1. Giriş

VERBİS kayıt zorunluluğu, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 07.10.2016 tarihinde yürürlüğe giren 16. maddesi ile öngörülen bir yükümlülüktür. Bu yükümlülük gereğince, kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce VERBİS’e kaydolmak zorundadır. (KVKK m. 16/2)

Kişisel verilerin işlenmesi, kişisel verilerin tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla elde edilmesi, kaydedilmesi, depolanması, muhafaza edilmesi, değiştirilmesi, yeniden düzenlenmesi, açıklanması, aktarılması, devralınması, elde edilebilir hâle getirilmesi, sınıflandırılması ya da kullanılmasının engellenmesi gibi veriler üzerinde gerçekleştirilen her türlü işlemi; veri sorumlusu ise, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade etmektedir. 

01.01.2018 tarihinde yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmelik’in (Yönetmelik) 4. maddesinin birinci fıkrasının o bendine göre, VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), veri sorumlularının Veri Sorumluları Siciline (Sicil) başvuruda ve Sicile ilişkin ilgili diğer işlemlerde kullanacakları, internet üzerinden erişilebilen bir bilişim sistemidir. Bu sistem, Kişisel Verileri Koruma Kurumu Başkanlığı tarafından oluşturulmuş ve yönetilmektedir.

Aslında VERBİS kayıt zorunluluğu ile kast edilen, Veri Sorumluları Siciline kayıt zorunluluğudur. VERBİS, Veri Sorumluları Siciline ilişkin bir bilişim sistemi olup Sicile başvuruda ve diğer ilgili işlemlerde VERBİS kullanılmaktadır. Başka bir deyişle, tüm bu işlemler VERBİS üzerinden gerçekleştirilmektedir. Uygulamada “Veri Sorumluları Sicili” kavramı yerine çoğunlukla “VERBİS” kullanıldığından bu yazıda da “VERBİS” kullanımı tercih edilecektir. 

2. VERBİS Kayıt Zorunluluğu Kimleri Kapsar?

A. VERBİS Kayıt Zorunluluğu

Kural olarak, tüm veri sorumluluları, veri işlemeye başlamadan önce VERBİS’e kaydolmak zorundadır. (KVKK m. 16/2) Veri sorumlusunun gerçek veya tüzel kişi olması önemli değildir. 

Örneğin, bir diyetisyen olarak danışanlarınızın kişisel verilerini topluyor ve işliyorsanız, gerçek kişi veri sorumlusu olarak VERBİS’e kaydolmanız gerekmektedir. Aynı şekilde, bir diyetisyenlik merkezi, hastalarının kişisel verilerini işliyorsa, tüzel kişi veri sorumlusu olarak VERBİS’e kayıt yaptırmak zorundadır. 

Türkiye’de yerleşik olmayan veri sorumluları da veri işlemeye başlamadan önce VERBİS’e kaydolmakla yükümlüdür. Türkiye’de yerleşik olmayan veri sorumluları, veri sorumlusu temsilcisi marifetiyle Sicile kaydolur. (Yönetmelik m. 5/1-b)

Veri sorumlularının Sicile kaydolması, KVKK kapsamındaki diğer yükümlülüklerini ortadan kaldırmaz. (Yönetmelik m. 5/1-e)

Örneğin, bir diyetisyen, danışanlarının kişisel verilerini işlemek amacıyla VERBİS’e kaydolmuş olsa bile, bu durum diyetisyenin verilerin işlenmesi sırasında veri güvenliğini sağlama yükümlülüğünü ortadan kaldırmaz. Yani, diyetisyen, kişisel verilerin hukuka uygun şekilde işlenmesi, gerektiğinde silinmesi veya anonim hale getirilmesi gibi yükümlülüklerini yerine getirmeye devam etmek zorundadır.

