VERBİS Nedir? Kimler Kayıt Olmak Zorunda, Kimler İstisna?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), 6698 sayılı Kanun’un 16. maddesiyle kurulan kamuya açık Veri Sorumluları Sicili’ne kayıt ve bildirimlerin yapıldığı, Kişisel Verileri Koruma Kurumu tarafından işletilen çevrim içi sistemdir. Kişisel veri işleyen gerçek ve tüzel kişiler kural olarak veri işlemeye BAŞLAMADAN ÖNCE Sicile kaydolmak zorundadır; Kurul, işlenen verinin niteliği ve sayısı gibi objektif ölçütlere dayanarak bu zorunluluğa istisna getirebilir (m.16/2). Yürürlükteki istisna kararına göre yıllık çalışan sayısı ve yıllık mali bilanço toplamı Kurul’un belirlediği iki eşiğin de altında kalan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları kayıt yükümlüsü değildir. Buna karşılık ana faaliyeti özel nitelikli kişisel veri işleme olanlar, kamu kurum ve kuruluşları ile yurt dışında yerleşik veri sorumluları eşiğe bakılmaksızın kayıt yükümlüsüdür. Eşik değerleri kanunda değil Kurul kararında yazılıdır ve değişebilir.
- KISALTMA
- Veri Sorumluları Sicil Bilgi Sistemi
- DAYANAK
- 6698 sayılı KVKK m.16
- YÜRÜRLÜK
- m.16 → 7 Ekim 2016 (Kanun 7 Nisan 2016; m.32 uyarınca altı ay sonra)
- KURUM
- Kişisel Verileri Koruma Kurumu · Kurul gözetiminde, Başkanlık tarafından tutulur
- EŞİK KAYNAĞI
- Kanun değil, Kurul kararı — değişebilir
VERBİS nedir?
Kanunun kurduğu şey Sicildir: “Kurulun gözetiminde, Başkanlık tarafından kamuya açık olarak Veri Sorumluları Sicili tutulur” (KVKK m.16/1). VERBİS ise bu Sicile kayıt ve bildirimlerin yapıldığı, Kurum tarafından işletilen çevrim içi bilişim sistemidir. Sicil hukuki kurum, VERBİS onun kullanıldığı arayüzdür; günlük dilde ikisi birbirinin yerine kullanılır ve bu çoğu zaman zararsızdır — ama yükümlülük Sicile kayıt yükümlülüğüdür, bir yazılıma giriş yapma yükümlülüğü değil.
Sicil kamuya açıktır. Bu bir ayrıntı değil, pratikte kullanılan bir denetim aracıdır: sözleşme imzalayacağınız tarafın kayıtlı olup olmadığını ve hangi başlıkları bildirdiğini, karşı tarafın beyanına ihtiyaç duymadan görebilirsiniz. Durum tespiti çalışmalarında bu, en ucuz doğrulama adımlarından biridir.
Kayıt yükümlüsü müsünüz?
Aşağıdaki denetleyici, veri sorumlusunun türünü ve iki ölçütü alır; kayıt yükümlülüğünün olup olmadığını ve hangi kuralın neden uygulandığını dayanağıyla birlikte gösterir. Girdiğiniz hiçbir bilgi sunucuya gönderilmez; hesap tarayıcınızda yapılır.
Kural: kayıt zorunlu, istisna Kurul’dan
KVKK m.16/2 iki cümledir ve ikisi birlikte okunmadığında sayfanın geri kalanı anlaşılmaz. Birinci cümle kuralı koyar: kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. İkinci cümle ise istisna yetkisini Kurul’a verir: işlenen kişisel verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterler göz önüne alınarak kayıt zorunluluğuna istisna getirilebilir.
Bunun pratik sonucu şudur: muafiyetiniz kanun metninden okunamaz. Kanunda ne “50 çalışan” ne de bir bilanço tutarı geçer; bu sayılar Kurul’un istisna kararında yer alır ve yeni bir kararla değişebilir. Sayfadaki denetleyicinin eşikleri sormasının sebebi budur.
Yükümlülük veri sorumlusuna aittir: kişisel verilerin işlenme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından ve yönetilmesinden sorumlu olan kişi (m.3). Veri sorumlusu adına veri işleyen veri işleyen sıfatındaki hizmet sağlayıcı, bu sıfatı nedeniyle kendi adına Sicile kaydolmaz — ancak kendi çalışanları bakımından ayrıca veri sorumlusu olabileceği unutulmamalıdır.
