VERBİS Kayıt Yükümlülüğü ve İdari Para Cezası (2026)

VERBİS kayıt yükümlülüğü, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (KVKK) 16. maddesi uyarınca kişisel veri işleyen veri sorumlularının Veri Sorumluları Siciline (VERBİS) kayıt yaptırmasını öngören yasal bir yükümlülüktür. Kişisel Verileri Koruma Kurumu, 21.04.2022 tarihli kamuoyu duyurusunda sicile kayıt yükümlülüğünü yerine getirmeyen veri sorumlularının Kanun’un 18. maddesi kapsamında idari para cezasıyla karşılaşabileceğini hatırlatmıştır. Bu yazıda yükümlülüğün kapsamı, muafiyet ölçütleri, kayıt süreci ve yaptırımlar 2026 itibarıyla mevzuat çerçevesinde açıklanmaktadır.

Konunun ayrıntılı başvuru boyutu için KVKK VERBİS başvuru ve kayıt yükümlülüğü yazısına, veri güvenliği ihlallerinin ceza hukuku boyutu için kişisel verileri yayma ve ele geçirme suçu yazısına, alanın genel çerçevesi için ise bilişim hukuku sayfasına bakılabilir.

VERBİS Nedir ve Hukuki Dayanağı Nedir?

VERBİS, Veri Sorumluları Sicili Bilgi Sistemi’nin kısaltmasıdır. Kanun’un 16. maddesine göre Kurul gözetiminde, kamuya açık olarak Veri Sorumluları Sicili tutulur. Sicilin amacı, kişisel veri işleyen gerçek ve tüzel kişilerin hangi veri kategorilerini, hangi amaçla, kimlere aktararak ve ne kadar süreyle işlediğinin ilgili kişiler ile Kurum tarafından öğrenilebilmesini sağlamaktır. Böylece Kanun’un temel ilkelerinden olan şeffaflık ve hesap verilebilirlik ilkeleri uygulamada somutlaşır.

Sicile ilişkin usul ve esaslar Veri Sorumluları Sicili Hakkında Yönetmelik ile düzenlenmiştir. Kişisel verilerin saklanması ve imhasına ilişkin ilkeler ise Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hâle Getirilmesi Hakkında Yönetmelik hükümlerine tabidir. Bu iki düzenleme birlikte okunmadan sicil kaydı doğru biçimde tamamlanamaz.

Kanun’a göre veri sorumlusu, kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan gerçek veya tüzel kişidir. Şirketler, dernekler, vakıflar, serbest meslek sahipleri, esnaf ve kamu kurumları veri sorumlusu sıfatını taşıyabilir. Sıfat, işletmenin büyüklüğüne değil, fiilî veri işleme faaliyetine bağlıdır.

VERBİS’e Kayıt Yükümlülüğü Kimleri Kapsar?

Kural, veri işlemeye başlamadan önce sicile kayıt yaptırılmasıdır. Ancak Kurul, Kanun’un 16. maddesinin verdiği yetkiye dayanarak belirli ölçütleri taşıyan veri sorumlularını kayıt yükümlülüğünden istisna tutabilir. Kurul kararlarına göre istisna ölçütleri çalışan sayısı, yıllık mali bilanço toplamı ve ana faaliyet konusunun özel nitelikli kişisel veri işlemeye dayanıp dayanmadığı esaslarına dayanır. Bu eşikler Kurul kararlarıyla belirlendiği için zaman içinde değişebilir; güncel değerler için Kurumun resmî internet sitesi esas alınmalıdır.

İstisna kapsamında olmak, Kanun’un diğer yükümlülüklerinden kurtulmak anlamına gelmez. Aydınlatma yükümlülüğü, veri güvenliğine ilişkin tedbirler ve ilgili kişi başvurularının yanıtlanması, sicile kayıtlı olup olmadığına bakılmaksızın uygulanır.

Özel Nitelikli Kişisel Veri Kavramı VERBİS Açısından Neden Önemlidir?

Kanun’un 6. maddesi ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayar. Ana faaliyet konusu bu verilerin işlenmesine dayanan bir veri sorumlusu, küçük ölçekli olsa dahi sicile kayıt yükümlülüğü altındadır. Özel hastaneler, klinikler, diş hekimleri, sağlık merkezleri ve benzeri kuruluşlar bu grupta değerlendirilir.

