VERBİS kaydı kimler için zorunlu? Güncel istisna eşikleri

Kısa cevap: kural olarak kişisel veri işleyen her gerçek ve tüzel kişi, veri işlemeye başlamadan önce Veri Sorumluları Siciline (VERBİS) kaydolmak zorundadır (KVKK md. 16/2). Kurul'un güncel istisnasına göre yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar kayıttan muaftır. Ana faaliyeti özel nitelikli veri işleme olanlar için eşik, 10 çalışan ve 10 milyon TL'dir. Bu çerçeve, 2018/87 sayılı Kurul kararının 2023/1154 ve 2025/1572 sayılı kararlarla değişik halidir.

VERBİS nedir, dayanağı ne?

KVKK md. 16/1'e göre Veri Sorumluları Sicili, Kurul'un gözetiminde Başkanlık tarafından kamuya açık olarak tutulur. Ayrıntılar, 30.12.2017 tarihli Resmî Gazete'de yayımlanan Veri Sorumluları Sicili Hakkında Yönetmelik'te düzenlenir. VERBİS, bu sicile başvuruda ve sicille ilgili diğer işlemlerde kullanılan, internet üzerinden erişilen bilişim sisteminin adıdır (Yönetmelik md. 4).

Kanun, Kurul'a kayıt zorunluluğuna istisna getirme yetkisi verir. Kurul bunu işlenen verinin niteliği, sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterlere göre yapar (md. 16/2). Yönetmelik md. 16 bu kriterlere yıllık çalışan sayısını ve yıllık mali bilanço toplamını da ekler.

Güncel istisna eşikleri

Büyüklüğe bağlı istisnanın tarihçesi kısaca şöyle:

• 19.07.2018 tarihli ve 2018/87 sayılı karar: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 25 milyon TL'den az olup ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar muaf tutuldu.
• 06.07.2023 tarihli ve 2023/1154 sayılı karar: bilanço eşiği 25 milyon TL'den 100 milyon TL'ye çıkarıldı.
• 04.09.2025 tarihli ve 2025/1572 sayılı karar: ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları için de bir eşik getirildi. Karar, 01.10.2025 tarihli ve 33034 sayılı Resmî Gazete'de yayımlandığı gün yürürlüğe girdi.

Karar metnindeki "ve" bağlacı önemlidir. Çalışan sayınız 50'nin altında olsa bile bilanço toplamınız 100 milyon TL'yi aşıyorsa istisnadan yararlanamazsınız.

Özel nitelikli kişisel veriler KVKK md. 6'da sayılır: ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleri ile biyometrik ve genetik veriler. İşinizin esası bu verilerin işlenmesine dayanıyorsa ikinci satır sizin içindir. Durumunuzdan emin değilseniz bir hukukçuya danışın.

Sektöre ve faaliyete bağlı istisnalar

Büyüklükten bağımsız olarak Kurul kararlarıyla kayıttan istisna tutulan veri sorumluları şunlardır:

• Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler (2018/32),
• Noterler, siyasi partiler, avukatlar, serbest muhasebeci mali müşavirler ve yeminli mali müşavirler (2018/32),
• Yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olarak veri işleyen, Türkiye'de yerleşik ve kendisine bağlı iktisadi işletmesi bulunmayan dernek, vakıf ve sendikalar (2018/32; 2020/315 ve 2021/571 ile değişik). İktisadi işletmesi olanlar kaydolur ve yalnızca iktisadi işletmenin faaliyetlerine ilişkin bilgi girer.
• Gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirleri (2018/68),
• Arabulucular (2018/75),
• Köy tüzel kişilikleri (2023/2135).

Ayrıca Yönetmelik md. 15, suç soruşturması ya da ilgili kişinin kendisinin alenileştirdiği verilerin işlenmesi gibi bazı faaliyetlerin sicile bildirilmesini gerektirmez.

Muaf olmak neyi değiştirmez?

Yönetmelik md. 5/1-f açıktır: Kurul'un kayıttan muaf tuttuğu veri sorumlularının Kanun kapsamındaki diğer yükümlülükleri ortadan kalkmaz. Kayıttan muaf bir KOBİ de kişileri aydınlatmak (md. 10), veri güvenliği tedbirlerini almak (md. 12) ve ilgili kişilerin başvurularını yanıtlamak zorundadır. Aydınlatma ile açık rıza arasındaki farkı ayrı bir yazıda ele aldık.

VERBİS'e hangi bilgiler girilir?