Kimler eşiğe bakılmaksızın kayıt olur
Üç grup için çalışan sayısı ve bilanço hiç sorulmaz; kayıt yükümlülüğü doğrudan doğar:
| Veri sorumlusu | Neden eşik sorulmaz | Dayanak |
|---|---|---|
| Ana faaliyeti özel nitelikli kişisel veri işleme olanlar | Eşik istisnası, ana faaliyet konusu özel nitelikli veri işleme OLMAYANLAR için tanınmıştır. | KVKK m.6 · Kurul istisna kararı |
| Kamu kurum ve kuruluşları | Kural kayıt zorunluluğudur; istisna ancak Kurul kararıyla gelir ve istisna kararı kamu kurumlarını kapsamaz. | KVKK m.16/2 |
| Yurt dışında yerleşik veri sorumluları | Kurul’un kayıt başlangıç tarihlerini belirleyen kararında, büyüklükten bağımsız ayrı bir grup olarak sayılmıştır. | Kurul kayıt takvimi kararı |
Yurt dışında yerleşik veri sorumlusu için kayıt tek başına yetmez: Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca Sicile kayıt başvurusundan önce Türkiye’de yerleşik bir tüzel kişiyi ya da Türkiye Cumhuriyeti vatandaşı bir gerçek kişiyi veri sorumlusu temsilcisi olarak atamak gerekir.
İstisna kapsamındakiler
Kurul, m.16/2’deki yetkisini kullanarak kayıt yükümlülüğüne istisna getirmiştir. İstisna listesi tek bir kararla oluşmadı; ilk kararı sonraki kararlar genişletti. Bugün istisna kapsamında olanlar başlıca şunlardır:
- Eşiklerin ikisinin de altında kalanlar
- Yıllık çalışan sayısı VE yıllık mali bilanço toplamı Kurul’un belirlediği değerlerin ikisinin de altında olan, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek veya tüzel kişiler.
- Noterler
- Noterlik faaliyeti, 1512 sayılı Noterlik Kanunu çerçevesinde yürütülür ve istisna kararında ayrıca sayılmıştır.
- Avukatlar
- Avukatlık faaliyeti kapsamındaki veri işleme; 1136 sayılı Avukatlık Kanunu çerçevesinde.
- SMMM ve YMM’ler
- Serbest muhasebeci mali müşavirler ile yeminli mali müşavirlerin mesleki faaliyetleri.
- Gümrük müşavirleri ve arabulucular
- Kurul’un istisna listesini genişleten sonraki kararlarıyla eklenmiştir.
- Dernek, vakıf ve sendikalar
- YALNIZCA ilgili mevzuata ve amaçlarına uygun, faaliyet alanlarıyla sınırlı ve sadece kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik veri işledikleri sürece. Bu çerçevenin dışına çıkan bir faaliyet istisnayı düşürür.
- Siyasi partiler
- Dernek, vakıf ve sendikalarla aynı koşullar altında.
- Yalnızca fiziksel ortamda işleyenler
- Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla kişisel veriyi yalnız fiziksel ortamda işleyenler.
İki uyarı bu listeyle birlikte okunmalı. Birincisi: liste kapalı ve donmuş değildir — Kurul kararlarıyla oluştu ve genişletildi; güncel hâlini Kurumun kendi duyurusundan doğrulayın. İkincisi: istisna yalnızca m.16’ya ilişkindir. Aydınlatma yükümlülüğü (m.10), veri güvenliğine ilişkin yükümlülükler (m.12), ilgili kişi başvurularının cevaplanması (m.13) ve veri ihlalinin Kurul’a bildirilmesi (m.12/5) kayıt yükümlüsü olmayan veri sorumluları için de aynen geçerlidir.
İki eşik ve “ve” bağlacı
Eşik istisnası iki ölçüt taşır ve bunlar “veya” ile değil “ve” ile bağlanmıştır: istisnadan yararlanmak için yıllık çalışan sayısının ve yıllık mali bilanço toplamının ikisinin birden eşiğin altında kalması gerekir. Sahada en sık düşülen hata budur — çalışan sayısına bakıp bilançoyu hiç kontrol etmemek. Tersi de aynı sonucu verir: iki ölçütten yalnız biri aşıldığında istisna düşer ve kayıt yükümlülüğü doğar.
