VERBİS Kayıt Yükümlülüğü: Kimler Kaydolmak Zorunda, Süre Ne Zaman Dolar

Kişisel veri uyumunda en çok sorulan sorulardan biri şudur: şirketin Veri Sorumluları Sicili'ne kaydolması gerekiyor mu, gerekiyorsa süre ne zaman doluyor. Sorunun cevabı tek bir cümleyle verilemez. Yükümlülük; işletmenin çalışan sayısına, mali bilanço büyüklüğüne, defter tutma usulüne ve ana faaliyet konusuna göre değişir. Aşağıda bu ölçütler, kayıt süreci ve kayıttan sonra devam eden yükümlülükler sırasıyla ele alınmaktadır.

Veri sorumlusu kim, veri işleyen kim

Yükümlülüğün kime ait olduğunu belirlemek için önce iki kavramı ayırmak gerekir. 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 3. maddesine göre veri sorumlusu, kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Yani kararı veren taraftır.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına kişisel verileri işleyen gerçek veya tüzel kişidir. Bordro hizmeti alınan muhasebe firması, kargo şirketi, çağrı merkezi ya da bulut hizmeti sağlayıcısı çoğu zaman veri işleyen konumundadır.

Ayrım sıfata değil, fiilî duruma bakılarak yapılır. Sözleşmede taraflardan birine veri işleyen denmiş olması, o taraf işleme amaç ve vasıtalarını kendisi belirliyorsa sonucu değiştirmez. Bir hizmet sağlayıcı, aldığı veriyi kendi ticari amaçları için de kullanmaya başladığı anda o faaliyet bakımından veri sorumlusu hâline gelir.

Bu ayrımın pratik sonucu şudur: Sicil'e kayıt yükümlülüğü kural olarak veri sorumlusuna aittir. Veri işleyen sıfatıyla hizmet veren bir şirket, kendi çalışanlarının verileri bakımından yine veri sorumlusudur; ancak müşterisi adına işlediği veriler bakımından kayıt yükümlüsü müşterisidir. Ayrım, yalnızca Sicil bakımından değil; aydınlatma, ihlal bildirimi ve ilgili kişi başvurularının muhatabının belirlenmesi bakımından da belirleyicidir.

Sicil'e kayıt yükümlülüğü nereden geliyor

Kanun'un 16. maddesi, Kurul'un gözetiminde Başkanlık tarafından kamuya açık olarak tutulan bir Veri Sorumluları Sicili öngörmektedir. Maddenin ikinci fıkrasının ilk cümlesi açıktır:

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.

Aynı fıkra, Kurul'a istisna belirleme yetkisi de vermektedir. Kurul; işlenen kişisel verinin niteliğini, sayısını, veri işlemenin kanundan kaynaklanıp kaynaklanmadığını ve verilerin üçüncü kişilere aktarılıp aktarılmadığını dikkate alarak kayıt zorunluluğuna istisna getirebilir. Uygulamada asıl belirleyici olan da bu istisna kararlarıdır.

Sicil'in elektronik ortamdaki karşılığı Veri Sorumluları Sicil Bilgi Sistemi'dir; kısaca VERBİS olarak anılır. Kayıt, Kurum'un internet sitesi üzerinden elektronik olarak yapılır.

Kimler kayıt yükümlülüğünün dışında

Kurul, yıllar içinde istisna eşiklerini birkaç kez güncellemiştir. Ölçütler iki gruba ayrılarak belirlenmiştir.

Ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları bakımından ölçüt şudur: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olanlar kayıt yükümlülüğünden istisnadır. Bu eşik 19.7.2018 tarihli ve 2018/87 sayılı Kurul kararında 25 milyon Türk lirası olarak belirlenmiş, 6.7.2023 tarihli ve 2023/1154 sayılı Kurul kararı ile 100 milyon Türk lirasına yükseltilmiştir.

Ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları uzun süre eşik gözetilmeksizin kayıt yükümlüsü sayılmıştır. Kurul'un 4.9.2025 tarihli ve 2025/1572 sayılı kararı ile bu gruba da bir istisna getirilmiştir: yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon Türk lirasından az olanlar kayıt yükümlülüğü dışında bırakılmıştır. Karar 1 Ekim 2025 tarihli ve 33034 sayılı Resmî Gazete'de yayımlanmıştır.

Özel nitelikli kişisel veri kavramı Kanun'un 6. maddesinde sayılmıştır. Kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri bu kapsamdadır. Bir sağlık kuruluşu, laboratuvar ya da eczane bakımından ana faaliyet konusunun özel nitelikli veri işleme olduğu kabul edilir. Buna karşılık, yalnızca çalışanlarının sağlık raporlarını saklayan bir üretim şirketinin ana faaliyet konusu özel nitelikli veri işleme değildir; özel nitelikli veri işliyor olmak tek başına bu grubu tanımlamaz.

Her iki grupta da iki eşik birlikte aranır. Çalışan sayısı eşiğin altında olsa bile mali bilanço toplamı eşiği aşıyorsa istisna uygulanmaz.

Kurul'un 2.4.2018 tarihli ve 2018/32 sayılı kararıyla ayrıca bazı gruplar kayıt yükümlülüğü dışında bırakılmıştır. Bunlar arasında noterler, serbest avukatlar, gümrük müşavirleri, arabulucular, serbest muhasebeci mali müşavirler ve yeminli mali müşavirler ile herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca fiziksel ortamda kişisel veri işleyenler sayılmaktadır. Dernek, vakıf ve sendikalar bakımından da, yalnızca kendi mevzuatlarına ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve üçüncü kişilere aktarılmayan, mevcut ve eski üyelere yönelik veri işlemeleri bakımından sınırlı bir istisna öngörülmüştür.

Bilanço esasına göre defter tutmayan işletmeler

Uygulamada sık karşılaşılan bir tereddüt, bilanço esasına göre defter tutmayan işletmelerin durumudur. İşletme hesabı esasına göre defter tutan bir mükellefin mali bilanço toplamı bulunmadığından, iki ölçütten biri hesaplanamaz.

Kurul'un 25.12.2025 tarihli ve 2025/2393 sayılı kararı bu noktayı açıklığa kavuşturmuştur. Bilanço esasına göre defter tutmayan veri sorumluları bakımından yalnızca yıllık çalışan sayısı ölçütü uygulanır. Buna göre işletme hesabı esasına tabi bir veri sorumlusu, çalışan sayısı eşiğin altında kaldığı sürece kayıt yükümlülüğünden istisnadır. Bu değerlendirme yapılırken defter tutma usulünün ilgili hesap dönemine ait olduğu unutulmamalıdır; usul değiştiğinde ölçüt de değişir.

Kayıt süresi ne zaman başlar

Kanun'un kuralı, veri işlemeye başlamadan önce kaydolmaktır. Ancak Kurul, yükümlülüğü sonradan doğan veri sorumluları için ayrı kayıt süreleri duyurmaktadır.

Bir işletme, önceki yıl istisna kapsamındayken mali bilanço toplamı veya çalışan sayısı bakımından eşiği aşarsa, izleyen yıl kayıt yükümlüsü hâline gelir. Kurul bu durumdaki kurumlar vergisi mükellefi tüzel kişiler için her yıl ayrı bir son tarih ilan eder. Bu nedenle bir işletmenin kendi son tarihini öğrenmesinin tek güvenilir yolu, Kurum'un güncel kamuoyu duyurularına bakmaktır; önceki yıllara ait tarihlerden hareketle çıkarım yapmak yanıltıcı olur.

Süreler kaçırıldığında yükümlülük ortadan kalkmaz. Kayıt gecikmeli de olsa yapılmalıdır; gecikme, idari yaptırım değerlendirmesinde ayrıca ele alınır. Aynı biçimde, eşiğin altına düşen bir veri sorumlusunun kaydını kendiliğinden geçersiz sayması da doğru değildir; Sicil kaydının durumu Kurum'un belirlediği usule göre güncellenir.