VERBİS’e kayıt, KVKK uyum sürecinde aşamalardan yalnızca bir tanesidir. KVKK uyum sürecini tamamlamak isteyen veri sorumlularının, KVKK mevzuatı kapsamındaki diğer yükümlülüklerini de eksiksiz bir şekilde yerine getirmeleri gerekmektedir. Bu kapsamda, kişisel verilerin işlenmesi, saklanması, aktarılması ve imhası gibi süreçlerde uyulması gereken çeşitli yükümlülükler bulunmaktadır. Bu nedenle, veri sorumlularının KVKK uyum sürecini etkin ve doğru bir şekilde tamamlayabilmeleri için hukuki danışmanlık hizmeti almaları büyük önem arz etmektedir. Zira, KVKK uyum sürecindeki eksiklikler, ağır idari yaptırımlar ve hukuki sorumluluklarla karşı karşıya kalınmasına yol açabilir.

B. VERBİS Kayıt Zorunluluğunun İstisnaları

VERBİS kayıt zorunluluğuna ilişkin kural mutlak nitelikte değildir. KVKK’nın 16. maddesinin ikinci fıkrasının ikinci cümlesine göre, işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi Kişisel Verileri Koruma Kurulunca (Kurul) belirlenecek objektif kriterler göz önüne alınmak suretiyle Kurul tarafından VERBİS kayıt zorunluluğuna istisna getirilebilir. 

Yönetmelik’in 16. maddesinin birinci fıkrası ile Kurulun aşağıdaki kriterleri göz önünde bulundurarak kayıt yükümlülüğüne istisna getirebileceği öngörülmüştür. Bu kriterler şunlardır:

  • Kişisel verinin niteliği.
  • Kişisel verinin sayısı.
  • Kişisel verinin işlenme amacı.
  • Kişisel verinin işlendiği faaliyet alanı.
  • Kişisel verinin üçüncü kişilere aktarılma durumu.
  • Kişisel veri işleme faaliyetinin kanunlardan kaynaklanması.
  • Kişisel verilerin muhafaza edilmesi süresi.
  • Veri konusu kişi grubu veya veri kategorileri.
  • Veri sorumlusunun yıllık çalışan sayısı veya yıllık mali bilanço toplamı bilgisi.

Yukarıda zikredilen maddenin ikinci fıkrasına göre, Kurul, yukarıda sayılan kriterler çerçevesinde belirlenen istisnaların kapsamı ile uygulama usul ve esaslarını belirlemek amacıyla karar alma yetkisine sahiptir. Kurul, bu kararlarını uygun yöntemlerle yayımlayarak kamuya duyurur. 

Kurul tarafından farklı tarihlerde alınan kararlarla, birçok veri sorumlusu VERBİS kayıt zorunluluğundan istisna tutulmuştur. Kurulun aldığı kararların tamamına, VERBİS’e Kayıt Zorunluluğuna İstisna Getirilmiş Veri Sorumluları başlıklı yazımızdan ulaşabilirsiniz. 

VERBİS kayıt zorunluluğuna istisna getirilmiş veri sorumluları şunlardır:

  • Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler.
  • 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler.
  • Yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen Türkiye’de yerleşik dernek, vakıf ve sendikalardan kendisine bağlı herhangi bir iktisadi işletmesi bulunmayanlar.
  • 2820 sayılı Siyasi Partiler Kanunu’na göre kurulmuş siyasi partiler.
  • 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar.
  • 3568 sayılı Serbest Muhasebeci Mali Müşavirlik ve Yeminli Mali Müşavirlik Kanunu uyarınca faaliyet gösteren serbest muhasebeci mali müşavirler ve yeminli mali müşavirler.
  • 4458 sayılı Gümrük Kanunu uyarınca faaliyet gösteren gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirleri.
  • Arabulucular.
  • Köy tüzel kişilikleri.
  • Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar.

