VERBİS’e Kayıt Yükümlülüğü Nedir? KVKK m.16 Rehberi 2026

VERBİS nedir?

VERBİS, Veri Sorumluları Sicil Bilgi Sisteminin kısa adıdır. 6698 sayılı Kişisel Verilerin Korunması Kanunu m.16 uyarınca Kişisel Verileri Koruma Kurumu Başkanlığı tarafından kamuya açık Veri Sorumluları Sicili tutulur. Sistemin amacı veri sorumlularının kim olduğunu ve temel kişisel veri işleme faaliyetlerini şeffaf hâle getirmektir.

VERBİS kaydı, kişisel verilerin tek tek sisteme yüklenmesi anlamına gelmez. Veri sorumlusu gerçek müşteri veya çalışan listesini Kuruma göndermez. Sicile veri kategorileri, ilgili kişi grupları, işleme amaçları, alıcı grupları, saklama süreleri, yurt dışı aktarım ve güvenlik tedbirleri gibi üst düzey bilgiler girilir.

Kayıt yükümlülüğü kural olarak kişisel veri işleme faaliyetine başlamadan önce yerine getirilir. Ancak Kurulun istisna kararları nedeniyle her veri sorumlusu VERBİS’e kayıtla yükümlü değildir.

VERBİS yalnız bir kayıt sistemi olduğundan KVKK uyumunun tamamı değildir. Sicilde doğru bilgi bulunması yanında gerçek işleme faaliyetlerinin Kanun’a uygun yürütülmesi, aydınlatma, güvenlik, saklama-imha ve ilgili kişi haklarının uygulanması gerekir.

KVKK m.16’ya göre kimler VERBİS’e kayıt olmak zorundadır?

Kanunun temel kuralına göre kişisel veri işleyen gerçek ve tüzel kişi veri sorumluları, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Veri sorumlusu, kişisel verilerin işleme amaç ve vasıtalarını belirleyen, veri kayıt sisteminin kurulması ve yönetilmesinden sorumlu kişidir.

Şirketler, dernekler, vakıflar, serbest meslek sahipleri, özel sağlık kuruluşları, eğitim kurumları veya başka gerçek/tüzel kişiler somut faaliyetlerine göre veri sorumlusu olabilir. Ancak kayıt yükümlülüğünün bulunup bulunmadığı için güncel Kurul istisnaları ayrıca kontrol edilir.

Bir işletmenin çok az veri işlemesi onu otomatik olarak KVKK dışında bırakmaz. VERBİS istisnası yalnız Sicil kayıt yükümlülüğünü etkileyebilir; kişisel veri işleme faaliyetleri yine Kanun’un kapsamındaysa diğer maddeler uygulanır.

Veri işleyen sıfatıyla yalnız başkasının talimatıyla işlem yapan hizmet sağlayıcı, kendi bağımsız amaçları bulunmadığı işlem bakımından doğrudan aynı veri sorumlusu kayıt yükümlülüğüne tabi olmayabilir. Ancak kendi çalışanları veya müşterileri bakımından ayrıca veri sorumlusu olabilir.

Kurul kimleri VERBİS kaydından istisna edebilir?

KVKK m.16, Kişisel Verileri Koruma Kuruluna kayıt yükümlülüğüne istisna getirme yetkisi verir. Kurul; kişisel veri işleme faaliyetinin niteliği ve sayısı, veri işlemenin kanundan kaynaklanması veya verilerin üçüncü kişilere aktarılma durumu gibi objektif kriterleri göz önünde bulundurabilir.

Kurul zaman içinde farklı meslek ve işletme grupları için istisna kararları yayımlamış; ayrıca çalışan sayısı, mali bilanço toplamı ve ana faaliyet konusu özel nitelikli veri işleme gibi kriterler üzerinden genel istisna sistemi oluşturmuştur. Bu ölçütler Kurul kararlarıyla değişebileceği için tarihsel internet yazılarındaki rakamlar 2026 değerlendirmesinde otomatik kullanılmamalıdır.

İstisna kararı kapsamına girildiği iddia ediliyorsa veri sorumlusu hangi güncel Kurul kararına ve hangi ölçüte dayandığını belgelemelidir. “Küçük şirketiz, kayıt gerekmiyor” biçimindeki genel varsayım yeterli değildir.

Ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları bakımından istisna sistemi daha farklı kriterler içerebilir. Sağlık, biyometri veya benzeri yüksek riskli faaliyetlerde güncel Kurul kararının tam metni kontrol edilmelidir.

Çalışan sayısı ve bilanço toplamı VERBİS’te neden tek başına yeterli değildir?

VERBİS uygulamasında Kurulun belirlediği çalışan sayısı ve yıllık mali bilanço toplamı eşikleri önem taşıyabilir. Ancak bu rakamlar kanun maddesinde sabit yazılı değildir; Kurul kararlarına dayanır ve zaman içinde güncellenebilir.

Bu nedenle geçmiş yıllarda yayımlanmış “50 çalışan”, “100 çalışan” veya belirli TL bilanço tutarını içeren yazılar tarih bilgisi olmadan güncel kural gibi kullanılmamalıdır. 2026 yılı için Kurulun en son istisna kararı kontrol edilmelidir.

Ayrıca yalnız eşik aşımı değil, ana faaliyet konusu, özel nitelikli veri işleme ve veri sorumlusunun hukuki niteliği de kayıt yükümlülüğünü etkileyebilir. Tek rakam üzerinden karar vermek yanlış sonuç doğurabilir.

İşletmenin çalışan sayısı veya bilançosu yıl içinde değişiyorsa istisna şartlarının ne zaman kaybedildiği ve kayıt yükümlülüğünün hangi tarihte doğduğu güncel Kurul kararındaki usule göre değerlendirilmelidir.

Yurt dışında yerleşik veri sorumluları VERBİS’e kayıt olur mu?

Türkiye’deki ilgili kişilerin kişisel verilerini işleyen yurt dışında yerleşik veri sorumlularının KVKK kapsamındaki yükümlülükleri somut faaliyetlerine göre doğabilir. Kurul uygulamasında yurt dışı yerleşik veri sorumluları için veri sorumlusu temsilcisi ve Sicil kayıt sistemi özel önem taşır.

Yurt dışı şirketin Türkiye’de şube veya ayrı tüzel kişiliği bulunması rollerin ayrıca analiz edilmesini gerektirir. Türkiye’deki şirket kendi işleme amaçlarını belirliyorsa bağımsız veri sorumlusu olabilir; yabancı ana şirket ayrı veri sorumlusu veya ortak veri işleme yapısında farklı rol üstlenebilir.

Yurt dışı yerleşik veri sorumlusu VERBİS kaydı ve ilgili kişi iletişimi için Türkiye’de veri sorumlusu temsilcisi belirlemek durumunda olabilir. Temsilci, Kanun ve Sicil mevzuatındaki görevleri yürütür.

Türkiye’den yabancı ana şirkete veri aktarımı ayrıca KVKK m.9 yurt dışı aktarım şartlarına tabidir. VERBİS kaydı yurt dışı aktarımı kendiliğinden hukuka uygun hâle getirmez.

İrtibat kişisi ile veri sorumlusu temsilcisi aynı şey mi?

Hayır. İrtibat kişisi Türkiye’de yerleşik tüzel kişi veri sorumlusunun Sicil ve Kurum iletişimini yürüten kişidir. Veri sorumlusu temsilcisi ise yurt dışında yerleşik veri sorumluları bakımından Kanun ve Sicil mevzuatında öngörülen temsil rolüdür.

İrtibat kişisi veri sorumlusu değildir. Şirketin KVKK’ya ilişkin hukuki sorumluluğu seçilen personele devredilmez. İrtibat kişisi bildirim ve iletişim fonksiyonunu yürütür.

İrtibat kişisinin değişmesi hâlinde VERBİS kaydı güncellenmelidir. İşten ayrılan kişinin sistem yetkileri kapatılmalı ve yeni irtibat kişisi atanmalıdır.

Temsilci veya irtibat kişisinin iletişim bilgileri güncel tutulmadığında Kurum bildirimleri ve ilgili kişi süreçleri aksayabilir. Bu nedenle görev değişiklikleri uyum prosedürünün parçası olmalıdır.

Kişisel veri işleme envanteri ile VERBİS kaydı arasındaki ilişki nedir?

VERBİS’e girilecek bilgiler kişisel veri işleme envanterinden beslenir. Envanter veri sorumlusunun hangi iş sürecinde hangi veri kategorisini, hangi ilgili kişi grubuna ilişkin olarak, hangi amaç ve hukuki sebeple işlediğini ayrıntılı şekilde gösterir.