| Çalışan sayısı | Mali bilanço | Sonuç |
|---|---|---|
| Eşiğin altında | Eşiğin altında | İstisna — kayıt yükümlülüğü yok |
| Eşiğin altında | Eşiğe eşit veya üstünde | Kayıt yükümlüsü |
| Eşiğe eşit veya üstünde | Eşiğin altında | Kayıt yükümlüsü |
| Eşiğe eşit veya üstünde | Eşiğe eşit veya üstünde | Kayıt yükümlüsü |
Tablodaki “eşiğe eşit” satırları bir yorum taşır ve bu yorumu saklamıyoruz. Kurul metinleri tam sınır değerinde ayrışır: istisna kararı istisnayı eşiklerin “altında” kalanlara tanır, kayıt takvimini belirleyen karar ise yükümlü grubu eşiklerden “çok” olanlar diye tarif eder. Tam eşik değerinde (örneğin çalışan sayısı tam olarak eşiğe eşitken) hiçbir metin açık hüküm koymaz. Böyle bir sınır durumunda kayıt yükümlüsü kabul etmek güvenli taraftır; sayfadaki denetleyici de bu kabulle çalışır ve sınır değerine denk gelen hesapta bunu ayrıca söyler.
Açıkta kalan ikinci bir nokta daha var: bilanço esasına tabi olmayan, işletme hesabı esasına göre defter tutan bir veri sorumlusunda “yıllık mali bilanço toplamı” ölçütünün nasıl uygulanacağı karar metninden doğrudan okunamaz. Bu, sayfanın gizlediği değil işaret ettiği bir belirsizliktir; somut olayda Kurumun güncel rehberliğine bakılmalıdır.
Sicile ne bildirilir?
Kayıt başvurusu, KVKK m.16/3’te sayılan bilgileri içeren bir bildirimle yapılır. Altı başlık kanunda tek tek sayılıdır:
- (a) Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri
- (b) Kişisel verilerin hangi amaçla işleneceği
- (c) Veri konusu kişi grubu ve grupları ile bu kişilere ait veri kategorileri hakkındaki açıklamalar
- (ç) Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları
- (d) Yurt dışına aktarımı öngörülen kişisel veriler
- (e) Kişisel veri güvenliğine ilişkin alınan tedbirler
- (f) Kişisel verilerin işlendikleri amaç için gerekli olan azami süre
Bu başlıkların hiçbiri VERBİS ekranında sıfırdan doldurulacak sorular değildir: her biri kişisel veri işleme envanterinden üretilir. Veri Sorumluları Sicili Hakkında Yönetmelik, Sicile kayıtla yükümlü veri sorumlularını envanter hazırlamakla yükümlü kılar; envanteri olmayan bir kurumda VERBİS bildirimi tahminle doldurulur ve ilk ilgili kişi başvurusunda tutarsızlığı ortaya çıkar.
İrtibat kişisi ve veri sorumlusu temsilcisi
İki kavram sürekli karıştırılıyor ve karıştırılması pahalı: biri Türkiye’de yerleşik veri sorumlusunun iletişim adresidir, diğeri Türkiye’de yerleşik olmayan veri sorumlusunun buradaki muhatabıdır.
| İrtibat kişisi | Veri sorumlusu temsilcisi | |
|---|---|---|
| Kim için | Türkiye’de yerleşik veri sorumlusu | Türkiye’de yerleşik OLMAYAN veri sorumlusu |
| Zorunlu mu | Sicile kayıtta belirlenir | Kayıt başvurusundan önce atanması zorunludur |
| Temsil yetkisi | Veri sorumlusunu temsil etmez | Kanunda ve Yönetmelikte sayılan işlerde muhataptır |
| Sorumluluk | Yükümlülükler veri sorumlusunda kalır | Yükümlülükler yine veri sorumlusundadır |
Değişiklik bildirimi ve silinme
Kayıt bir kerelik bir işlem değildir. KVKK m.16/4, bildirilen bilgilerde meydana gelen değişikliklerin derhâl Başkanlığa bildirilmesini emreder; Veri Sorumluları Sicili Hakkında Yönetmelik bu “derhâl” ifadesini somut bir süreye bağlar. Yeni bir veri kategorisi işlemeye başlamak, yurt dışına aktarım eklemek, irtibat kişisini değiştirmek ya da saklama süresini güncellemek — hepsi bildirim gerektiren değişikliklerdir.
Ters yön de aynı özeni ister: kayıt yükümlülüğünü ortadan kaldıran bir durum ortaya çıktığında (faaliyetin sona ermesi, birleşme ya da devir, istisna kapsamına girecek biçimde küçülme) kayıt kendiliğinden düşmez; Sicilden silinme talebi gerekir. Yönetmelik bu talebin usulünü düzenler.
Kayıt olunmazsa ne olur?
