VERBİS Nedir ve Kimler Kayıt Olmak Zorundadır?
Veri Sorumluları Sicili (VERBİS), 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 16. maddesi uyarınca Kişisel Verileri Koruma Kurulunun gözetiminde Başkanlık tarafından kamuya açık biçimde tutulan bir kayıt sistemidir. Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce bu sicile kaydolmak zorundadır. Kayıt yükümlülüğü, faaliyetin fiilen başlamasından önce yerine getirilmelidir; bu bakımdan VERBİS kaydı sonradan yapılan bir raporlama değil, önceden gerçekleştirilmesi gereken bir bildirim yükümlülüğüdür. KVKK m. 16/2 uyarınca kayıt yükümlülüğü, kişisel verileri işleyen gerçek ve tüzel kişilere yüklenmiştir; veri işleyenlerin bu madde kapsamında ayrıca bir kayıt yükümlülüğü taşıyıp taşımadığı ise kanunun bütünlüğü içinde değerlendirilmesi gereken ayrı bir sorudur.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 16Kaynağı aç
Kayıt Başvurusunda Hangi Bilgiler Bildirilmelidir?
KVKK m. 16/3 uyarınca kayıt başvurusu, belirli asgari unsurları kapsayan bir bildirimle yapılır. Bu bildirimde; veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri, kişisel verilerin işlenme amacı, veri konusu kişi grupları ve bu kişilere ait veri kategorileri, verilerin aktarılabileceği alıcı veya alıcı grupları, yabancı ülkelere aktarımı öngörülen kişisel veriler, veri güvenliğine ilişkin alınan tedbirler ve kişisel verilerin işlendikleri amaç için gerekli olan azami süre yer almak zorundadır. Bildirilen bilgilerde sonradan meydana gelen değişikliklerin de KVKK m. 16/4 uyarınca derhal Başkanlığa bildirilmesi gerekir. VERBİS'e ilişkin diğer usul ve esaslar ise KVKK m. 16/5 uyarınca yönetmelikle düzenlenmektedir.
Kişisel Veri Envanteri ve VERBİS İlişkisi
VERBİS bildirimi için gereken bilgilerin tutarlı biçimde hazırlanabilmesi, veri sorumlularının kendi iç süreçlerini sistematik olarak belgelemesini gerektirir. Bu belgeleme aracı kişisel veri envanteri olarak adlandırılır. Envanter; veri sorumlusunun faaliyet alanına ve iş süreçlerine bağlı olarak gerçekleştirdiği kişisel veri işleme faaliyetlerini hukuki sebep, işleme amacı, veri konusu kişi grubu, veri kategorisi, alıcı grubu ve saklama süresi gibi unsurlar temelinde ilişkilendiren yapısal bir dokümandır. Veri Sorumluları Sicili Hakkında Yönetmelik m. 5 uyarınca VERBİS'e kayıtla yükümlü olan veri sorumluları bu envanteri oluşturmakla yükümlüdür; VERBİS'e bildirilecek bilgiler de bu envantere dayalı olarak hazırlanır.
24276 sayılı VERİ SORUMLULARI SİCİLİ HAKKINDA YÖNETMELİK m. 5Kaynağı aç
Kayıt Zorunluluğundan İstisna Tutulma
KVKK m. 16/2, Kurula kayıt zorunluluğundan istisna getirme yetkisi tanımaktadır. İstisna belirlenirken işlenen kişisel verinin niteliği ve sayısı, işleme amacı, faaliyet alanı, üçüncü kişilere aktarılma durumu, veri işlemenin kanundan kaynaklanması, muhafaza süresi, veri konusu kişi grubu veya veri kategorileri ile veri sorumlusunun yıllık çalışan sayısı veya yıllık mali bilanço toplamı gibi objektif kriterler gözetilmektedir. Bu kriterlerin hangi somut eşik veya koşullarla karşılandığında istisnanın uygulanacağı Kurul kararlarıyla belirlenmektedir; istisna kapsamındaki veri sorumlusu kategorilerine ilişkin Kurul kararlarının tam metnine bu makalede yer verilmemiştir.