KVKK md. 16/3 ve Yönetmelik md. 9'a göre kayıt başvurusu şu bilgileri içerir:

• Veri sorumlusunun, varsa temsilcisinin ve irtibat kişisinin kimlik ve adres bilgileri,
• Kişisel verilerin hangi amaçla işleneceği,
• Veri konusu kişi grupları ve bu kişilere ait veri kategorileri,
• Verilerin aktarılabileceği alıcı veya alıcı grupları,
• Yabancı ülkelere aktarımı öngörülen kişisel veriler,
• Veri güvenliğine ilişkin alınan tedbirler,
• Verilerin işlendikleri amaç için gerekli olan azami muhafaza süresi.

Kayıt yükümlüsü veri sorumluları bir kişisel veri işleme envanteri hazırlamak zorundadır ve sicile açıklanan bilgiler bu envantere dayanır (Yönetmelik md. 5/1-ç). Azami sürelerin belirlenmesi ve takibi için ayrıca bir kişisel veri saklama ve imha politikası hazırlanır (md. 9/5). Sicildeki bilgilerin önemli bir kısmı kamuya açıklanır (md. 7/2); bu yüzden envanterin gerçeği yansıtması gerekir. Sicile bildirdiğiniz bilgiler aydınlatma metinlerinizle de uyumlu olmalıdır (Aydınlatma Tebliği md. 5/1-ç).

Süreler

• Kayıt: veri işlemeye başlamadan önce (Kanun md. 16/2, Yönetmelik md. 8/1).
• Sonradan yükümlü hale gelmek: örneğin çalışan sayınız ya da bilanço toplamınız eşiği aştıysa, yükümlülük altına girdikten sonra otuz gün içinde kaydolursunuz (Yönetmelik md. 8/2).
• Ek süre: fiili, teknik ya da hukuki bir imkânsızlık varsa, imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içinde Kurum'a yazılı ve gerekçeli başvurarak ek süre isteyebilirsiniz. Kurum bir defaya mahsus ve otuz günü geçmemek üzere süre verebilir (md. 8/3).
• Değişiklik bildirimi: Kanun md. 16/4 değişikliklerin "derhâl" bildirilmesini ister; Yönetmelik md. 13 bunu değişiklikten itibaren yedi gün olarak belirler.

İlk kayıt dönemi için Kurul'un belirlediği geçiş süreleri 2021/238 sayılı kararla en son 31.12.2021'e uzatılmıştı. Bugün geçerli olan, Yönetmelik'teki sürelerdir.

Kayıt yapmamanın yaptırımı

KVKK md. 18/1-ç, sicile kayıt ve bildirim yükümlülüğüne aykırı hareket edenler için Kanun metninde 20.000 TL'den 1.000.000 TL'ye kadar idari para cezası öngörür. Bu tutarlar sabit değildir. 5326 sayılı Kabahatler Kanunu md. 17/7'ye göre idari para cezaları her takvim yılı başından itibaren, Vergi Usul Kanunu mükerrer md. 298 uyarınca ilan edilen yeniden değerleme oranında artırılarak uygulanır. Yani o yıl geçerli sınırlar Kanun metnindeki rakamlardan yüksektir. Güncel tutarlar için Kurum'un duyurularına bakın.

7499 sayılı Kanunla eklenen md. 18/3'e göre Kurul'un verdiği idari para cezalarına karşı idare mahkemelerinde dava açılır. Bu değişiklik 1 Haziran 2024'te yürürlüğe girdi.

KOBİ için kontrol listesi

• Son yıl sonu itibarıyla yıllık çalışan sayınızı ve yıllık mali bilanço toplamınızı mali müşavirinizle birlikte netleştirin.
• Ana faaliyetinizin özel nitelikli kişisel veri işleme olup olmadığını değerlendirin; tablodaki doğru satırı seçin.
• Sektörünüz için ayrı bir istisna kararı olup olmadığını kontrol edin.
• Muafsanız bunu ve dayandığınız kararı yazılı olarak kayda geçirin; aydınlatma ve veri güvenliği yükümlülüklerinize devam edin.
• Muaf değilseniz önce kişisel veri işleme envanterini, ardından saklama ve imha politikasını hazırlayın; sonra VERBİS üzerinden kaydolun.
• Büyüdükçe eşikleri yeniden kontrol edin: eşiği aştığınızda otuz günlük süre işlemeye başlar.
• Kayıtlıysanız yeni bir işleme amacı, yeni bir alıcı grubu ya da yurt dışı aktarımı gibi değişiklikleri yedi gün içinde VERBİS'e işleyin.

Bu yazı genel bilgilendirme amaçlıdır, hukuki danışmanlık değildir.