Çalışanların sağlık raporlarının veya sendika üyeliği bilgilerinin işlenmesi, ana faaliyet konusu bakımından tek başına yükümlülük doğurmaz. Ölçüt, verinin işletmenin ana faaliyetinin ayrılmaz bir parçası olarak işlenmesidir. Bu ayrım her somut olayda faaliyet alanına ve veri işleme akışına bakılarak yapılmalıdır.

VERBİS Kayıt Süreci Nasıl İşler?

Kayıt işlemleri Kurumun elektronik ortamda sunduğu sistem üzerinden yürütülür. Veri sorumlusunun kayıt öncesinde aşağıdaki hazırlıkları tamamlaması gerekir:

• Kişisel veri işleme envanterinin hazırlanması; hangi verilerin hangi amaçla, hangi hukuki sebebe dayanılarak ve hangi süreyle işlendiğinin belirlenmesi.
• Kişisel veri saklama ve imha politikasının oluşturulması ve saklama süreleri ile imha sürelerinin tespit edilmesi.
• Veri sorumlusu irtibat kişisinin belirlenmesi; bu kişi Kurum ile iletişimde veri sorumlusu adına muhatap olur.
• Veri aktarımı yapılan alıcı gruplarının, yurt dışına aktarımların ve alınan veri güvenliği tedbirlerinin belirlenmesi.
• Kayıt için gerekli kimlik doğrulama ve yetkilendirme adımlarının tamamlanması.

Sicile girilen bilgiler arasında veri sorumlusunun kimliği ve adresi, işlenen kişisel veri kategorileri, işleme amaçları, veri konusu kişi grupları, aktarılan alıcı grupları, öngörülen azami saklama süresi, yurt dışına aktarım bilgileri ve alınan güvenlik tedbirleri yer alır. Girilen bilgilerin gerçek veri işleme faaliyetiyle uyumlu olması gerekir; eksik veya gerçeğe aykırı beyan ayrıca sorumluluk doğurabilir.

Sicile kayıtlı bilgilerde değişiklik meydana geldiğinde Yönetmelik uyarınca güncelleme yapılması zorunludur. Güncelleme süresi ve usulü Yönetmelikte belirlenmiştir; değişiklik takvimini izlemek için envanterin düzenli aralıklarla gözden geçirilmesi uygulamada sağlıklı bir yöntemdir.

Kişisel Verilerin Korunması Kurumunun 21.04.2022 Tarihli Duyurusu Ne İçeriyordu?

Kurum, 21.04.2022 tarihli duyurusunda sicile kayıt yükümlülüğünün Kanun’un 16. maddesinden doğduğunu, kayıt yükümlülüğü bulunan veri sorumlularının Kurulca belirlenen süreler içinde kayıt yaptırması gerektiğini ve yükümlülüğe aykırılık hâlinde idari para cezası uygulanacağını kamuoyuna duyurmuştur. Duyuru, süresi geçmiş olmasına rağmen kaydını yaptırmayan veri sorumlularına yönelikti ve Kurumun denetim ile yaptırım pratiğinin başlayacağına işaret ediyordu.

Duyurunun yayımlandığı tarihten sonra Kurul, kayıt yükümlülüğünü yerine getirmeyen veri sorumluları hakkında re’sen inceleme yürütmüş ve idari para cezası kararları vermiştir. Bu nedenle yükümlülüğün sonradan yerine getirilmesi, daha önce doğmuş olan idari yaptırım sorumluluğunu kendiliğinden ortadan kaldırmaz.

VERBİS’e Kayıt Yaptırmamanın Yaptırımı Nedir?

Kanun’un 18. maddesi, sicile kayıt ve bildirim yükümlülüğüne aykırı davranan veri sorumlularına Kurul tarafından idari para cezası verilmesini öngörür. Para cezasının alt ve üst sınırları Kanun’da gösterilmiştir ve Vergi Usul Kanunu uyarınca belirlenen yeniden değerleme oranında her yıl artar. Bu nedenle 2026 yılında uygulanacak tutarlar için Kurumun ve Gelir İdaresi Başkanlığının yıllık duyurularına bakılmalıdır. Tutar konusunda kesin rakamla değerlendirme yapmak yerine güncel duyurunun esas alınması gerekir.

İdari para cezaları veri sorumlusuna, tüzel kişilerde ise tüzel kişiliğe uygulanır. Kurul karar verirken ihlalin niteliğini, veri sorumlusunun kusur durumunu ve ekonomik gücünü dikkate alır. İdari yaptırım kararlarına karşı Kabahatler Kanunu hükümleri çerçevesinde yasal süre içinde yargı yoluna başvurulabilir. Başvuru süresi kararın tebliğinden itibaren işler; bu nedenle tebligat tarihi ve karar metni titizlikle incelenmelidir.

