VERBİS nedir? Kayıt zorunluluğu ve kimler kayıt olmalı

KVKK uyumunun en somut ve en çok sorulan adımlarından biri VERBİS kaydıdır. Birçok kurum "VERBİS nedir, bize de zorunlu mu, nasıl kayıt olunur?" sorularıyla boğuşur. Veri Sorumluları Sicil Bilgi Sistemi anlamına gelen VERBİS, kişisel veri işleyen kurumların belirli koşullarda kaydolması gereken resmi bir sicildir. Bu yazı; VERBİS'in ne olduğunu, kimlerin kayıt olması gerektiğini ve sürecin mantığını bilgilendirici biçimde ele alır. İçerik bilgilendirme amaçlıdır.

VERBİS nedir?

VERBİS, "Veri Sorumluları Sicil Bilgi Sistemi"nin kısaltmasıdır. Kişisel Verileri Koruma Kurumu tarafından yürütülen, kişisel veri işleyen kurum ve kuruluşların (veri sorumlularının) belirli bilgilerini kaydettiği resmi ve kamuya açık bir sicildir. Kısaca VERBİS, "hangi kurum, hangi kişisel verileri, hangi amaçla işliyor?" sorusunun kayıt altına alındığı bir sistemdir.

VERBİS'e yapılan kayıt, verinin kendisini değil; veri işleme faaliyetine ilişkin genel bilgileri içerir. Yani sisteme çalışanların ya da müşterilerin kişisel verileri yüklenmez; işlenen veri kategorileri, işleme amaçları, saklama süreleri ve alınan güvenlik tedbirleri gibi üst düzey bilgiler bildirilir. Bu yönüyle VERBİS bir şeffaflık ve hesap verebilirlik aracıdır. Sicilin kamuya açık olması, bireylerin hangi kurumun ne tür veri işlediğini görebilmesini ve bu konuda bilinçli olmasını da sağlar; böylece veri koruma yalnızca kurumların değil, toplumun gözettiği bir konu haline gelir.

VERBİS ne işe yarar?

VERBİS'in temel amacı, kişisel veri işleyen kurumların bu faaliyetlerini şeffaf ve denetlenebilir kılmaktır. Sicil kamuya açık olduğu için, bireyler hangi kurumun ne tür veri işlediğini görebilir; bu da kurumları veri işleme faaliyetlerini düzenli ve bilinçli yürütmeye teşvik eder.

Kurum açısından VERBİS kaydı, KVKK uyumunun görünür bir parçasıdır. Kayıt sürecinde kurumun veri envanterini çıkarması, işleme amaçlarını ve güvenlik tedbirlerini netleştirmesi gerekir; bu da aslında kurumun kendi veri işleme düzenini gözden geçirmesini sağlar. Dolayısıyla VERBİS, sadece bir formalite değil; bir uyum disiplini aracıdır. Birçok kurum, VERBİS kaydını hazırlarken ilk kez hangi verileri neden sakladığını sistematik biçimde görür; bu da çoğu zaman gereksiz veri işleme alışkanlıklarının fark edilmesini sağlar.

VERBİS'e veri değil, veri işleme faaliyetinin bilgisi girilir; kayıt uyumun vitrini, arkasındaki gerçek düzen ise uyumun kendisidir.

Veri sorumlusu kimdir?

VERBİS'i anlamak için "veri sorumlusu" kavramını bilmek gerekir. Veri sorumlusu, kişisel verilerin işlenme amaçlarını ve yöntemlerini belirleyen; veri kayıt sisteminin kurulmasından ve yönetiminden sorumlu olan gerçek ya da tüzel kişidir. Pratikte çoğu zaman bu, verileri işleyen kurumun kendisidir.

Veri sorumlusu, verileri fiilen işleyen "veri işleyen"den farklıdır; veri işleyen, sorumlunun adına ve talimatıyla işlem yapan taraftır (örneğin bir bulut hizmeti sağlayıcısı). VERBİS kayıt yükümlülüğü esas olarak veri sorumlusuna aittir. Bu ayrımı doğru yapmak, yükümlülüğün kime düştüğünü anlamak için önemlidir. Çünkü bir kurum, hizmet aldığı sağlayıcının sorumluluğuna sığınarak kendi yükümlülüğünden kurtulamaz; verinin amacını belirleyen taraf olarak asıl sorumluluk kendisindedir.