Veri sorumlularının Kurul tarafından VERBİS’e kayıtla yükümlü tutulmaması, bu veri sorumlularının KVKK kapsamındaki diğer yükümlülüklerini ortadan kaldırmaz. (Yönetmelik m. 5/1-f) 

Örneğin, küçük ölçekli bir işletme, Kurul kararıyla VERBİS’e kayıt zorunluluğundan muaf tutulmuş olabilir. Ancak, bu işletme hâlâ KVKK kapsamında, kişisel verilerin hukuka uygun olarak işlenmesi, veri güvenliğinin sağlanması, veri sahiplerine gerekli bilgilendirmelerin yapılması ve gerektiğinde verilerin silinmesi veya anonim hâle getirilmesi gibi diğer yükümlülüklerini yerine getirmek zorundadır. Bu yükümlülüklerin ihlali, işletmenin idari yaptırımlarla karşı karşıya kalmasına neden olabilir.

C. VERBİS’e Kayıt Zorunluluğu Olan Veri Sorumluları

Bir önceki başlıkta belirtilenler dışında kalan, Türkiye’de yerleşik olmayanlar da dâhil olmak üzere, tüm veri sorumluları veri işlemeye başlamadan önce VERBİS’e kaydolmak zorundadır. VERBİS kayıt zorunluluğu bulunan veri sorumluları şunlardır:

  • Yıllık çalışan sayısı 50’den çok veya yıllık mali bilanço toplamı 100 milyon TL’den çok olup ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek ve tüzel kişi veri sorumluları.
  • Ana faaliyet konusu özel nitelikli kişisel veri işleme olan gerçek ve tüzel kişi veri sorumluları.
  • Yurt dışında yerleşik gerçek ve tüzel kişi veri sorumluları.
  • Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşu veri sorumluları.

Tüzel kişilerde veri sorumlusu tüzel kişiliğin kendisidir. Türkiye’de yerleşik olan tüzel kişilerin KVKK kapsamındaki veri sorumlusu yükümlülükleri, ilgili mevzuat hükümlerine göre tüzel kişiliği temsil ve ilzama yetkili organ veya ilgili mevzuatta belirtilen kişi veya kişiler marifetiyle yerine getirilir. Tüzel kişiliği temsile yetkili organ, Kişisel Verilerin Korunması Kanunu’nun uygulanması bakımından yerine getirilecek yükümlülükler ile ilgili olarak bir veya birden fazla kişiyi görevlendirebilir. Bu görevlendirme Kişisel Verilerin Korunması Kanunu hükümleri uyarınca tüzel kişiliğin sorumluluğunu ortadan kaldırmaz. (Yönetmelik m. 11/1) 

3. VERBİS’e Kayıt, VERBİS İşlemleri, VERBİS Kaydının Silinmesi

A. VERBİS Kayıt Zorunluluğunun Başlangıcı

a. Veri İşlemeye Başlamadan Önce VERBİS’e Kayıt Zorunluluğu

VERBİS’e kayıt zorunluluğu bulunan veri sorumluları, kişisel veri işlemeye başlamadan önce VERBİS’e kaybolmak zorundadır. (KVKK m. 16/2, Yönetmelik m. 8/1) Türkiye’de yerleşik olmayan veri sorumluları da veri işlemeye başlamadan önce veri sorumlusu temsilcisi marifetiyle VERBİS’e kaydolmakla yükümlüdür. (Yönetmelik m. 5/1-b)

Örneğin, bir e-ticaret şirketi Türkiye’de faaliyet gösteriyorsa, müşterilerinin kişisel verilerini işlemeye başlamadan önce VERBİS’e kaydolması gerekmektedir. Benzer şekilde, Türkiye’de yerleşik olmayan bir yabancı şirket, Türkiye’de yaşayan müşterilerine hizmet sunuyorsa, veri sorumlusu temsilcisi aracılığıyla VERBİS’e kaydolmakla yükümlüdür.

b. VERBİS Kayıt Zorunluluğunun Sonradan Ortaya Çıkması

Sonradan kayıt yükümlüsü hâline gelen veri sorumluları ise, Yönetmelik’in 8. maddesinin ikinci fıkrası uyarınca, yükümlülük altına girdikten sonra otuz gün içerisinde VERBİS’e kaydolmak zorundadır. 