Sicil'e hangi bilgiler bildirilir

Kayıt, yalnızca bir form doldurma işlemi değildir. Kanun'un 16. maddesinin üçüncü fıkrası, başvuruda yer alması gereken hususları saymaktadır:

• Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri
• Kişisel verilerin hangi amaçla işleneceği
• Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar
• Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları
• Yabancı ülkelere aktarımı öngörülen kişisel veriler
• Kişisel veri güvenliğine ilişkin alınan tedbirler
• Kişisel verilerin işlendikleri amaç için gerekli olan azami süre

Bu bilgilerin sağlıklı bildirilebilmesi için önce kişisel veri işleme envanterinin hazırlanmış olması gerekir. Envanter; işleme amaçlarını, veri kategorilerini, veri konusu kişi gruplarını, alıcı gruplarını, saklama sürelerini, yurt dışına aktarım durumunu ve alınan güvenlik tedbirlerini gösteren bir kayıttır. Sicil'e yapılan bildirim bu envanterden türetilir. Envanteri olmayan bir işletmenin kaydı çoğu zaman gerçeği yansıtmaz; hazır bir şablonun doldurulmasıyla yapılan bildirimler, denetimde şirketin fiilî faaliyetiyle uyuşmadığı için sorun çıkarır.

Envanterin hazırlanmasında izlenecek sıra şudur:

1. Birim birim veri toplama kanallarını çıkarın; hangi formda, hangi yazılımda, hangi fiziki dosyada veri tutulduğunu tespit edin.
2. Her kanal için veri konusu kişi grubunu ve veri kategorilerini belirleyin.
3. Her işleme faaliyeti için amacı ve dayanılan hukuki sebebi yazın.
4. Alıcı gruplarını ve varsa yurt dışına aktarımı gösterin.
5. Her veri kategorisi için azami saklama süresini ve sürenin dayanağını belirleyin.
6. Alınan teknik ve idari tedbirleri kaydedin ve envanteri Sicil bildirimiyle karşılaştırın.

Saklama sürelerinin belirlenmesinde kişisel veri saklama ve imha politikası da gereklidir. Sicil'e kayıtla yükümlü olan veri sorumluları bu politikayı hazırlamakla da yükümlüdür. Politikada saklama sürelerinin dayanakları, periyodik imha süreleri ve imha yöntemleri gösterilir.

İrtibat kişisi ve veri sorumlusu temsilcisi

Türkiye'de yerleşik tüzel kişi veri sorumluları, Sicil'e kayıt sırasında bir irtibat kişisi bildirir. İrtibat kişisi veri sorumlusunu temsil etmez ve onun adına karar alma yetkisi taşımaz. Görevi, Kurum ile veri sorumlusu arasındaki iletişimi sağlamak ve ilgili kişilerin başvurularının veri sorumlusuna ulaşmasına aracılık etmektir. Bu nedenle irtibat kişisi olarak bildirilen kişinin iletişim bilgilerinin güncel tutulması önemlidir; görevden ayrılan bir kişinin adının Sicil'de kalması, Kurum'un yazışmalarının muhatapsız kalmasına yol açar.

Türkiye'de yerleşik olmayan veri sorumluları bakımından durum farklıdır. Bu veri sorumluları, Sicil'e kayıttan önce Türkiye'de yerleşik bir tüzel kişiyi veya Türk vatandaşı gerçek kişiyi veri sorumlusu temsilcisi olarak atamak ve bu atamayı yetkili organ kararıyla belgelemek zorundadır. Temsilci, irtibat kişisinden farklı olarak Kanun kapsamındaki bildirim ve talepler bakımından muhatap sıfatını taşır.

