Kayıt yükümlülüğünün doğduğu tarihe göre süreleri kaçırmayın.
Örnek Senaryo: 60 Çalışanlı Bir E-ticaret Şirketi
Diyelim ki 60 çalışanı olan bir e-ticaret şirketisiniz. Çalışan sayısı 50'yi aştığı için kapsamdasınız. Envanter çalışmasında şunları keşfedersiniz: müşteri sipariş verileri bir yurt dışı bulut sağlayıcıda tutuluyor (yurt dışı aktarım), pazarlama ekibi bir e-posta aracıyla bülten gönderiyor (veri işleyen + muhtemel aktarım) ve İK, adaylara ait özgeçmişleri süresiz saklıyor (saklama süresi ihlali riski). VERBİS kaydınız bu üç kalemi de doğru yansıtmalı; aksi hâlde beyan-uygulama çelişkisi doğar.
Kaydı Güncel Tutmak
VERBİS tek seferlik bir iş değildir. Yeni bir işleme faaliyeti başlattığınızda, yeni bir aktarım eklediğinizde veya saklama sürelerini değiştirdiğinizde kaydı güncellemeniz gerekir. Bunu sürdürülebilir kılmanın yolu, envanteri canlı bir belge olarak tutmak ve güncellemeyi tetikleyen olayları (yeni yazılım, yeni tedarikçi, yeni ürün) önceden tanımlamaktır.
Sık Yapılan Hatalar
- Envanteri gerçek süreçlerle değil, "olması gerekenle" doldurmak.
- Saklama sürelerini belirsiz ("gerektiği kadar") bırakmak.
- Yurt dışı aktarımları (özellikle bulut/SaaS) beyan etmemek.
- Kaydı bir kez yapıp bir daha güncellememek.
- İrtibat kişisini DPO zannedip yanlış yetki/sorumluluk yüklemek.
- Grup şirketleri arası veri paylaşımını "iç işlem" sanıp aktarım olarak değerlendirmemek.
Kontrol Listesi
- Kapsam ve istisna değerlendirmesi yapıldı.
- Departman bazında veri envanteri tamamlandı.
- Her işleme için hukuki sebep belgelendi.
- Saklama süreleri tanımlandı ve gerekçelendirildi.
- Yurt içi/yurt dışı aktarımlar listelendi.
- Teknik ve idari güvenlik tedbirleri yazıldı.
- İrtibat kişisi atandı.
- VERBİS kaydı oluşturuldu ve uygulamayla eşitlendi.
- Güncelleme süreci (tetikleyiciler + sorumlu) tanımlandı.
- Envanter ile kayıt arasındaki tutarlılık periyodik olarak denetleniyor.
Sık Sorulan Sorular
50'den az çalışanımız var, kesinlikle muaf mıyız?
Hayır. Mali bilanço eşiği veya ana faaliyetin özel nitelikli veri işlemesi gibi kriterler nedeniyle yine kapsama girebilirsiniz. Çalışan sayısı tek ölçüt değildir.
VERBİS kaydı olmadan KVKK'ya uyabilir miyiz?
KVKK yükümlülükleri (aydınlatma, güvenlik, açık rıza vb.) VERBİS'ten bağımsız olarak devam eder. Ancak kayıt kapsamındaysanız, kayıt da zorunludur; biri diğerinin yerine geçmez.
İrtibat kişisi ile DPO aynı mı?
Hayır. İrtibat kişisi esas olarak iletişim içindir; GDPR'daki bağımsız DPO rolüyle aynı yetki ve sorumlulukları taşımaz.
Envanteri ne sıklıkla güncellemeliyim?
Sabit bir takvimden çok, tetikleyici olaylara göre güncelleyin: yeni bir sistem, tedarikçi, ürün veya aktarım eklendiğinde. Ayrıca yılda en az bir kez bütünsel gözden geçirme yapın.
Bu içerik yalnızca genel bilgilendirme amaçlıdır ve hukuki tavsiye niteliği taşımaz. JUS. ile veri envanterinizi tek platformda oluşturabilir ve VERBİS beyanlarınızla eşitleyebilirsiniz — demo talep edin.