VERBİS'e kimler kayıt olmalı? Güncel eşikler

Veri Sorumluları Sicili (VERBİS), veri sorumlularının kayıt olmak zorunda olduğu, Kişisel Verileri Koruma Kurumu tarafından tutulan kamuya açık sicildir. "Bizim şirket kayıt olmak zorunda mı?" sorusu, danışmanlıkta en sık karşılaştığımız sorulardan biridir.

Kayıt yükümlülüğünün çerçevesi

6698 sayılı Kanun'un 16. maddesi uyarınca, kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce VERBİS'e kaydolmak zorundadır. Ancak Kurul, belirli ölçütlere göre bu yükümlülüğe istisna getirme yetkisine sahiptir ve bu yetkiyi kullanmıştır.

Kimler kayıt olmak zorunda?

Kurul kararlarıyla çizilen genel çerçevede kayıt yükümlülüğü şu gruplar için geçerlidir:

• Yıllık çalışan sayısı 50'den çok veya yıllık mali bilanço toplamı belirlenen eşiği aşan gerçek ve tüzel kişi veri sorumluları,
• Bu eşiklerin altında kalsa bile ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları (ör. sağlık kuruluşları, laboratuvarlar, güvenlik hizmeti verenler),
• Kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları,
• Yurtdışında yerleşik olup Türkiye'de veri işleyen veri sorumluları.

Mali bilanço eşiği Kurul kararlarıyla güncellenebildiği için, karar vermeden önce Kurumun güncel duyurularının kontrol edilmesi gerekir.

Sicile hangi bilgiler bildirilir?

VERBİS kaydı, şirketin işlediği kişisel verilerin fotoğrafını verir. Bildirilen başlıklar özetle şunlardır:

• Veri sorumlusunun kimlik ve iletişim bilgileri, varsa temsilcisi,
• İşlenen kişisel veri kategorileri (kimlik, iletişim, özlük, sağlık...),
• Verilerin işlenme amaçları,
• Verilerin aktarılabileceği alıcı grupları,
• Yurtdışına aktarılması öngörülen kişisel veriler,
• Veri kategorileri bazında azami saklama süreleri,
• Alınan teknik ve idari tedbirler.

Bu listedeki her kalemin karşılığı şirket içinde bir belgede durur. Sicile girilen bilgi, o belgelerden bağımsız olarak "doldurulacak bir form" gibi ele alındığında, kaçınılmaz olarak gerçek durumdan sapar.

İrtibat kişisi kimdir, ne değildir?

Sicile kayıt sırasında bir irtibat kişisi bildirilir ve bu kavram uygulamada en çok karıştırılan başlıklardan biridir.

İrtibat kişisi, Kurum ile veri sorumlusu arasındaki iletişimi sağlamak üzere bildirilen kişidir. Veri sorumlusunun yükümlülüklerini üstlenmez, hukuki sorumluluğu kendi üzerine almaz; kararları verecek olan yine veri sorumlusudur.

Bu nedenle iki yaygın kanı yanlıştır: irtibat kişisi bildirmek, KVKK sorumluluğunu o kişiye devretmez; irtibat kişisi de bazı ülkelerdeki veri koruma görevlisi (DPO) ile aynı şey değildir. Ayrıca Türkiye'de yerleşik olmayan veri sorumluları bakımından ayrıca bir veri sorumlusu temsilcisi gündeme gelir; bu da irtibat kişisinden farklı bir sıfattır.