Kişisel verilerin hukuka aykırı olarak kaydedilmesi, verilerin başkasına verilmesi, yayılması veya ele geçirilmesi ise 5237 sayılı Türk Ceza Kanunu’nun 135 ila 138. maddelerinde ayrıca suç olarak düzenlenmiştir. İdari yaptırım ile cezai sorumluluk birbirinden bağımsızdır.

Kayıt Sonrasında Veri Sorumlusunun Yükümlülükleri Nelerdir?

Sicile kayıt işlemi tek başına uyum sürecini tamamlamaz. Veri sorumlusunun kayıttan sonra da aşağıdaki yükümlülükleri sürdürmesi gerekir:

• Aydınlatma yükümlülüğü: Kişisel veriler elde edilirken ilgili kişilere veri sorumlusunun kimliği, işleme amacı, aktarım alıcıları, toplama yöntemi ve hukuki sebep ile ilgili kişinin hakları bildirilir.
• Veri güvenliği: Verilerin hukuka aykırı işlenmesini ve erişilmesini önlemek, verilerin muhafazasını sağlamak için gerekli teknik ve idari tedbirler alınır.
• İlgili kişi başvurularının yanıtlanması: Başvurular, talebin niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırılır.
• Veri ihlali bildirimi: Kişisel verilerin hukuka aykırı yollarla başkaları tarafından ele geçirilmesi hâlinde ihlal, gecikmeksizin ilgili kişiye ve Kurula bildirilir. Kurul bildirim süresini karar ile belirlemiştir.
• Silme, yok etme ve anonimleştirme: İşleme amacı ortadan kalkan veriler saklama ve imha politikasına uygun olarak silinir, yok edilir veya anonim hâle getirilir.

Sicil Kaydının Hukuki Sonuçları Nelerdir?

Sicil kamuya açıktır; herkes kayıtlı veri sorumlularının beyan ettiği bilgileri inceleyebilir. Bu nedenle sicile girilen bilgiler ile veri sorumlusunun internet sitesindeki aydınlatma metinleri ve gizlilik politikaları arasında çelişki bulunmamalıdır. Çelişki, hem denetim hem de ilgili kişi şikâyetleri bakımından delil oluşturabilir.

Sicile kayıtlı olmayan bir veri sorumlusunun, Kurul tarafından istenen bilgi ve belgeleri sunmaması veya Kurul kararlarını yerine getirmemesi ayrı bir yaptırım nedenidir. Şikâyet ya da ihbar üzerine başlatılan incelemelerde ilk sorulan konular arasında sicil kaydı, envanter ve aydınlatma metinleri yer alır.

Uygulamada Sık Karşılaşılan Hatalar Nelerdir?

• Envanter hazırlanmadan doğrudan sicile kayıt yapılması ve girilen bilgilerin gerçek işleyişi yansıtmaması.
• İstisna ölçütlerinin yalnızca çalışan sayısına göre değerlendirilip mali bilanço ve ana faaliyet ölçütünün göz ardı edilmesi.
• Şirket değişikliği, adres değişikliği veya yeni veri işleme faaliyeti sonrasında sicil bilgilerinin güncellenmemesi.
• Yurt dışı veri aktarımlarının, özellikle bulut hizmeti kullanımından doğan aktarımların sicilde belirtilmemesi.
• Saklama süresinin gerçekçi olmayan biçimde sınırsız veya çok uzun gösterilmesi.
• Veri sorumlusu ile veri işleyen ayrımının yapılmaması; hizmet alınan taraflarla veri işleme sözleşmelerinin bulunmaması.

Kayıt Yükümlülüğünün Değerlendirilmesinde İzlenecek Adımlar Nelerdir?

Bir işletmenin sicile kayıt yükümlülüğünün bulunup bulunmadığını belirlemek için sıralı bir değerlendirme yapılır. İlk olarak işletmenin veri sorumlusu sıfatı taşıyıp taşımadığı, yani kişisel veri işleme amacını ve vasıtalarını belirleyip belirlemediği tespit edilir. İkinci olarak Kurul kararlarında yer alan çalışan sayısı ve mali bilanço ölçütleri, ilgili hesap dönemindeki verilerle karşılaştırılır. Üçüncü olarak ana faaliyet konusunun özel nitelikli kişisel veri işlemeyi gerektirip gerektirmediği araştırılır. Son olarak yurt dışında yerleşik olup olmama durumu ve kamu kurumu niteliği değerlendirilir.