Kayıt tek seferlik bir işlem değildir

Sicil'e bildirilen bilgilerde meydana gelen değişikliklerin de bildirilmesi gerekir. Yeni bir veri işleme amacının eklenmesi, yeni bir alıcı grubuna aktarım yapılmaya başlanması, yurt dışına aktarımın gündeme gelmesi, saklama sürelerinin değişmesi ya da irtibat kişisinin değişmesi bildirim gerektiren tipik hâllerdir.

Uygulamada sıkça görülen bir yanılgı, kaydın bir kez yapılıp unutulmasıdır. Oysa Sicil'deki bilgilerin güncel olmaması, bildirim yükümlülüğünün ihlali sayılabilir. Bu nedenle envanterin ve Sicil bildirimlerinin belirli aralıklarla, örneğin yılda bir kez ve her önemli süreç değişikliğinde gözden geçirilmesi yerinde olur. Yeni bir yazılımın devreye alınması, yeni bir tedarikçiyle çalışılmaya başlanması veya yeni bir iş kolunun açılması gözden geçirme sebebidir.

Kayıt yapılmazsa ne olur

Sicil'e kayıt ve bildirim yükümlülüğüne aykırı davranış, Kanun'un 18. maddesinin birinci fıkrasının (ç) bendi kapsamında idari para cezası yaptırımına bağlanmıştır. Bu bentteki alt ve üst sınırlar her takvim yılı başında yeniden değerleme oranına göre güncellendiğinden, uygulanacak tutarın fiilin işlendiği yıla göre kontrol edilmesi gerekir. Kanun'un 18. maddesindeki bütün ceza kalemlerinin güncel tutarları ile cezaya karşı başvurulacak yargı yolu, veri sorumlusuna başvuru ve Kurul'a şikâyet konulu yazıda topluca ele alınmıştır.

Cezanın miktarı belirlenirken kabahatin haksızlık içeriği, veri sorumlusunun kusuru ve ekonomik durumu dikkate alınır. Kayıt yükümlülüğünün hiç yerine getirilmemesi ile gecikmeli yerine getirilmesi aynı ağırlıkta değerlendirilmez.

Ayrıca kaydın bulunmaması, Kurul'a yapılan bir şikâyet üzerine başlatılan incelemede çoğu zaman ilk fark edilen eksikliktir. Şikâyetin konusu farklı bir mesele olsa dahi, inceleme sırasında kayıt yükümlülüğü de değerlendirilebilir.

Son olarak, kayıt yükümlülüğünden istisna tutulmuş olmak Kanun'un diğer yükümlülüklerinden muafiyet anlamına gelmez. İstisna kapsamındaki bir işletme de aydınlatma yükümlülüğünü yerine getirmek, veri güvenliğine ilişkin idari ve teknik tedbirleri almak, ilgili kişi başvurularını süresinde cevaplamak ve veri ihlallerini bildirmekle yükümlüdür. İstisna yalnızca Sicil'e kayıt bakımından sonuç doğurur.

Sık yapılan hatalar

• Çalışan sayısı eşiğin altında kaldığı için mali bilanço toplamına hiç bakılmaması. İki ölçüt birlikte aranır.
• Özel nitelikli veri işlemek ile ana faaliyet konusunun özel nitelikli veri işleme olmasının aynı sayılması.
• Kaydın envanter hazırlanmadan, hazır bir şablon doldurularak yapılması.
• Saklama ve imha politikasının hazırlanmaması ya da hazırlanıp hiç uygulanmaması.
• İrtibat kişisinin görevden ayrılmasına rağmen Sicil bilgilerinin güncellenmemesi.
• Yurt dışına aktarımın başlamasına rağmen kaydın bu bilgiyle güncellenmemesi.
• Yurt dışında yerleşik veri sorumlusunun temsilci atamadan kayıt yapmaya çalışması.
• Kayıt süresi kaçırıldığında yükümlülüğün ortadan kalktığının düşünülmesi.
• Sicil kaydının, Kanun'un diğer yükümlülüklerinin yerine geçtiği izlenimiyle başka hiçbir çalışma yapılmaması.