Veri Sorumluları Sicili (VERBİS) Kaydı: Kimler Yükümlü, Cezalar Neler?
Kişisel veri işleyen işletmeler için VERBİS kaydı, KVKK uyumunun en somut ve denetlenebilir göstergelerinden biridir. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 16. maddesi kapsamında kurulan Veri Sorumluları Sicili (VERBİS), veri sorumlularının işledikleri veri kategorilerini ve süreçlerini beyan ettikleri kamuya açık bir sicildir. Kayıt yükümlülüğüne aykırılık, milyonlarca liraya ulaşan idari para cezası riski doğurur.
📚 KVKK Rehberi (Ana Rehber) — kişisel veriler alanındaki tüm rehberler, konu gruplarına ayrılmış hâlde.
VERBİS Nedir?
VERBİS, kişisel veri işleyen gerçek ve tüzel kişilerin, bu faaliyetlerini kategorik bazda beyan ettikleri bir kayıt sistemidir. Önemli bir ayrım olarak, VERBİS bir veri depolama alanı değildir; sisteme kişilerin doğrudan kimlik bilgileri girilmez, yalnızca hangi veri kategorilerinin hangi amaçla işlendiği, kimlere aktarıldığı ve saklama süreleri gibi üst düzey bilgiler beyan edilir.
Kimler Kayıt Olmak Zorunda?
VERBİS kayıt yükümlülüğü belirli ölçütlere bağlıdır. Güncel düzenlemeler çerçevesinde başlıca yükümlü gruplar şunlardır:
- Yıllık çalışan sayısı belirlenen eşiğin üzerinde olan veri sorumluları,
- Yıllık mali bilanço toplamı belirlenen tutarı aşan veri sorumluları,
- Ana faaliyet konusu özel nitelikli kişisel veri (sağlık, biyometrik, genetik veriler gibi) işlemek olan belirli gruplar,
- Yurt dışında yerleşik olup Türkiye’deki kişilerin verilerini işleyen veri sorumluları.
Eşik değerler her yıl güncellenmekte olup, daha önce muaf olan birçok orta ölçekli işletme kapsama girebilmektedir.
Veri Envanteri: Kaydın Temeli
VERBİS kaydının sağlıklı yapılabilmesi, öncelikle bir kişisel veri işleme envanterinin hazırlanmasına bağlıdır. Envanter; hangi verilerin, hangi amaçla, hangi hukuki sebeple işlendiğini, kimlere aktarıldığını ve ne kadar süreyle saklandığını ortaya koyar. Envanter hazırlanmadan yapılan beyanlar genellikle eksik veya gerçeğe aykırı olur ve bu da ayrı bir risk yaratır.
Güncelleme Yükümlülüğü
VERBİS yaşayan bir dokümandır. Veri işleme faaliyetlerinde meydana gelen değişikliklerin, kanunda öngörülen süre içinde sisteme yansıtılması gerekir. İrtibat kişisi değişikliği, yeni veri kategorilerinin işlenmeye başlanması veya güvenlik tedbirlerinde önemli değişiklikler gibi durumlar güncelleme gerektirir.
2026 Yılı İdari Para Cezaları
VERBİS kayıt ve bildirim yükümlülüğüne aykırılık hâlinde uygulanan idari para cezaları, her yıl yeniden değerleme oranıyla artmaktadır. 2026 yılı için bu ceza, alt ve üst sınırları milyonlarca lirayı bulan geniş bir bant aralığında belirlenmiştir. Kurul, ceza miktarını belirlerken ihlalin süresi, tekrarı ve veri sorumlusunun büyüklüğü gibi kriterleri değerlendirir. Ayrıca, hiç kayıt yapmamak ile eksik veya gerçeğe aykırı kayıt yapmak farklı riskler doğurmakla birlikte her ikisi de yaptırıma konu olabilir.
Danışmanlık Hizmetlerimiz
Hukukçular Evi Ankara olarak, işletmelerin VERBİS kayıt yükümlülüğü kapsamında olup olmadığının değerlendirilmesi, kişisel veri işleme envanterinin hazırlanması, VERBİS kaydının ve güncellemelerinin yapılması ile genel KVKK uyum süreçlerinde destek sunuyoruz.
VERBİS kaydınız envanterinizle tutarlı mı?
Av. Fatma Öztürk — Hukukçular Evi Ankara
Kayıt Bir Form Değil, Envanterin Aynasıdır
VERBİS kaydı uygulamada çoğu zaman “doldurulup geçilen bir form” olarak görülür. Oysa kayıt, kişisel veri işleme envanterinin dışa vurumudur. Denetimde bakılan şey kaydın varlığı değil, kayıt ile envanterin ve fiilî uygulamanın birbirini tutup tutmadığıdır.