Değerlendirmenin sonucu ile birlikte dayanak veriler ve tarih bilgisi yazılı olarak muhafaza edilmelidir. Yıllık çalışan sayısı ve bilanço tutarı her mali dönemde yeniden hesaplandığından, bir yıl istisna kapsamında kalan işletme sonraki yıl kayıt yükümlüsü hâline gelebilir. Bu geçiş, Kurul kararındaki usul çerçevesinde süresi içinde sicile kayıtla tamamlanmalıdır.

İdari Para Cezasına Karşı Hangi Hukuki Yollara Başvurulabilir?

Kurul tarafından verilen idari para cezası kararına karşı, Kabahatler Kanunu’nun ilgili hükümleri ve KVKK’nın 18. maddesi çerçevesinde yetkili yargı merciine yasal süre içinde başvurulur. Başvuru dilekçesinde kararın hukuka aykırı olduğuna ilişkin gerekçeler, delil listesi ve varsa sicile kayıt sürecine ilişkin belgeler sunulur. Başvuru, cezanın ödenmesini durdurmaz; yürütmenin durdurulması talebi ise dilekçede ayrıca ileri sürülebilir.

Cezanın ilk tebliğ tarihinden itibaren belirli bir indirimle ödenmesine olanak tanıyan hükümler bulunmaktadır. Bu hükümlerin koşulları ve oranı, kararda ve Kanun metninde gösterilen şartlara göre incelenmelidir. İndirimli ödeme, karara karşı yargı yoluna başvuru hakkının kullanılmasıyla birlikte değerlendirilmeli ve iki yoldan birinin tercih edilmesinin sonuçları önceden gözden geçirilmelidir.

2026 Yılı İçin Dikkat Edilmesi Gereken Güncel Hususlar

Kişisel verilerin yurt dışına aktarımına ilişkin hükümler 7499 sayılı Kanun ile değiştirilmiş, değişiklikler 1 Haziran 2024 tarihinde yürürlüğe girmiştir. Bu değişiklikle özel nitelikli kişisel verilerin işlenme şartları ve yurt dışına aktarım rejimi yeniden düzenlenmiştir. Sicile girilen yurt dışı aktarım bilgilerinin bu düzenlemeyle uyumlu olması gerekir. Ayrıca idari para cezası tutarlarının her yıl yeniden değerleme oranında artırıldığı unutulmamalı, güncel tutarlar Kurumun resmî internet sitesinden takip edilmelidir.

Kurumun yayımladığı rehberler, Kurul ilke kararları ve kamuoyu duyuruları için Kişisel Verileri Koruma Kurumu internet sitesi esas alınmalıdır. Somut olayda değerlendirme belgeler incelenerek yapılmalıdır.

Kişisel Veri İşleme Envanteri Nasıl Hazırlanır?

Envanter, sicile girilecek bilgilerin kaynağını oluşturur. Hazırlık aşamasında veri sorumlusunun tüm iş süreçleri departman bazında incelenir; insan kaynakları, muhasebe, satış, pazarlama, bilgi teknolojileri ve güvenlik birimlerinin hangi kişisel verileri topladığı belirlenir. Her süreç için veri kategorisi, ilgili kişi grubu, işleme amacı, hukuki sebep, aktarım yapılan alıcılar ve saklama süresi ayrı ayrı kaydedilir. Kimlik, iletişim, müşteri işlemi, çalışan özlük, finans, fiziksel mekân güvenliği, işlem güvenliği ve pazarlama gibi kategoriler Kurumun sicil sistemindeki standart sınıflandırmayla uyumlu şekilde tanımlanır.

Envanterin doğruluğu bakımından yalnızca dijital sistemler değil, kâğıt ortamındaki arşivler, kamera kayıtları, telefon görüşme kayıtları ve ziyaretçi defterleri de dikkate alınmalıdır. Hizmet alınan muhasebe, bordro, bulut ve yazılım sağlayıcıları ile yapılan paylaşımlar aktarım kaydına işlenir. Envanter, işletmenin faaliyetinde değişiklik olduğunda güncellenir ve güncel hâli sicil bilgileriyle karşılaştırılır. Bu karşılaştırma, denetim sırasında ortaya çıkabilecek tutarsızlıkları önlemeye yardımcı olur.