Faaliyet Sona Erdiğinde Sicil Kaydı Ne Olur?
VERBİS kaydına konu faaliyetlerin sona ermesi hâlinde sicil kaydı silinir. Ancak bu silinme, veri sorumlusunun kayıtlı olduğu döneme ilişkin yükümlülüklerini ortadan kaldırmaz. Dolayısıyla kayıt süresi boyunca doğan sorumluluklar, sicil kaydının silinmesinden sonra da devam etmektedir.
Yükümlülüğe Aykırılığın Yaptırımları
KVKK m. 16'da öngörülen VERBİS kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında, KVKK m. 18/1(ç) uyarınca 20.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir. Bu kanuni taban ve tavan rakamları, ilgili mevzuat uyarınca her takvim yılı başında yeniden değerleme oranında artırılmaktadır; güncel artırılmış tutarlar için ilgili takvim yılı oranının ayrıca değerlendirilmesi gerekir. KVKK m. 18/2 uyarınca bu bent kapsamındaki idari para cezaları, veri sorumlusu gerçek kişiler ile özel hukuk tüzel kişileri hakkında uygulanır. Kurul, yaptırım miktarını belirlerken ihlalin niteliği ve süresi, etkilenen kişi sayısı, söz konusu veri kategorilerinin hassasiyet derecesi, veri sorumlusunun kusur oranı ve aldığı önlemler ile zararın ağırlığı gibi unsurları birlikte değerlendirir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
Aykırılığın kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi hâlinde KVKK m. 18/4 uyarınca Kurul ilgili kuruma bildirimde bulunur; kurum bünyesindeki memurlar ve diğer kamu görevlileri ile meslek kuruluşu çalışanları hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula iletilir.
İdari Para Cezasına Karşı Başvuru Yolu
KVKK m. 18/3 uyarınca Kurul tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir. Bu düzenleme 2/3/2024 tarihli ve 7499 sayılı Kanun'un 35. maddesiyle eklenmiştir.
Veri işlemeye başladıktan sonra mı, önce mi VERBİS'e kayıt olmak gerekir?
Kayıt, veri işlemeye başlamadan önce yapılmalıdır. KVKK m. 16/2 bu sırayı açıkça düzenlemektedir: önce sicile kayıt, ardından veri işleme faaliyeti.
VERBİS'e bildirilen bilgiler değişirse ne yapılmalıdır?
KVKK m. 16/4 uyarınca kayıtlı bilgilerde meydana gelen değişiklikler derhal Başkanlığa bildirilmek zorundadır.
Her veri sorumlusu VERBİS'e kayıt olmak zorunda mıdır?
Kural bu olmakla birlikte KVKK m. 16/2, Kurula istisna getirme yetkisi tanımaktadır. Hangi veri sorumlularının istisna kapsamında tutulduğu Kurul kararlarıyla belirlenmektedir; bu kararların somut içeriği makale kapsamında ele alınmamıştır.
Kamu görevlileri VERBİS ihlali nedeniyle idari para cezasına muhatap olabilir mi?
KVKK m. 18/4 uyarınca aykırılık kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde gerçekleşmişse Kurul ilgili kuruma bildirimde bulunur; kurum bünyesindeki personel hakkında disiplin hükümlerine göre işlem yapılır ve sonuç Kurula iletilir.
Kurul idari para cezasını neye göre belirler?
Kurul, ihlalin niteliği ve süresi, etkilenen kişi sayısı, söz konusu veri kategorilerinin hassasiyeti, veri sorumlusunun kusur oranı ve aldığı önlemler ile zararın ağırlığı gibi unsurları birlikte değerlendirerek ceza miktarını tayin eder.
Faaliyet sona erdiğinde VERBİS kaydı otomatik olarak silinir mi ve yükümlülükler biter mi?
Kayıt yükümlülüğünü gerektiren faaliyetlerin sona ermesiyle sicil kaydı silinir; ancak bu silinme, veri sorumlusunun kayıtlı olduğu döneme ilişkin yükümlülüklerini ortadan kaldırmaz.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy