VERBİS kaydı bir formalite değildir. Denetimde ilk sorulan kalemlerden biridir ve eksikliği, veri işleme faaliyetinizin hukuka uygun olup olmadığından bağımsız olarak doğrudan bir yaptırım riski üretir.
Kısa cevap: VERBİS kaydı kimler için zorunlu?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı, kişisel veri işleyen veri sorumluları için kural olarak zorunludur; Kurul, çalışan sayısı ve yıllık mali bilanço gibi ölçütlere göre belirli grupları bu yükümlülükten istisna tutmuştur. Ancak istisnalar mutlak değildir: ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumluları, ölçek fark etmeksizin kayıt yükümlüsüdür. Bu nedenle doğru soru "küçük müyüm" değil; hangi veriyi, hangi amaçla ve hangi ölçekte işliyorum sorusudur. Güncel eşikler değişebildiği için kapsam değerlendirmesi mali müşavir veya hukuk danışmanıyla birlikte yapılmalı ve sonucu yazılı olarak saklanmalıdır.
Yükümlülük değerlendirmesi
| Ölçüt | Neye bakılır? | Not |
|---|---|---|
| Çalışan sayısı | Yıllık ortalama çalışan sayısı | Eşikler Kurul kararlarıyla belirlenir ve değişebilir |
| Mali bilanço | Yıllık mali bilanço toplamı | Çalışan sayısıyla birlikte değerlendirilir |
| Ana faaliyet konusu | Özel nitelikli veri işlenip işlenmediği | İşleniyorsa ölçek istisnası uygulanmaz |
| Kurum türü | Kamu kurumu olup olmadığı | Kamu kurumları için ayrı düzenleme vardır |
| Yurt dışı yerleşiklik | Türkiye'de yerleşik olup olmadığı | Yurt dışı veri sorumluları için ayrı yükümlülükler |
Uygulamada en çok atlanan satır üçüncüsüdür. Sağlık, biyometrik veri veya benzer nitelikte veri işleyen küçük bir işletme, çalışan sayısı ne olursa olsun kapsamda olabilir. Bu nedenle değerlendirmeye ölçekten değil, işlenen veri türünden başlamak daha doğrudur.
Veri envanteri nasıl çıkarılır?
VERBİS kaydının asıl işi, formu doldurmak değil; arkasındaki envanteri hazırlamaktır. Envanter olmadan yapılan kayıt eksik veya hatalı olur.
- Veri kategorilerini listeleyin. Kimlik, iletişim, finansal, işlem güvenliği, müşteri işlem, çalışan özlük gibi başlıklar altında ne topladığınızı yazın.
- Her kategori için amacı yazın. Neden topluyorsunuz? Sözleşme yükümlülüğü, yasal zorunluluk, meşru menfaat veya açık rıza — hangi hukuki sebep geçerliyse belirtin.
- Alıcı gruplarını belirleyin. Veri kimlerle paylaşılıyor: muhasebe, kargo, ödeme kuruluşu, bulut sağlayıcı, kamu kurumları.
- Saklama sürelerini tanımlayın. Her kategori için ne kadar tutulacağı ve süre sonunda ne yapılacağı yazılmalıdır. "Süresiz" bir saklama süresi değildir.
- Aktarım durumunu not edin. Yurt içi mi, yurt dışı mı — yurt dışı aktarım varsa dayanağı belirtilmelidir; konuyu veri lokasyonu yazımızda ele aldık.
- Alınan teknik ve idari tedbirleri yazın. Erişim yönetimi, yedekleme, şifreleme, farkındalık eğitimi gibi.
Envanterin en değerli tarafı uyum belgesi olması değil, bir olay anında kapsamı hızlıca belirlemenizi sağlamasıdır — bunu ihlal bildirimi yazımızda ayrıntılandırdık.
Kayıt adımları
- Yetkili belirleyin. Kayıt işlemlerini yürütecek irtibat kişisi tanımlanır; bu kişinin bilgileri güncel tutulmalıdır.
- Sisteme giriş yapın ve veri sorumlusu bilgilerini eksiksiz doldurun.
- Envanterden gelen bilgileri girin: veri kategorileri, amaçlar, alıcı grupları, saklama süreleri, aktarım bilgileri, tedbirler.
- Kaydı tamamlayın ve çıktısını kurumsal arşivinize alın.
- Değişiklik olduğunda güncelleyin. Yeni bir veri kategorisi, yeni bir hizmet sağlayıcı veya değişen bir saklama süresi kaydın güncellenmesini gerektirir.
Kaydın bir kez yapılıp bırakılabilecek bir işlem olmadığını unutmayın: güncelleme yükümlülüğü, kaydın kendisi kadar bağlayıcıdır.