Envanterde ayrıca alıcı grupları, yurt dışı aktarım, saklama süresi ve teknik-idari tedbirler yer alır. VERBİS kaydı bu bilgilerin daha üst düzey ve kamuya açık özetini yansıtır.

Envanter güncel değilse VERBİS kaydı da gerçek faaliyetle uyumsuz olur. Yeni kamera sistemi, biyometrik geçiş, bulut sağlayıcı veya pazarlama faaliyeti eklendiğinde envanter ve Sicil bildirimi birlikte değerlendirilmelidir.

VERBİS’ten istisna olmak envanter ihtiyacını her durumda ortadan kaldırmaz. Veri sorumlusu m.4, m.5, m.10, m.12 ve diğer yükümlülüklerini yönetebilmek için veri akışını bilmek zorundadır.

VERBİS kaydında hangi bilgiler bulunur?

Sicil mevzuatı kapsamında veri sorumlusunun kimlik ve adres bilgileri, temsilci veya irtibat kişisi bilgileri, kişisel veri işleme amaçları, veri konusu kişi grupları ve veri kategorileri, verilerin aktarılabileceği alıcı grupları, yabancı ülkelere aktarım, saklama süreleri ve veri güvenliği tedbirleri gibi temel bilgiler bildirilir.

Sicile tek tek kişilerin adları, kimlik numaraları veya müşteri listeleri yüklenmez. VERBİS bir veri depolama sistemi değil, veri sorumlusu faaliyetlerinin şeffaflık sicilidir.

Bildirimde seçilen veri kategorileri gerçek iş sürecini yansıtmalıdır. “Her ihtimale karşı bütün veri kategorilerini işaretlemek” m.4’teki veri minimizasyonu yaklaşımıyla bağdaşmaz ve yanlış Sicil kaydı oluşturur.

Aynı şekilde fiilen işlenen sağlık, biyometrik veya diğer özel nitelikli veriyi Sicilde göstermemek de kaydın gerçeğe aykırı olmasına yol açar.

VERBİS bilgileri değişirse güncelleme gerekir mi?

Evet. Veri sorumlusunun işleme faaliyetlerinde Sicile bildirilen bilgileri etkileyen değişiklikler olduğunda kayıt güncellenmelidir. Değişikliğin mevzuatta öngörülen süre içinde sisteme yansıtılması gerekir.

Yeni veri kategorisi eklenmesi, yurt dışı aktarım başlaması, saklama süresinin değişmesi, irtibat kişisi veya temsilci değişikliği, yeni alıcı grubu ve güvenlik tedbirlerinin önemli ölçüde değişmesi güncelleme gerektirebilir.

VERBİS kaydı yıllarca hiç gözden geçirilmeden bırakılmamalıdır. En azından periyodik KVKK denetimlerinde Sicil kaydı gerçek envanterle karşılaştırılmalıdır.

Şirket birleşme, bölünme, unvan değişikliği veya faaliyet sona ermesi gibi kurumsal olaylarda Sicil üzerindeki sonuçlar ayrıca değerlendirilmelidir.

VERBİS’ten istisna olan işletme KVKK’dan da muaf mıdır?

Hayır. Bu en sık yapılan hatalardan biridir. Kurulun VERBİS kayıt yükümlülüğünden istisna kararı yalnız Sicile kayıt yükümlülüğünü etkiler. Veri sorumlusu KVKK kapsamındaki diğer yükümlülüklerden genel olarak muaf olmaz.

İstisna olan küçük işletme de hukuki veri işleme sebebine sahip olmalı, m.4 temel ilkelerine uymalı, m.10 aydınlatma yükümlülüğünü yerine getirmeli, m.12 veri güvenliği tedbirlerini almalı ve ilgili kişi başvurularına cevap vermelidir.

İşleme sebebi sona eren veriler m.7 kapsamında imha edilmeli; yurt dışı aktarım varsa m.9 uygulanmalıdır. Özel nitelikli veri işleniyorsa m.6’nın sıkı şartları devam eder.

Bu nedenle “VERBİS’e kayıt değiliz, KVKK bize uygulanmaz” yaklaşımı hukuken yanlıştır.

VERBİS kayıt yükümlülüğüne aykırılığın sonucu nedir?