Yaygın yanılgılar

1. "Küçük şirketiz, KVKK bizi bağlamaz." VERBİS'e kayıt istisnası, Kanun'a uyum istisnası değildir. Eşiklerin altındaki şirketler de aydınlatma, veri güvenliği, ilgili kişi başvuruları gibi tüm yükümlülüklere tabidir; yalnızca sicile kayıt yükümlülüğünden muaftır.
2. "Bir kere kaydolduk, bitti." Sicildeki bilgiler (veri kategorileri, işleme amaçları, saklama süreleri, aktarım yapılan alıcı grupları) değiştikçe güncellenmelidir. Güncel olmayan kayıt, yükümlülüğün ihlali sonucunu doğurabilir.
3. "İK doldursun, olsun bitsin." VERBİS kaydı, şirketin gerçek veri envanteriyle uyumlu olmalıdır. Envanterle çelişen bir sicil kaydı, denetimde aleyhe delil hâline gelebilir.
4. "Ne kadar geniş yazarsak o kadar güvendeyiz." Tersi doğrudur. Sicile fiilen işlenmeyen veri kategorilerini veya kullanılmayan amaçları eklemek, şirketi beyan ettiği ama karşılığını gösteremediği bir işleme faaliyetiyle baş başa bırakır. Sicil, olmayanı değil olanı anlatmalıdır.
5. "Kaydı yaptık, saklama sürelerini sonra düşünürüz." Sicilde beyan edilen azami saklama süreleri, saklama ve imha politikasıyla ve fiilî uygulamayla tutarlı olmak zorundadır; süresi geçtiği hâlde silinmeyen veri, kendi beyanınıza aykırılık oluşturur.

Kayıt öncesi yapılması gerekenler

Sağlıklı bir VERBİS kaydının ön koşulu kişisel veri işleme envanteridir: hangi süreçte, hangi verinin, hangi amaçla, hangi hukuki sebeple işlendiği, kimlere aktarıldığı ve ne kadar süre saklandığı ortaya konulmadan yapılan kayıt, kâğıt üzerinde kalır. Envanter çıkarılırken süreç sahibi birimlerle (İK, muhasebe, satış, BT) birlikte çalışılmalıdır.

Envanter tamamlandığında ortaya çıkan aydınlatma metinleri, politikalar ve saklama-imha belgelerinin güncel hâlinin ilgililere ulaşabilir olması da ayrı bir yükümlülüktür; KVKK belge merkezi bu belgeleri tek bir adreste yayımlamak için kullanılabilir.

Sicil, envanterin dışa dönük yüzüdür

VERBİS kaydını tek başına bir işlem gibi görmek, ikinci yanılgının kaynağıdır. Sicildeki her satırın karşılığı şirket içinde bir belgede durur: veri kategorileri ve amaçlar envanterden, aktarılan alıcı grupları veri işleyen sözleşmelerinden, saklama süreleri imha politikasından gelir. Bunların tamamı da aydınlatma metinlerine yansır.

Sonuç olarak yeni bir süreç başlattığınızda — yeni bir yazılım, yeni bir tedarikçi, yeni bir pazarlama kanalı — yalnızca sicili değil, bu zincirin tamamını gözden geçirmeniz gerekir: envanter, aydınlatma metinleri, açık rıza yapısı, veri işleme politikaları ve VERBİS kaydı.

Bu bütüncül gözden geçirmeyi hukuki destek alarak yürütmenizi öneririz. Genç Partners, 2016'dan bu yana yürüttüğü uyum projelerindeki deneyimiyle envanter ve sicil çalışmasını hızlandırır; kisiselverilerim.com ise ortaya çıkan belgelerin yayımlanmasını ve ilgililere ulaştırılmasını üstlenir.

Özet

• Eşik üstü şirketler, özel nitelikli veri işleyenler, kamu kurumları ve yurtdışında yerleşik veri sorumluları için VERBİS kaydı zorunludur.
• Kayıttan muaf olmak, Kanun'dan muaf olmak anlamına gelmez.
• Sicile veri kategorileri, amaçlar, alıcı grupları, yurtdışı aktarımı ve azami saklama süreleri bildirilir; hepsinin şirket içinde bir belgede karşılığı olmalıdır.
• İrtibat kişisi sorumluluğu üstlenmez; veri koruma görevlisi veya veri sorumlusu temsilcisi ile aynı şey değildir.
• Kaydın temeli veri envanteridir; envantersiz kayıt risk üretir.

Bu yazı bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez. Güncel eşikler için Kurumun resmi duyurularını kontrol ediniz; şirketinizin kayıt yükümlülüğü ve envanter çalışması için hukuki destek alınız.