Saklama süreleri belirlenirken sözleşmeden ve mevzuattan doğan zorunlu süreler esas alınır. Örneğin ticari defter ve belgelerin saklanmasına ilişkin süreler ile iş ilişkisine dair kayıtların zamanaşımı süreleri, saklama süresinin dayanağını oluşturabilir. Süre sona erdiğinde verilerin silinmesi, yok edilmesi veya anonim hâle getirilmesi periyodik imha takvimine göre yürütülür ve imha işlemleri tutanakla belgelendirilir.

Sık Sorulan Sorular

VERBİS nedir?

VERBİS, Kişisel Verileri Koruma Kurumu tarafından işletilen Veri Sorumluları Sicili Bilgi Sistemi’dir. Kayıt yükümlüsü veri sorumlularının kişisel veri işleme faaliyetlerine ilişkin bilgileri bu sisteme girerek sicile kaydolur.

VERBİS kaydı kimler için zorunludur?

Kurul kararlarında belirlenen çalışan sayısı ve mali bilanço eşiklerini aşan veri sorumluları, yurt dışında yerleşik veri sorumluları, kamu kurum ve kuruluşları ile ana faaliyeti özel nitelikli kişisel veri işlemeye dayanan veri sorumluları kayıt yükümlüsüdür.

VERBİS’e kayıt ne zaman yapılmalıdır?

Kural olarak veri işlemeye başlamadan önce kayıt yapılmalıdır. Kurul tarafından belirlenen süreler içinde kaydını tamamlamayan veri sorumluları yükümlülüğü ihlal etmiş olur.

VERBİS’e kayıt yaptırmamanın cezası nedir?

Kanun’un 18. maddesi uyarınca idari para cezası uygulanır. Tutarlar her yıl yeniden değerleme oranında güncellendiğinden 2026 yılı tutarları Kurumun resmî duyurularından öğrenilmelidir.

Kaydı geç yaptıran veri sorumlusu ceza almaz mı?

Kaydın geç yapılması, sürenin geçmesiyle doğmuş olan idari yaptırım sorumluluğunu kendiliğinden ortadan kaldırmaz. Kurul, ihlalin niteliğini ve somut koşulları dikkate alarak karar verir.

Çalışan sayısı az olan bir şirket VERBİS’e kayıt yaptırmak zorunda mıdır?

Çalışan sayısının az olması tek başına yeterli değildir. Mali bilanço toplamı ve ana faaliyet konusunun özel nitelikli kişisel veri işlemeye dayanıp dayanmadığı da değerlendirilir.

Sağlık alanında çalışan küçük bir klinik VERBİS’e kayıt yaptırmalı mıdır?

Ana faaliyet konusu sağlık verisi işlemeye dayanan veri sorumluları, ölçekleri küçük olsa dahi kayıt yükümlüsüdür. Kurul kararlarındaki güncel ayrıntılar ayrıca kontrol edilmelidir.

VERBİS kaydı için hangi belgeler hazırlanmalıdır?

Kişisel veri işleme envanteri, kişisel veri saklama ve imha politikası ile veri sorumlusu irtibat kişisi bilgileri hazırlanmalıdır. Kayıt için Kurumun sistemine kimlik doğrulama ile giriş yapılır.

VERBİS bilgilerinde değişiklik olursa ne yapılmalıdır?

Sicile kayıtlı bilgilerde değişiklik olduğunda Yönetmelikte öngörülen süre içinde bilgiler güncellenmelidir. Süre ve usul için Veri Sorumluları Sicili Hakkında Yönetmelik hükümleri esas alınır.

Yurt dışında yerleşik veri sorumluları VERBİS’e nasıl kayıt yaptırır?

Yurt dışında yerleşik veri sorumluları, Türkiye’de bir veri sorumlusu temsilcisi atayarak sicile kayıt yaptırır. Temsilcinin yetkileri ve bilgileri sicil kaydında gösterilir.

İdari para cezasına karşı itiraz edilebilir mi?

Kurul kararına karşı Kabahatler Kanunu çerçevesinde yasal süre içinde yargı yoluna başvurulabilir. Sürenin başlangıcı tebliğ tarihidir.

VERBİS kaydı yaptırmak KVKK uyumunu tamamlar mı?

Hayır. Sicile kayıt, aydınlatma metinleri, açık rıza süreçleri, veri güvenliği tedbirleri ve ilgili kişi başvuru süreçleri gibi diğer yükümlülüklerden bağımsız olarak yürütülür.

VERBİS sicili herkese açık mıdır?

Evet. Kanun’a göre sicil kamuya açıktır; kayıtlı veri sorumlularının beyan ettiği bilgiler Kurumun internet sitesi üzerinden görüntülenebilir.