Tutarsızlığın en sık görüldüğü noktalar:
- Kayıtta beyan edilmemiş bir veri kategorisinin fiilen işleniyor olması (örneğin sağlık verisi veya biyometrik veri)
- Kayıtta gösterilmeyen bir alıcı grubuna aktarım yapılması
- Beyan edilen saklama süresinin gerçekte uygulanan süreyle örtüşmemesi
- Yurt dışına aktarım yapıldığı hâlde kayıtta bunun görünmemesi
Bu tutarsızlıklar tek başına aykırılık oluşturmakla kalmaz; bir veri ihlali incelemesinde de aleyhe delil hâline gelir. Çünkü “hangi veriyi işlediğini bilmeyen” bir veri sorumlusunun teknik ve idari tedbirleri yeterli sayılması güçtür.
İrtibat Kişisi: Unvan Değil, İşleyen Bir Mekanizma
Kayıt sırasında belirlenen irtibat kişisi, Kurum ile veri sorumlusu arasındaki iletişimi sağlayan kişidir. Uygulamada iki hata sık görülür.
Birincisi: irtibat kişisinin veri sorumlusunun temsilcisi sanılması. İrtibat kişisi, veri sorumlusu adına karar veren veya sorumluluğu üstlenen kişi değildir; iletişim noktasıdır. Sorumluluk veri sorumlusunda kalır.
İkincisi: irtibat kişisinin işten ayrılması hâlinde kaydın güncellenmemesi. Kuruma yapılan bildirimler bu kişinin iletişim bilgilerine gider. Ulaşılamayan bir irtibat kişisi, süresi içinde cevap verilmemiş bir yazışma ve buradan doğan ayrı bir aykırılık demektir.
Pratik öneri: irtibat kişisi bilgilerinin güncelliği, İK çıkış süreçlerine bir kontrol maddesi olarak eklenmelidir.
Değişiklik Oldu — Ne Zamana Kadar Güncellemeliyim?
VERBİS kaydı statik bir belge değildir. Kayda esas bilgilerde değişiklik olduğunda kaydın güncellenmesi zorunludur. Güncelleme gerektiren tipik durumlar:
- Yeni bir veri kategorisi işlenmeye başlanması
- Yeni bir alıcı grubuna aktarım yapılması veya yurt dışı aktarımın başlaması
- Saklama sürelerinin değişmesi
- İrtibat kişisinin veya iletişim bilgilerinin değişmesi
- Unvan, adres veya faaliyet konusu değişikliği
Uygulamada en çok gözden kaçan tetikleyici, yeni bir yazılım veya hizmet sağlayıcısına geçiştir. Yeni bir CRM, bordro yazılımı veya bulut hizmeti, çoğu zaman yeni bir aktarım ilişkisi doğurur ve kaydın güncellenmesini gerektirir. Bkz. Veri İhlali Danışmanlığı ve Şirketler İçin KVKK Uyumu.
Güncelleme yükümlülüğünün ihmali, kaydın hiç yapılmamış olmasıyla benzer sonuçlar doğurabilir: mevcut ama gerçeği yansıtmayan bir kayıt, denetimde koruma sağlamaz.
Kaydınızı ve envanterinizi birlikte gözden geçirelim.
Av. Fatma Öztürk — Hukukçular Evi Ankara
Sıkça Sorulan Sorular
VERBİS kaydı yapmak yeterli mi?
Hayır. Denetimde bakılan şey kaydın varlığı değil, kayıt ile kişisel veri işleme envanterinin ve fiilî uygulamanın birbirini tutup tutmadığıdır. Beyan edilmeyen bir veri kategorisinin işlenmesi veya gösterilmeyen bir alıcıya aktarım yapılması aykırılık oluşturur.
İrtibat kişisi veri sorumlusunun temsilcisi midir?
Hayır. İrtibat kişisi, Kurum ile veri sorumlusu arasındaki iletişimi sağlayan kişidir; veri sorumlusu adına karar veren veya sorumluluğu üstlenen kişi değildir. Sorumluluk veri sorumlusunda kalır.
İrtibat kişimiz işten ayrıldı, ne yapmalıyız?
Kaydın derhal güncellenmesi gerekir. Kuruma yapılan bildirimler irtibat kişisinin iletişim bilgilerine gider; ulaşılamayan bir irtibat kişisi, süresinde cevaplanmamış yazışma ve buradan doğan ayrı bir aykırılık anlamına gelir.
Hangi değişikliklerde kaydı güncellemeliyim?
Yeni veri kategorisi işlenmeye başlanması, yeni alıcı grubuna veya yurt dışına aktarım, saklama sürelerinin değişmesi, irtibat kişisi ve iletişim bilgisi değişikliği ile unvan, adres veya faaliyet konusu değişikliği güncelleme gerektirir.
Yeni bir yazılıma geçtik, kaydı etkiler mi?
Büyük ihtimalle evet. Yeni bir CRM, bordro yazılımı veya bulut hizmeti çoğu zaman yeni bir aktarım ilişkisi doğurur. Bu durumda alıcı grupları ve gerekiyorsa yurt dışı aktarım bilgisi güncellenmelidir.
Kaydım var ama güncel değil, risk nedir?
Mevcut ama gerçeği yansıtmayan bir kayıt denetimde koruma sağlamaz. Güncelleme yükümlülüğünün ihmali, kaydın hiç yapılmamış olmasına benzer sonuçlar doğurabilir ve veri ihlali incelemesinde aleyhe delil oluşturur.