KVKK’da Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırılık için idari para cezası öngörülmüştür. İdari para cezasının parasal tutarı her yıl yeniden değerleme ve mevzuat değişiklikleri nedeniyle güncellendiğinden 2026 değerlendirmesinde Kurumun güncel ceza tablosu ve Kanunun yürürlükteki m.18 hükmü esas alınmalıdır.

Kayıt yapılmış ancak gerçeğe aykırı veya güncel olmayan bilgi verilmişse de uyum riski devam eder. Sicil kaydı formalite olarak değil gerçek veri işleme faaliyetinin özeti olarak tutulmalıdır.

Kurul incelemesinde yalnız kayıt değil, envanter, aydınlatma, güvenlik, saklama-imha ve diğer KVKK süreçleri de denetlenebilir. Bir ihlalin birden fazla yükümlülükle bağlantılı olması mümkündür.

Yükümlülük doğduğu fark edildiğinde kayıt gecikmeden tamamlanmalı; gecikmenin nedeni ve düzeltici tedbirler iç denetim dosyasında belgelenmelidir.

Sık sorulan sorular

VERBİS nedir?

Veri Sorumluları Sicil Bilgi Sistemidir; veri sorumlularının temel işleme faaliyetlerini kamuya açık Sicile bildirdiği sistemdir.

Her şirket VERBİS’e kayıt olmak zorunda mı?

Hayır. Kurulun güncel istisna kararları kapsamında bazı veri sorumluları kayıt yükümlülüğünden istisnadır.

Çalışan sayısı tek başına belirleyici mi?

Hayır. Çalışan sayısı, bilanço, ana faaliyet ve güncel Kurul istisna kararı birlikte değerlendirilmelidir.

VERBİS’e müşteri isimleri yüklenir mi?

Hayır. Sistem veri kategorileri ve süreç bilgilerini içerir; tek tek kişisel veriler yüklenmez.

VERBİS’ten istisna şirket KVKK’dan muaf mı?

Hayır. Aydınlatma, güvenlik, hukuki işleme, silme ve ilgili kişi hakları gibi yükümlülükler devam eder.

Yurt dışı şirketler VERBİS’e kayıt olabilir mi?

Somut faaliyet ve Kurul düzenlemelerine göre yurt dışında yerleşik veri sorumlularının kayıt ve temsilci yükümlülüğü doğabilir.

İrtibat kişisi veri sorumlusu mudur?

Hayır. İrtibat kişisi Sicil iletişimini yürütür; tüzel kişinin hukuki sorumluluğu devam eder.

Envanter ile VERBİS aynı şey mi?

Hayır. Envanter ayrıntılı iç çalışma belgesidir; VERBİS bunun kamuya açık üst düzey Sicil bildirimidir.

VERBİS kaydı güncellenmeli mi?

Evet. Sicil bilgilerinde değişiklik olduğunda mevzuattaki usule göre güncelleme yapılmalıdır.

Güncel kayıt eşiğini nereden kontrol etmeliyim?

Kişisel Verileri Koruma Kurulunun güncel istisna kararları ve Kurumun VERBİS duyuruları esas alınmalıdır.

Resmî kaynak ve bağlantılı rehberler

6698 sayılı Kanun ve Sicil mevzuatı için Mevzuat Bilgi Sistemi; güncel VERBİS istisna kararları ve duyuruları için Kişisel Verileri Koruma Kurumu kullanılmalıdır. Temel ilkeler için KVKK m.4 rehberi, veri güvenliği için KVKK m.12 rehberi incelenebilir.

Hukukçu incelemesi ve E-E-A-T: İçerik 11 Eylül 2026 tarihinde KVKK m.16’nın güncel sistemi esas alınarak hazırlanmıştır. Kanunda sabit olmayan çalışan/bilanço rakamları 2026 için değişmez eşik gibi yazılmamış; güncel Kurul istisna kararının kontrolü esas alınmıştır.

Av. Halil Bakırcı tarafından hazırlanmış, Av. Emirhan Keskin tarafından incelenmiştir.

Yazar Bilgisi

Avukat Halil BAKIRCI, Mersin Barosu 3472 sicil numarasına kayıtlıdır. Bakırcı & Keskin Hukuk Bürosu bünyesinde ceza, aile, iş, gayrimenkul ve ticaret hukuku alanlarında hukuki danışmanlık ve dava takibi sunmaktadır.

İnceleyen: Av. Emirhan Keskin · Mersin Barosu Sicil No: 5507

Av. Halil Bakırcı profilini inceleyin →