Kimler VERBİS'e kayıt olmak zorunda?

VERBİS kayıt zorunluluğu herkesi aynı biçimde kapsamaz; belirli ölçütlere göre belirlenir. Genel olarak yıllık çalışan sayısı, mali bilanço büyüklüğü ve işlenen verinin niteliği (örneğin özel nitelikli veri işlenip işlenmediği) gibi kriterler, bir kurumun kayıt zorunluluğu olup olmadığını etkiler.

Bu kriterler ve istisnalar zaman içinde güncellenebildiği ve kurumdan kuruma değiştiği için, bir kurumun kayıt yükümlülüğü olup olmadığını kesin biçimde belirlemek uzmanlık gerektirir. Bu yüzden kayıt zorunluluğunuzu Kişisel Verileri Koruma Kurumu'nun güncel düzenlemelerinden ve bir uzmandan teyit etmeniz gerekir. Bu içerik genel bilgilendirme amaçlıdır.

VERBİS kaydı nasıl yapılır?

VERBİS kaydı, Kişisel Verileri Koruma Kurumu'nun resmi VERBİS sistemi üzerinden elektronik olarak yapılır. Süreç genellikle kurumun ve varsa irtibat kişisinin tanımlanması, ardından veri işleme faaliyetlerine ilişkin bilgilerin (veri kategorileri, amaçlar, aktarımlar, saklama süreleri, güvenlik tedbirleri) sisteme girilmesiyle ilerler.

Kaydın sağlıklı yapılabilmesi için öncesinde kurumun bir "kişisel veri işleme envanteri" hazırlamış olması büyük kolaylık sağlar; çünkü sisteme girilecek bilgilerin çoğu bu envanterden gelir. Kayıt işleminin kendisi resmi sistem üzerinden yapılır ve hiçbir üçüncü taraf yazılım bunu kurumun yerine gerçekleştiremez. Güncel adımlar için resmi kaynak esas alınmalıdır.

VERBİS ve KVKK uyumu

VERBİS kaydı, KVKK uyumunun tamamı değil; görünür bir parçasıdır. Kayıt tek başına uyumu sağlamaz; asıl önemli olan, kaydın arkasındaki gerçek uyum çalışmasıdır: veri envanteri, aydınlatma metinleri, açık rıza süreçleri, veri güvenliği tedbirleri ve çalışan farkındalığı. VERBİS, bu bütünün bir vitrinidir.

Dolayısıyla "VERBİS'e kaydolduk, uyum tamam" yaklaşımı yanıltıcıdır. Kayıt, bir başlangıç ve beyan niteliğindedir; kurumun beyan ettiği tedbirleri gerçekten uygulaması beklenir. Bir veri ihlali durumunda, VERBİS beyanı ile fiili durumun örtüşmesi önem kazanır.

VERBİS ve çalışan farkındalığı

KVKK uyumunun ve dolayısıyla VERBİS beyanının gerçeğe dönüşmesi, büyük ölçüde çalışanların farkındalığına bağlıdır. Çünkü kişisel verileri günlük işte fiilen işleyen, koruyan ya da yanlışlıkla riske atan kişiler çalışanlardır. En iyi politika bile, çalışanlar tarafından bilinmiyor ve uygulanmıyorsa kağıtta kalır.

Bu yüzden KVKK politikalarının, veri güvenliği kurallarının ve ihlal durumunda ne yapılacağının çalışanlara düzenli olarak iletilmesi gerekir. Bu iletişimin yapıldığının ve çalışanların bunu okuyup benimsediğinin kanıtlanması, hem uyumun bir parçası hem de olası bir denetimde değerli bir dayanaktır.

Yanlış anlaşılmalar

VERBİS konusunda birkaç yaygın yanılgı vardır. Birincisi, "VERBİS'e kişisel verilerimizi yüklüyoruz" sanısıdır; oysa sisteme veri değil, veri işleme faaliyetine ilişkin genel bilgiler girilir. İkincisi, "her kurum kaydolmak zorunda" düşüncesidir; oysa zorunluluk belirli kriterlere bağlıdır ve istisnalar vardır.

