VERBİS Kayıt Zorunluluğu Eşikleri — m.16, İrtibat Kişisi ve Güncelleme Rehberi

“Biz 45 kişiyiz, VERBİS’e girmemize gerek yok” cümlesi denetim masasında sık duyulan bir yanılgıdır. Çalışan sayısı eşiğin altında kalsa bile grup yapısı, yurt dışı kontrol veya ana faaliyet alanı kayıt yükümlülüğünü tetikleyebilir. Diğer yanda, kayıt yükümlülüğü olan kurumların büyük kısmı VERBİS’e bir kez girip “tamamlandı” damgasını vuruyor; oysa m.16 sadece ilk kaydı değil, güncel tutma yükümlülüğünü de kapsıyor.

6698 sayılı KVKK’nın m.16 maddesi, belirli eşikleri aşan veri sorumlularının Kişisel Verileri Koruma Kurulu tarafından tutulan Veri Sorumluları Siciline (VERBİS) kayıt olmasını zorunlu kılar. Bu rehber, VERBİS kayıt zorunluluğu eşik kriterlerini, irtibat kişisinin rol sınırlarını, envantere dayalı hazırlık sürecini ve sık yapılan tuzakları somut tablolarla açıklar.

m.16 Kayıt Yükümlülüğü: Kimler VERBİS’e Girmek Zorunda?

KVKK m.16/1 uyarınca Kurul, veri sorumlularının sicile kayıt yükümlülüğünü düzenler. Kurul’un VERBİS Rehberi ve yayımlanan eşik kararları çerçevesinde kayıt yükümlülüğü şu durumlarda doğar:

Bu kriterler alternatif (VEYA) mantığıyla çalışır: Tek bir eşiğin aşılması kayıt yükümlülüğünü doğurur. “50 çalışanımız yok, ama bilançomuz 30 milyon TL” diyen bir KOBİ yine kayıt yükümlüsüdür.

Eşik Analizi Karar Tablosu

Aşağıdaki tablo, tipik senaryolarda kayıt yükümlülüğünün doğup doğmadığını hızlıca test etmenize yardımcı olur:

Grup yapılarında her tüzel kişilik kendi eşiklerine göre değerlendirilir; “holding toplamında 500 çalışan var” gerekçesi tek başına alt şirketi muaf kılmaz.

VERBİS Kaydında Beyan Edilen Bilgiler

VERBİS başvurusu, veri sorumlusunun işleme faaliyetlerinin resmi özeti niteliğindedir. Tipik beyan alanları:

• Veri sorumlusunun kimlik ve iletişim bilgileri
• Veri sorumlusu temsilcisi / irtibat kişisi bilgileri
• İşlenen kişisel veri kategorileri
• İşleme amaçları ve hukuki sebepler
• Veri aktarımı yapılan alıcı grupları (yurt içi / yurt dışı)
• Yurt dışına veri aktarımı varsa aktarım güvenceleri
• Alınan teknik ve idari tedbirler (özet)

Bu alanların kaynağı, kurumun veri işleme envanteridir. Envanter olmadan VERBİS doldurmak, gerçeği yansıtmayan bir beyan riski taşır. Veri işleme envanteri nasıl hazırlanır rehberimiz, envanter alanlarını VERBİS alanlarıyla eşleştiren adım adım bir çerçeve sunar.

İrtibat Kişisi: Rolü, Yetkisi ve Sınırları

KVKK m.13/1 uyarınca veri sorumluları, ilgili kişi başvurularının alınması ve Kurul ile iletişim için bir irtibat kişisi atar. VERBİS kaydında da bu kişi beyan edilir. Ancak irtibat kişisi ile “veri koruma sorumlusu” veya “temsile yetkili” kavramları sık karıştırılır.

Kritik nokta: İrtibat kişisi, veri sorumlusunu temsil etmez. Kurul’a veya ilgili kişiye “şirket adına taahhüt ederim” diyemez; görevi iletişim kanalı olmak ve başvuruları ilgili birimlere yönlendirmektir. İrtibat kişisinin değişmesi halinde Kurul’a 7 gün içinde bildirim yapılması zorunludur (m.13/4).