Örneğin, başlangıçta çalışan sayısı ve yıllık mali bilançosu nedeniyle VERBİS’e kayıt zorunluluğundan muaf olan bir işletme, büyüyerek bu kriterleri aşarsa, yeni durumda kayıt yükümlüsü hâline gelir. Bu durumda, işletme, kriterleri aşmasını müteakip otuz gün içerisinde VERBİS’e kaydolmak zorundadır. 

c. İmkânsızlık Hâlinde VERBİS’e Kayıt Zorunluluğu

VERBİS’e kayıt zorunluluğu bulunan veri sorumluları, herhangi bir fiilî, teknik ya da hukuki imkânsızlık nedeniyle kayıt zorunluluğunu yerine getiremezse, bu imkânsızlığın ortaya çıktığı tarihten itibaren en geç yedi iş günü içerisinde Kişisel Verileri Koruma Kurumuna (Kurum) yazılı olarak başvurmak ve gerekçesini belirtmek şartıyla, kayıt yükümlülüklerini yerine getirmek için Kurumdan ek süre talep edebilirler. Kurum, bir defaya mahsus olmak ve her hâlde otuz günü geçmemek üzere ek süre verebilir. (Yönetmelik m. 8/3)

Örneğin, bir veri sorumlusu, beklenmedik bir sistem arızası nedeniyle VERBİS’e kaydını zamanında gerçekleştiremeyebilir. Bu durumda, arızanın ortaya çıktığı tarihten itibaren yedi iş günü içinde Kuruma başvurarak, arızayı gerekçe gösterip kayıt için ek süre talep edebilir. Kurum, durumu değerlendirip otuz günü aşmamak üzere bir defaya mahsus ek süre verebilir.

Kendilerine ek süre verilmiş olan veri sorumluları, bu süre tamamlanmadan kayıt başvurusunu tamamlamak zorundadır. Başka bir şekilde ifade etmek gerekirse, kendilerine ek süre verilmiş olan veri sorumluları, bu süre tamamlanmadan Yönetmelik’in 9. maddesinde belirtilen bilgileri VERBİS’e yüklemekle yükümlüdür. (Yönetmelik m. 10/2)

B. VERBİS Kayıt Zorunluluğu Kapsamında İletilecek Bilgiler

VERBİS kayıt zorunluluğunun yerine getirilmiş sayılması için Yönetmelik’in 9. maddesinde belirtilen bilgilerin VERBİS’e yüklenmesi gerekmektedir. Bu bilgiler VERBİS’e yüklenmedikçe VERBİS’e kayıt zorunluluğu yerine getirilmiş sayılmamaktadır. (Yönetmelik m. 10/1) 

a. Kişisel Verilerin İşlenmesiyle İlgili Bilgiler

KVKK m. 16/3 ve Yönetmelik m. 9/1 uyarınca, VERBİS’e kayıt başvurusu bazı bilgileri içermek zorundadır. Bu bilgiler şunlardır: 

  • Veri sorumlusu, varsa veri sorumlusu temsilcisi ve irtibat kişisine ait kimlik ve adres bilgilerine ilişkin Kurul tarafından belirlenecek başvuru formunda yer alan bilgiler. 
  • Kişisel verilerin hangi amaçla işleneceği.
  • Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar.
  • Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları.
  • Yabancı ülkelere aktarımı öngörülen kişisel veriler.
  • KVKK’nın 12. maddesinde öngörülen ve Kurul tarafından belirlenen kriterlere göre alınan tedbirler.
  • Kişisel verilerin mevzuatta öngörülen veya işlendikleri amaç için gerekli olan azami muhafaza edilme süresi.

Veri sorumluları tarafından kişisel verilerin hangi amaçla işleneceği, veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar, kişisel verilerin aktarılabileceği alıcı veya alıcı grupları ve yabancı ülkelere aktarımı öngörülen kişisel veriler hakkında VERBİS’e açıklanacak bilgiler kişisel veri işleme envanterine dayalı olarak VERBİS’te belirtilen başlıklar kullanılarak VERBİS’e iletilir. (Yönetmelik m. 9/2)

