Kişisel Verilerin Korunması · 13 Eylül 2026 · 10 dakika
İşletmeler için KVKK uyumu ve VERBİS kaydı
VERBİS kayıt yükümlülüğü kimleri kapsıyor, muafiyet eşikleri neler, aydınlatma ve açık rıza nasıl kurulur, veri ihlalinde ne yapılır.
Otel, emlak ofisi, sağlık kuruluşu, restoran zinciri, e-ticaret işletmesi — Antalya bölgesinde faaliyet gösteren hemen her işletme kişisel veri işliyor. Müşteri kimlik bilgisi, rezervasyon kaydı, personel özlük dosyası, güvenlik kamerası görüntüsü, çağrı kaydı. Bunların her biri 6698 sayılı Kanun kapsamında.
Uyum çalışması çoğu işletmede VERBİS kaydına indirgeniyor. Oysa VERBİS yükümlülüğün yalnızca bir parçası ve birçok işletme için hiç doğmayabiliyor. Asıl yükümlülükler başka yerde.
VERBİS kaydı kimler için zorunlu?
Veri Sorumluları Sicil Bilgi Sistemi, Kanunun 16. maddesi kapsamında kurulmuş bir sicil. Kural olarak kişisel veri işleyen veri sorumluları kayıt olmak zorunda; ancak Kurul muafiyet getirmiş durumda.
Muafiyetin iki şartı birlikte aranır
Ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan veri sorumlularından:
1. Yıllık çalışan sayısı elliden az olan ve
2. Yıllık mali bilanço toplamı Kurulca belirlenen eşiğin altında kalanlar
VERBİS'e kayıt yükümlülüğünden muaftır. Şartlardan biri sağlanmıyorsa kayıt zorunludur.
Eşikler güncelleniyor
Mali bilanço eşiği Kurul kararlarıyla dönem dönem güncelleniyor. Bu nedenle geçmiş yıllarda muaf olan bir işletme, eşik veya kendi bilançosu değiştiği için kapsama girmiş olabilir. Değerlendirmenin güncel Kurul kararı üzerinden yapılması gerekir.
Çalışan sayısı hesabında tamamlanmış bir yıl esas alınır; o yıldaki on iki ayın en az yedisinde verilen Muhtasar ve Prim Hizmet Beyannamesindeki çalışan sayısına bakılır.
Ana faaliyeti özel nitelikli veri işlemek olan kuruluşlar — özel hastane, laboratuvar, diş kliniği, psikolojik danışmanlık merkezi gibi — eşiklerin altında kalsa dahi kayıt yükümlüsüdür. Sağlık turizminin yoğun olduğu bölgede bu ayrım pratikte sıkça gündeme geliyor.
Muafiyet, uyumdan muafiyet değil
En sık yapılan hata bu. VERBİS'e kayıt yükümlülüğünün bulunmaması, Kanunun diğer yükümlülüklerini ortadan kaldırmıyor. Elli kişiden az çalışanı olan bir otel de aydınlatma yapmak, veri güvenliğini sağlamak, saklama ve imha politikası oluşturmak zorunda.
Aydınlatma yükümlülüğü
Kişisel verilerin elde edilmesi sırasında veri sorumlusu veya yetkilendirdiği kişi, ilgili kişilere; veri sorumlusunun kimliği, kişisel verilerin hangi amaçla işleneceği, kimlere ve hangi amaçla aktarılabileceği, toplamanın yöntemi ve hukuki sebebi ile 11 inci maddede sayılan diğer hakları konusunda bilgi vermekle yükümlüdür.
Aydınlatma, verinin elde edildiği anda yapılmalı ve her kanal için ayrı kurgulanmalıdır. Uygulamada en çok atlanan noktalar:
- Resepsiyonda kimlik alınırken sözlü veya yazılı aydınlatma
- İnternet sitesindeki iletişim ve rezervasyon formları
- Kamera kayıt alanlarına yerleştirilecek bilgilendirme levhaları
- Çağrı merkezi karşılama anonsu
- İş başvurusu formları ve özgeçmiş toplama süreçleri
- Personel özlük dosyası oluşturulması
Açık rıza her yerde gerekli değil
Yaygın bir yanlış, her veri işleme faaliyeti için açık rıza alınması gerektiği sanılması. Oysa açık rıza, Kanunun 5. maddesinde sayılan diğer hukuki sebeplerin bulunmadığı hâllerde başvurulacak bir şarttır.
Bir iş sözleşmesinin ifası için gereken personel verisi, sözleşmenin ifasıyla doğrudan ilgili olduğundan açık rızaya dayanmaz. Vergi mevzuatından doğan kayıt yükümlülüğü hukuki yükümlülük sebebine dayanır. Bunlar için rıza almak, hem gereksizdir hem de rızanın geri alınması hâlinde işlemeyi hukuka aykırı hâle getirme riski doğurur.
Rıza hizmet şartına bağlanamaz
Açık rıza özgür iradeyle verilmiş olmalıdır. Bir hizmetin sunulması, o hizmet için gerekli olmayan veri işleme faaliyetine rıza verilmesi şartına bağlanamaz. Rezervasyon yapabilmek için pazarlama izni verilmesini zorunlu tutan bir form bu kurala aykırıdır.