Üçüncü ve en riskli yanılgı, VERBİS kaydını KVKK uyumunun tamamı sanmaktır. Kayıt önemli bir adımdır ama tek başına yeterli değildir; arkasında gerçek bir veri koruma düzeni olmalıdır. Bu yanılgıları gidermenin yolu, konuyu doğru kaynaklardan öğrenmek ve gerektiğinde uzman desteği almaktır. Bu içerik bilgilendirme amaçlıdır.

KVKK iletişimini güçlendirmek

VERBİS kaydı ve KVKK uyumu, teknik ve hukuki bir çerçeve kadar, bir iç iletişim ve farkındalık meselesidir. Politikaların duyurulması, veri güvenliği kurallarının hatırlatılması, çalışan farkındalık eğitimlerinin takibi ve bunların kanıtlanması; uyumu kağıttan gerçeğe taşıyan unsurlardır.

Xanons, KVKK uyumunun iletişim ayağını güçlendirir: politika ve aydınlatma metni onayları için imzalı okundu kaydı, veri güvenliği farkındalık duyuruları ve eğitim takibi — tek panelden. Platform VERBİS kaydını sizin yerinize yapmaz ve hukuki uyumu sağlamaz; ama uyum iletişiminin herkese ulaştığını ve belgelendiğini görünür kılar. Daha fazlası için İK ve Uyum İletişimi Rehberi. İçerik bilgilendirme amaçlıdır.

Sık sorulan sorular

VERBİS nedir? Veri Sorumluları Sicil Bilgi Sistemi'nin kısaltmasıdır. Kişisel Verileri Koruma Kurumu tarafından yürütülen, kişisel veri işleyen kurumların veri işleme faaliyetlerine ilişkin bilgileri kaydettiği resmi ve kamuya açık sicildir.

VERBİS'e ne kaydedilir? Kişisel verilerin kendisi değil; işlenen veri kategorileri, işleme amaçları, aktarımlar, saklama süreleri ve alınan güvenlik tedbirleri gibi genel bilgiler kaydedilir. VERBİS bir şeffaflık ve hesap verebilirlik aracıdır.

Kimler VERBİS'e kayıt olmak zorunda? Zorunluluk; yıllık çalışan sayısı, mali bilanço büyüklüğü ve özel nitelikli veri işlenip işlenmediği gibi kriterlere bağlıdır. Kriterler ve istisnalar güncellenebildiğinden, yükümlülüğünüzü KVKK Kurumu'nun güncel düzenlemelerinden ve bir uzmandan teyit edin.

VERBİS kaydı nasıl yapılır? Kişisel Verileri Koruma Kurumu'nun resmi VERBİS sistemi üzerinden elektronik olarak yapılır; kurum ve irtibat kişisi tanımlanır, ardından veri işleme bilgileri girilir. Öncesinde bir veri işleme envanteri hazırlamak süreci kolaylaştırır.

VERBİS kaydı KVKK uyumu için yeterli mi? Hayır. VERBİS kaydı uyumun görünür bir parçasıdır ama tamamı değildir. Arkasında gerçek bir veri koruma düzeni — envanter, aydınlatma, güvenlik tedbirleri, çalışan farkındalığı — olmalıdır. Bu içerik bilgilendirme amaçlıdır.

Veri sorumlusu ile veri işleyen farkı nedir? Veri sorumlusu, verilerin işlenme amaç ve yöntemlerini belirleyen taraftır; veri işleyen ise sorumlunun adına ve talimatıyla işlem yapan taraftır (örneğin bir hizmet sağlayıcı). VERBİS yükümlülüğü esas olarak veri sorumlusuna aittir.

VERBİS'e veri yükleniyor mu? Hayır. Sisteme çalışanların ya da müşterilerin kişisel verileri yüklenmez; yalnızca işlenen veri kategorileri, amaçlar, aktarımlar, saklama süreleri ve güvenlik tedbirleri gibi genel bilgiler girilir. VERBİS bir veri deposu değil, bir faaliyet sicilidir.

VERBİS kaydı yoksa ceza var mı? Kayıt zorunluluğu olduğu halde kaydolmayan veri sorumluları için KVKK kapsamında idari para cezası öngörülebilir. Ancak kimin zorunlu olduğu ve güncel ceza tutarları belirli kriterlere ve yıllara göre değişir; bu nedenle yükümlülüğünüzü ve güncel durumu KVKK Kurumu'nun resmi düzenlemelerinden ve bir uzmandan teyit edin. Bu içerik bilgilendirme amaçlıdır.