İrtibat kişisi atarken dikkat edilmesi gerekenler:

1. Erişilebilirlik: Başvuruların kaybolmaması için sabit iletişim kanalı (e-posta, form) tanımlayın.
2. Yetki matrisi: Hangi taleplerin hangi birim tarafından cevaplanacağını yazılı prosedürle netleştirin.
3. Yedekleme: İzin, ayrılma veya hastalık durumunda vekalet mekanizması kurun.
4. Eğitim: İrtibat kişisi KVKK süreçlerini ve envanter yapısını bilmeli; “sadece posta kutusu” olmamalıdır.

Envantere Dayalı VERBİS Hazırlığı

VERBİS’i yıllık bir form doldurma egzersizi olarak görmek, en yaygın uyum hatasıdır. Doğru yaklaşım: envanter → aydınlatma → VERBİS zinciri.

Adım 1: Envanter satırlarını VERBİS alanlarına eşleştirin

Her envanter satırı (işleme faaliyeti) VERBİS’teki bir veya birkaç beyan alanına karşılık gelir:

Envanterde “müşteri verileri” gibi geniş satırlar varsa, VERBİS beyanı da muğlak kalır. Faaliyet bazlı ayrıştırma hem envanter kalitesini hem VERBİS doğruluğunu artırır.

Adım 2: Tutarlılık kontrolü yapın

Denetimde üç belge yan yana incelenir:

1. VERBİS sicil kaydı
2. Veri işleme envanteri
3. Aydınlatma metinleri (web, sözleşme, çalışan bilgilendirme)

Bu üçünde geçen amaç, veri kategorisi ve alıcı bilgileri çelişmemelidir. VERBİS’te “pazarlama amaçlı e-posta işlenmiyor” denirken CRM’de pazarlama listesi tutulması, sistematik ihlal algısı yaratır.

Adım 3: Değişiklik tetikleyicilerini tanımlayın

Aşağıdaki olaylardan herhangi biri VERBİS güncellemesini tetiklemelidir:

• Yeni kişisel veri kategorisi işlenmeye başlandı
• Yeni veri işleyen / alt-işleyen devreye alındı
• Yurt dışı aktarım başladı veya durdu
• İşleme amacı genişledi (ör. analitik, profilleme eklendi)
• Saklama süresi veya imha politikası değişti
• Birleşme, devralma veya grup yapısı değişikliği

“Yılda bir bakarız” yaklaşımı, bu aralıkta gerçekleşen değişiklikleri kaçırır.

VERBİS Güncelleme Yükümlülüğü

KVKK m.16 ve VERBİS uygulama esasları, kayıt yükümlülüğünün sürekli olduğunu vurgular. İlk kayıt bir başlangıçtır; işleme faaliyetlerinde anlamlı değişiklik olduğunda sicil kaydının güncellenmesi gerekir.

Güncelleme gerektiren tipik durumlar:

Güncellenmemiş VERBİS kaydı, kayıtsız olmak kadar riskli değildir; ancak “ihmal” ve “sistematik eksiklik” değerlendirmesine girdi olabilir. 2026 itibarıyla VERBİS kayıt yükümlülüğünün ihlali 341.809 – 17.092.242 TL idari para cezası bandına tabidir (2026 KVKK ceza tablosu).

Sık Yapılan Tuzaklar

1. Eşik hesabında dönemsel dalgalanmayı görmezden gelmek

Yaz döneminde 55, kış döneminde 48 çalışan olan bir işletmede yıllık ortalama 50’yi aşmak mümkündür. Eşik analizi tek bir anlık fotoğrafa değil, mali ve İK verilerine dayanmalıdır.

2. Grup şirketlerinde konsolidasyon karışıklığı

Her tüzel kişilik kendi eşiklerine göre değerlendirilir. Ana şirket VERBİS’e kayıtlı diye iştirak otomatik kapsanmaz.

3. VERBİS’i envanterden bağımsız doldurmak

Uyum sorumlusu VERBİS formunu “tahminen” doldurur; IT ve iş birimleri sürece dahil edilmez. Sonuç: beyan gerçeği yansıtmaz, denetimde çelişki çıkar.