Veri sorumluları tarafından KVKK’nın 12. maddesinde öngörülen ve Kurul tarafından belirlenen kriterlere göre alınan tedbirler hakkında VERBİS’e açıklanacak bilgiler KVKK’nın 12. maddesinde belirtilen hususları kapsayacak şekilde VERBİS’te belirtilen başlıklar kullanılarak VERBİS’e iletilir. (Yönetmelik m. 9/3)

VERBİS içerisinde belirtilen başlıkların ve içeriklerinin, veri sorumlusunun gerçekleştirdiği faaliyetleri ve Sicile iletmesi gereken bilgileri tam olarak kapsamaması durumunda, veri sorumlusu bu bilgileri ayrıca VERBİS içerisinde bu amaca ilişkin ayrılan “Diğer” başlıklı bölümlere girerek Sicile bildirimini tamamlar. (Yönetmelik m. 9/6)

Yönetmelik m. 9/4 gereğince, kişisel verilerin mevzuatta öngörülen veya işlendikleri amaç için gerekli olan azami muhafaza edilme süresi hakkında VERBİS’e açıklanacak bilgiler veri sorumluları tarafından veri kategorileri ile eşleştirilerek VERBİS’e bildirilir. Veri sorumlusu tarafından VERBİS’e bildirilen veri kategorilerinin işleme amaçları ve bu amaçlara dayalı olarak işlenmeleri için gerekli olan azami muhafaza edilme süreleri ile mevzuatta öngörülen süreler farklı olabilir. Bu durumda mevzuatta azami muhafaza edilme süresi öngörülmüşse öngörülen bu süre, yoksa bunlardan en uzun süre esas alınarak bu veri kategorisi için VERBİS’e bildirim yapılır. 

Yönetmelik’in 9. maddesinin dördüncü fıkrasına göre, kişisel verilerin işlendikleri amaç için gerekli olan azami muhafaza edilme süresi belirlenirken aşağıda yazılı hususlar dikkate alınır:

  • İlgili veri kategorisinin işlenme amacı kapsamında veri sorumlusunun faaliyet gösterdiği sektörde genel teamül gereği kabul edilen süre.
  • İlgili veri kategorisinde yer alan kişisel verinin işlenmesini gerekli kılan ve ilgili kişiyle tesis edilen hukuki ilişkinin devam edeceği süre.
  • İlgili veri kategorisinin işlenme amacına bağlı olarak veri sorumlusunun elde edeceği meşru menfaatin hukuka ve dürüstlük kurallarına uygun olarak geçerli olacağı süre.
  • İlgili veri kategorisinin işlenme amacına bağlı olarak saklanmasının yaratacağı risk, maliyet ve sorumlulukların hukuken devam edeceği süre.
  • Belirlenecek azami sürenin ilgili veri kategorisinin doğru ve gerektiğinde güncel tutulmasına elverişli olup olmadığı.
  • Veri sorumlusunun hukuki yükümlülüğü gereği ilgili veri kategorisinde yer alan kişisel verileri saklamak zorunda olduğu süre.
  • Veri sorumlusu tarafından, ilgili veri kategorisinde yer alan kişisel veriye bağlı bir hakkın ileri sürülmesi için belirlenen zamanaşımı süresi.

Veri sorumluları, kişisel verilerin işlendikleri amaç için gerekli olan azami sürenin belirlenmesi, bu sürelerin kişisel veri işleme envanterinde belirtilen bilgilerle uyumu ve azami sürenin aşılıp aşılmadığının takibi için kişisel veri saklama ve imha politikası hazırlayarak, bu politikanın uygulanmasını temin ederler. (Yönetmelik m. 9/5) 

b. Veri Sorumlusu, Veri Sorumlusu Temsilcisi ve İrtibat Kişisiyle İlgili Bilgiler

Türkiye’de yerleşik olmayan veri sorumlusunun, veri sorumlusu temsilcisi atanmasına ilişkin yetkili organı veya kişisi tarafından alınacak kararın tasdikli örneği, kayıt başvurusu sırasında veri sorumlusu temsilcisi tarafından Kuruma sunulur. (Yönetmelik m. 11/2) 

Yönetmelik’in 11. maddesinin üçüncü fıkrası, veri sorumlusu temsilcisi atama kararının asgari olarak hangi hususları kapsayacak şekilde düzenleneceğini öngörmektedir. Buna göre veri sorumlusu temsilcisi atama kararı, asgari olarak aşağıda belirtilen hususları kapsayacak şekilde düzenlenir:

  • Kurum tarafından yapılan tebligat veya yazışmaları veri sorumlusu adına tebellüğ veya kabul etme.
  • Kurum tarafından veri sorumlusuna yöneltilen talepleri veri sorumlusuna iletme, veri sorumlusundan gelecek cevabı Kuruma iletme.
  • Kurul tarafından başkaca bir esasın belirlenmemiş olması hâlinde; ilgili kişilerin Kanunun 13. maddesinin birinci fıkrası uyarınca veri sorumlusuna yönelteceği başvuruları veri sorumlusu adına alma ve veri sorumlusuna iletme.
  • Kurul tarafından başkaca bir esasın belirlenmemiş olması hâlinde; ilgili kişilere Kanunun 13. maddesinin üçüncü fıkrası uyarınca veri sorumlusunun cevabını iletme.
  • Veri sorumlusu adına VERBİS’e ilişkin iş ve işlemleri yapma.

Türkiye’de yerleşik olan veri sorumluları ile Türkiye’de yerleşik olmayan veri sorumluları adına veri sorumlusu temsilcileri, VERBİS’e kayıt sırasında irtibat kişisi bilgilerini VERBİS’e işlerler. Ancak, irtibat kişisi, veri sorumlusunu KVKK ve Yönetmelik hükümlerine göre temsile yetkili değildir. (Yönetmelik m. 11/4) 

Kamu kurum ve kuruluşlarında irtibat kişisi, koordinasyonu sağlayacak üst düzey yönetici tarafından Kurum ile iletişimi sağlamak amacıyla belirlenerek VERBİS’e kaydı yapılan daire başkanı veya üstü yöneticidir. (Yönetmelik m. 11/5) 

c. VERBİS’e Kayıtlı Bilgilerin Doğruluğu ve Güncellenmesi Yükümlülüğü

Veri sorumluları, VERBİS’e sunulan ve VERBİS’te yayımlanan bilgilerin eksiksiz, doğru, güncel ve hukuka uygun olmasından sorumludur. (Yönetmelik m. 5/1-3) Veri sorumluları, VERBİS’te kayıtlı bilgilerde değişiklik olması hâlinde, meydana gelen değişiklikleri, değişikliğin meydana geldiği tarihten itibaren yedi gün içerisinde Kuruma bildirmek zorundadır. (Yönetmelik m. 13/1) 

C. Kurumun Veri Sorumlularıyla İletişimi

Yönetmelik’in 12. maddesinin birinci fıkrasına göre, KVKK’nın uygulanmasıyla ilgili olarak Kurum tarafından veri sorumlusuyla kurulacak her türlü iletişim, 

  • Türkiye’de yerleşik tüzel kişiler için VERBİS’e bildirilen kimlik, adres veya KEP (Kayıtlı Elektronik Posta) adresi bilgileri üzerinden ilgili tüzel kişi, 
  • Türkiye’de yerleşik gerçek kişiler için VERBİS’e bildirilen kimlik, adres veya KEP adresi bilgileri üzerinden ilgili gerçek kişi, 
  • Türkiye’de yerleşik olmayan veri sorumluları için VERBİS’e bildirilen veri sorumlusu temsilcisi

vasıtasıyla gerçekleştirilir.

D. VERBİS Kaydının Silinmesi

Kayıt yükümlüğünü gerektiren faaliyet sona erer ya da ortadan kalkarsa, VERBİS kaydı silinir. (Yönetmelik m. 14/2) VERBİS kayıt zorunluluğu ortadan kalkan veri sorumlusu, sicil kaydının silinmesine ilişkin olarak VERBİS üzerinden Kuruma başvurur. (Yönetmelik m. 14/1) Ancak, VERBİS kaydının silinmesi veri sorumlusunun VERBİS’e kayıtlı olduğu dönemdeki yükümlülüklerini ortadan kaldırmaz. (Yönetmelik m. 14/3) Bu kayıtlar, istendiğinde erişilebilir olmakla birlikte üzerinde herhangi bir değişiklik yapılamayacak şekilde tutulur. (Yönetmelik m. 14/2)

Örneğin, bir şirket, faaliyetlerini sona erdirip VERBİS kaydını sildirmiş olabilir. Ancak, bu şirketin kayıtlı olduğu dönemde gerçekleştirdiği veri işleme faaliyetlerine ilişkin sorumlulukları devam eder. Şirket, kayıtlı olduğu dönemde verilerin hukuka uygun şekilde işlenmesi, güvenliğinin sağlanması ve gerektiğinde bu verilerin silinmesi veya anonimleştirilmesi gibi yükümlülüklerini yerine getirmek zorundadır.

4. Kişisel Veri İşleme Envanteri Hazırlama Yükümlülüğü

VERBİS kayıt zorunluluğu bulunan veri sorumluları, kişisel veri işleme envanteri hazırlamakla yükümlüdür. Bu hüküm gereğince, VERBİS başvurularında VERBİS’e açıklanacak bilgiler, kişisel veri işleme envanterine dayalı olarak hazırlanır. (Yönetmelik m. 5/1-ç) Ayrıca, KVKK’nın 10. maddesinde belirtilen aydınlatma yükümlülüğü, KVKK’nın 13. maddesinde yer alan ilgili kişi başvurularının yanıtlanması ve ilgili kişilerden alınacak açık rızanın kapsamının belirlenmesinde de yine bu envantere dayalı olarak VERBİS’e sunulan ve VERBİS’te yayımlanan bilgiler esas alınır. (Yönetmelik m. 5/1-d)

Kişisel veri işleme envanteri, KVKK uyum sürecinin en temel unsurlarından biri olarak büyük önem taşır. VERBİS’e kayıt zorunluluğu olsun veya olmasın, tüm veri sorumlularının kişisel veri işleme envanteri hazırlamaları, veri işleme faaliyetlerinin hukuka uygunluğunu sağlamak adına kritik bir adımdır. Bu envanter, veri sorumlularının işledikleri kişisel verileri sistematik bir şekilde kayıt altına alarak, hangi verilerin hangi amaçlarla, ne kadar süreyle ve kimlerle paylaşıldığını açıkça ortaya koyar. Envanterin doğru ve eksiksiz bir şekilde hazırlanması, veri güvenliği ve ilgili kişilerin haklarının korunması açısından hayati öneme sahiptir. Bu süreçte hukuki danışmanlık hizmeti almak, veri sorumlularının envanteri hukuka uygun ve detaylı bir şekilde hazırlamalarını sağlar, olası hukuki riskleri en aza indirir ve KVKK’ya tam uyum sağlamalarına yardımcı olur.

5. VERBİS’e Kayıt Zorunluluğuna Uyulmamasının Cezası

KVKK’nın 18. maddesinin birinci fıkrasında, VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı hareket etmek kabahat olarak düzenlenmiştir. Bu yükümlülüğe aykırı hareket edenler hakkında 2025 yılı için 272.380,00 Türk lirasından 13.620.402,00 Türk lirasına kadar idari para cezası öngörülmüştür. 

Bu idari para cezası, veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanmaktadır. (KVKK m. 18/2) VERBİS’e kayıt ve bildirim yükümlülüğüne aykırılığın, kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde ise, Kurulun yapacağı bildirim üzerine ilgili kamu kurum ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır ve sonucu Kurula bildirilir. (KVKK m. 18/3)

Bizimle iletişime geçebilirsiniz

Büromuz tarafından sunulan kişisel verilerin korunması hukuku alanındaki hizmetlerden yararlanmak veya bu hizmetler hakkında detaylı bilgi almak isterseniz, bizimle e-posta veya telefon yoluyla iletişime geçebilir ya da iletişim bölümünde yer alan formu doldurabilirsiniz.