KVKK m.18/1-ç, Sicile kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında idari para cezası öngörür. Ceza, veri sorumlusunun kendisine kesilir; kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bakımından m.18/3’teki özel usul işler.
Bu sayfada ceza tutarı yazmıyoruz ve bu bir eksiklik değil bir karardır: Kanun metnindeki alt ve üst sınırlar 5326 sayılı Kabahatler Kanunu m.17/7 uyarınca her yıl yeniden değerleme oranında artırılır (oranın dayanağı 213 sayılı Vergi Usul Kanunu mükerrer m.298’dir). Sayfaya yazılacak bir rakam, ocak ayında sessizce yanlış hâle gelir ve okuyan kişi bunu anlayamaz. Güncel tutarı Kurumun yıllık duyurusundan doğrulayın.
Sık yapılan dört hata
“Özel nitelikli veri işliyorum, demek ki eşiğe bakılmaz.”
Ölçüt “özel nitelikli veri işliyor mu” değil, “ANA FAALİYET KONUSU özel nitelikli kişisel veri işleme mi”. Her işveren istirahat raporu, engellilik durumu ya da sendika aidatı gibi özel nitelikli veri işler; bu, ana faaliyetini değiştirmez.
“Çalışanım eşiğin altında, muafım.”
İki ölçüt “ve” ile bağlıdır. Az çalışanla yüksek bilanço toplamına ulaşan bir şirket — tipik olarak sermaye yoğun işler — kayıt yükümlüsüdür.
“Kayıt yükümlüsü değilim, KVKK beni bağlamaz.”
İstisna yalnız m.16’ya ilişkindir. Aydınlatma (m.10), veri güvenliği (m.12), ilgili kişi başvurusu (m.13) ve ihlal bildirimi (m.12/5) yükümlülükleri aynen sürer.
“Bir kere kaydettik, iş bitti.”
Bildirilen bilgilerde değişiklik olduğunda bildirim yenilenir (m.16/4). Kayıt, kurumun veri işleme faaliyetinin canlı bir aynasıdır; donduğu anda yanlış beyana dönüşür.
Sık sorulan sorular
VERBİS ile Veri Sorumluları Sicili aynı şey mi?
VERBİS kaydı ne zaman yapılmalı?
Şirketim küçük; yine de VERBİS’e kayıt olmak zorunda mıyım?
Çalışanların sağlık raporunu tutuyorum; ana faaliyetim özel nitelikli veri işleme sayılır mı?
Yurt dışında kurulu şirketim Türkiye’de veri işliyor; kayıt olmalı mıyım?
İrtibat kişisi ile veri sorumlusu temsilcisi aynı şey mi?
Avukatlar ve mali müşavirler VERBİS’e kayıt olur mu?
Dernek ve vakıflar kayıt yükümlüsü mü?
Kayıt yükümlüsü değilsem KVKK’dan da muaf mıyım?
VERBİS kaydı yapılmazsa yaptırımı nedir?
Sicilde kayıtlı olup olmadığımı nasıl görürüm?
Eşik değerleri neden bu sayfada sabit yazılmıyor?
Kaynaklar ve dayanak
- 6698 sayılı Kişisel Verilerin Korunması Kanunu m.16 (Veri Sorumluları Sicili) — Kayıt zorunluluğu ve Kurul’un istisna yetkisi (m.16/2), bildirim içeriği (m.16/3), değişikliklerin bildirimi (m.16/4); ayrıca özel nitelikli veriler (m.6), kabahatler (m.18) ve m.16’nın yürürlük tarihi (m.32)
- 1512 sayılı Noterlik Kanunu — Kurul’un istisna kararındaki noter istisnasının çerçevesini çizen kanun
- 1136 sayılı Avukatlık Kanunu — Meslek mensubu istisnasında avukatlık faaliyetinin kapsamı
- 213 sayılı Vergi Usul Kanunu mükerrer m.298 — İdari para cezası tutarlarının her yıl artırıldığı yeniden değerleme oranının dayanağı (5326 sayılı Kabahatler Kanunu m.17/7 bu orana atıf yapar)
Son güncelleme: 28 Ağustos 2026. Mevzuat değişebilir; kritik bir karar öncesi yürürlükteki metni kaynağından doğrulayın.
Envanteri ve sözleşmeleri tek dosyada tutmak
VERBİS bildirimi envanterden üretilir, envanter de sözleşmelerden ve evraktan. Korinsa uyum dosyanızdaki belgeleri okur, taraflarını ve sürelerini çıkarır, sürümleri karşılaştırır ve kimin neyi gördüğünü kayıt altına alır.