4. İrtibat kişisini “her şeyi yapan kişi” sanmak

İrtibat kişisine hem başvuru yönetimi, hem envanter, hem VERBİS, hem teknik tedbir sorumluluğu yüklenir; kurumsal sahiplik dağılmaz. Bu model tükenir ve süreçler çöker.

5. Kayıt sonrası unutma

“2024’te kaydolduk, bitti” zihniyeti en yaygın tuzaktır. Canlı envanter olmadan VERBİS güncellemesi sürdürülebilir değildir.

6. Özel nitelikli veri faaliyetini küçümsemek

Ana faaliyet özel nitelikli veri işleme olan kurumlar, çalışan sayısı az olsa bile kayıt yükümlüsüdür. Sağlık, biyometrik güvenlik, genetik test gibi alanlarda bu kriter sık gözden kaçar.

VERBİS Hazırlık Kontrol Listesi

Kayıt veya güncelleme öncesinde aşağıdaki kontrol listesini kullanın:

Eşik ve kapsam

• Yıllık ortalama çalışan sayısı hesaplandı
• Son mali tablo bilanço tutarı kontrol edildi
• Yurt dışı kontrol durumu doğrulandı
• Ana faaliyet alanı özel nitelikli veri işleme içeriyor mu değerlendirildi

Envanter ve tutarlılık

• Tüm işleme faaliyetleri envanterde faaliyet bazlı kayıtlı
• Hukuki sebepler her faaliyet için atanmış
• Alıcı ve yurt dışı aktarım bilgileri güncel
• Aydınlatma metinleri envanterle uyumlu

İrtibat ve organizasyon

• İrtibat kişisi atandı, iletişim kanalı yayınlandı
• İrtibat kişisi rol sınırları yazılı prosedürde tanımlı
• Başvuru ve VERBİS güncelleme sorumluluk matrisi oluşturuldu

VERBİS beyanı

• Envanterden türetilen beyan taslakları birim sahipleri tarafından doğrulandı
• Güncelleme tetikleyicileri tanımlandı
• Değişiklik geçmişi tutuluyor

Envanterden VERBİS Raporu: Operasyonel Avantaj

Manuel VERBİS hazırlığı tipik olarak şöyle işler: Uyum ekibi Excel envanterini açar, VERBİS portalındaki alanları tek tek doldurur, farklı birimlerden e-posta ile bilgi toplar, haftalar sonra formu gönderir. Bu süreçte envanter eskir, beyan eksik kalır.

Envanter merkezli yaklaşımda ise:

• Her işleme faaliyeti zaten yapılandırılmış alanlarda tutulur
• VERBİS beyanı envanterden otomatik türetilir (manuel kopya değil)
• Birim sahibi değişiklik yaptığında envanter ve dolaylı olarak VERBİS hazırlığı güncellenir
• Tutarlılık kontrolü sistematik hale gelir

Bu model, canlı envanter kavramının VERBİS tarafındaki karşılığıdır: VERBİS bir kerelik proje değil, envanterin resmi yansımasıdır.

Lexidata Uyum Paneli ile VERBİS Rapor Üretimi

Lexidata uyum paneli, veri işleme envanterinizi VERBİS hazırlığıyla doğrudan bağlar:

• Faaliyet bazlı envanter kayıtları — amaç, hukuki sebep, veri kategorisi, alıcı, aktarım, tedbir alanları
• VERBİS rapor üretimi — envanterden türetilen tutarlı beyan altyapısı; manuel kopya hatasını azaltır
• Değişiklik takibi — yeni süreç veya tedarikçi devreye girdiğinde envanter güncellenir, VERBİS hazırlığı buna paralel kalır
• Aydınlatma metni yönetimi — envanter satırlarıyla bağlantılı versiyonlu metin takibi
• LexiAgent entegrasyonu — veritabanı PII keşfi ile envanterin teknik doğrulaması

VERBİS kayıt zorunluluğu eşik analizinizi tamamladıysanız ve envanter altyapınız hazırsa, bir sonraki adım beyanı envanterden üretmektir. platform.lexidata.io adresinden uyum panelini inceleyebilir, envanterden VERBİS rapor üretimini deneyebilirsiniz.