Veri ihlali: yetmiş iki saat
İşlenen kişisel verilerin kanuni olmayan yollarla başkaları tarafından elde edilmesi hâlinde veri sorumlusu, bu durumu öğrendiği tarihten itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurula bildirmek zorundadır. İlgili kişilere de makul olan en kısa sürede bildirim yapılır.
Yetmiş iki saat kısa bir süre. Bu nedenle ihlal müdahale planının önceden hazırlanmış olması gerekir: kim tespit edecek, kime raporlayacak, bildirimi kim yapacak, hangi kayıtlar toplanacak.
Süreyi ve bitiş gününü hukuki süre hesaplama aracından görebilirsiniz.
İlgili kişi başvuruları
Kanunun 11. maddesi ilgili kişiye sekiz ayrı hak tanıyor: verisinin işlenip işlenmediğini öğrenme, işlenmişse bilgi talep etme, amaca uygun kullanılıp kullanılmadığını öğrenme, aktarıldığı üçüncü kişileri bilme, düzeltilmesini isteme, silinmesini veya yok edilmesini isteme, bu işlemlerin üçüncü kişilere bildirilmesini isteme, otomatik sistemlerle analiz sonucu aleyhe çıkan sonuca itiraz etme ve zararının giderilmesini talep etme.
Veri sorumlusu, başvuruda yer alan talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır. Başvuru reddedilirse gerekçesi bildirilmelidir.
Cevap verilmemesi veya yetersiz cevap verilmesi hâlinde ilgili kişi Kurula şikâyette bulunabilir. Şikâyet süresi, cevabı öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gündür.
Uyum çalışmasının sırası
Adım adım uyum
- Veri envanteri çıkarın: hangi veri, hangi süreçte, hangi amaçla, nerede saklanıyor
- Her işleme faaliyeti için hukuki sebebi belirleyin
- Aydınlatma metinlerini kanal kanal hazırlayın
- Açık rıza gereken hâlleri ayırın ve rızayı diğer metinlerden ayrı alın
- Saklama ve imha politikası ile periyodik imha takvimi oluşturun
- Teknik ve idari tedbirleri belgeleyin: erişim yetkileri, şifreleme, yedekleme
- Veri işleyenlerle sözleşme yapın (muhasebe, bulut, çağrı merkezi, yazılım)
- İlgili kişi başvurularını karşılayacak bir kanal ve süreç kurun
- Veri ihlali müdahale planını yazın ve sorumluları belirleyin
- Muafiyet kapsamında değilseniz VERBİS kaydını yapın ve güncel tutun
Sıralama önemli. VERBİS kaydı envanterin üzerine kurulur; envanter çıkarılmadan yapılan kayıt eksik veya gerçeğe aykırı beyan riski taşır. Kurul denetimlerinde en sık eleştirilen noktalardan biri, veri kategorilerinin gerçek süreçlerle örtüşmemesi.
Aykırılığın sonucu
Kanunun 18. maddesi aydınlatma yükümlülüğüne, veri güvenliğine ilişkin yükümlülüklere, Kurul kararlarına ve VERBİS yükümlülüğüne aykırılık hâlleri için ayrı ayrı idari para cezası öngörüyor. Tutarlar her yıl yeniden değerleme oranıyla güncelleniyor.
Kurul ceza miktarını belirlerken ihlalin süresi, etkilenen kişi sayısı, veri sorumlusunun büyüklüğü ve tekrar durumunu değerlendiriyor. Küçük ölçekli ve ilk kez tespit edilen ihlaller genellikle alt banda yakın değerlendiriliyor; ancak bu bir güvence değil.
Kişisel verilerin korunması alanındaki çalışmalara Kişisel Verilerin Korunması sayfasından ulaşabilirsiniz.
Sıkça sorulan sorular
VERBİS kaydı hangi işletmeler için zorunlu?
Yıllık çalışan sayısı elliden az ve yıllık mali bilanço toplamı Kurulca belirlenen eşiğin altında olan ve ana faaliyeti özel nitelikli kişisel veri işlemek olmayan veri sorumluları muaftır. Bu iki şartın birlikte sağlanması gerekir.
Muafiyet KVKK yükümlülüklerini ortadan kaldırır mı?
Hayır. VERBİS'e kayıt yükümlülüğünün bulunmaması, aydınlatma, veri güvenliği, saklama ve imha gibi diğer yükümlülükleri ortadan kaldırmaz. Bunlar her veri sorumlusu için geçerlidir.
Aydınlatma ile açık rıza aynı şey mi?
Hayır. Aydınlatma her veri işleme faaliyetinde yerine getirilmesi gereken bir yükümlülüktür. Açık rıza ise yalnızca kanunda sayılan diğer hukuki sebeplerin bulunmadığı hâllerde başvurulan bir işleme şartıdır.
Veri ihlali olursa ne kadar sürede bildirim yapılmalı?
Veri sorumlusu, ihlali öğrendiği tarihten itibaren gecikmeksizin ve en geç yetmiş iki saat içinde Kurula bildirir. İlgili kişilere de makul olan en kısa sürede bildirim yapılır.
İlgili kişi başvurusuna ne kadar sürede cevap verilmeli?
Veri sorumlusu, başvuruda yer alan talepleri niteliğine göre en kısa sürede ve en geç otuz gün içinde ücretsiz olarak sonuçlandırır.