Netişlem uzman görüşü: envanter olmadan yapılan kayıt, kaydı olmayan işletmeden daha riskli olabilir
Sahada iki tabloyla karşılaşıyoruz. Birincisi hiç kayıt yaptırmamış işletmeler; ikincisi ise kaydı örnek metinlerden kopyalayarak dolduran işletmeler. İkincisi daha riskli olabiliyor: beyan edilen bilgiler gerçek işleyişle örtüşmediğinde, denetimde bu fark doğrudan görülüyor. Envanteri çıkarmadan doldurulan bir form, uyum sağlamıyor; yalnızca uyumlu görünmeye çalışıyor.
İkinci gözlemimiz, envanterin genellikle yalnızca "müşteri verisi" üzerinden düşünülmesi. Oysa çalışan özlük dosyaları, iş başvuruları, kamera kayıtları, ziyaretçi defterleri ve tedarikçi iletişim bilgileri de kişisel veridir. En sık atlanan kalem, işe alım sürecinde toplanan ve hiç silinmeyen başvuru belgeleri oluyor.
Üçüncüsü, saklama sürelerinin hiç yazılmaması. "Ne kadar süreyle saklıyorsunuz" sorusu, hem VERBİS kaydında hem denetimde soruluyor ve cevabı çoğu işletmede yok. Oysa süre belirlemek, aynı zamanda gereksiz veriden kurtulmayı da sağlıyor — yani hem uyum hem risk azaltma anlamına geliyor.
Kontrol listesi
- Kapsam değerlendirmesi yapıldı ve sonucu yazılı olarak saklandı.
- Veri envanteri çıkarıldı — kategori, amaç, hukuki sebep, alıcı, süre, aktarım.
- Çalışan ve aday verileri de envantere dahil edildi.
- Kamera kayıtları ve ziyaretçi kayıtları unutulmadı.
- Her kategori için saklama süresi tanımlandı ve süre sonu işlemi yazıldı.
- Hizmet sağlayıcılar (alıcı grupları) listelendi.
- Teknik ve idari tedbirler yazıldı ve gerçekten uygulanıyor.
- İrtibat kişisi bilgileri güncel.
- Aydınlatma metni envanterle tutarlı — bkz. KVKK site denetimi.
- Yıllık gözden geçirme takvime alındı.
Sık sorulan sorular
Kayıt yükümlüsü değilsem envanter de gerekmez mi?
Kayıt yükümlülüğünden istisna olmak, diğer KVKK yükümlülüklerinden muaf olmak anlamına gelmez. Aydınlatma, veri güvenliği, saklama ve imha yükümlülükleri devam eder ve bunları yerine getirmek için envanter pratik bir ihtiyaçtır. Envanteri olmayan işletme, hangi veriyi ne kadar süreyle sakladığını da bilmez.
Kayıt sırasında hangi bilgiler açığa çıkar?
Sicil bilgilerinin bir kısmı kamuya açıktır; bu nedenle beyan edilen bilgilerin doğru ve tutarlı olması önemlidir. Ticari sır niteliğindeki ayrıntılar değil, veri işleme faaliyetinin genel çerçevesi beyan edilir.
Envanteri kim hazırlamalı?
Tek bir departmanın işi değildir. İnsan kaynakları, muhasebe, satış ve teknik ekip kendi süreçlerindeki verileri bildirmeli; koordinasyonu bir kişi üstlenmelidir. Küçük işletmelerde bu çalışma genellikle yarım gün sürer.
Bilgiler değişirse ne yapmalıyım?
Kaydı güncellemeniz gerekir. Yeni bir hizmet sağlayıcıyla çalışmaya başlamak, yeni bir veri kategorisi toplamaya başlamak veya saklama süresini değiştirmek güncelleme gerektiren tipik durumlardır. Güncellemeyi tetikleyecek bir iç prosedür belirlemek pratik bir çözümdür.
Kayıt yaptırmamanın sonucu ne olur?
Kayıt yükümlülüğünün yerine getirilmemesi, ayrı bir idari yaptırım sebebidir; yani veri işleme faaliyetiniz hukuka uygun olsa bile kayıt eksikliği tek başına sonuç doğurabilir. Bu, VERBİS'i diğer uyum kalemlerinden ayıran en önemli noktadır.
Sonuç
VERBİS, uyum çalışmasının vitrini değil çıktısıdır. Envanteri hazır olan bir işletme için kayıt birkaç saatlik bir iştir; envanteri olmayan için ise formun kendisi bir engeldir. Bu yüzden doğru sıra her zaman aynıdır: önce ne işlediğinizi yazın, sonra beyan edin.
Veri envanterinizi çıkarmak ve uyum durumunuzu değerlendirmek için bize ulaşın. Gizlilik politikamızı ve kurumsal hosting çözümlerimizi inceleyebilirsiniz.