KVKK VERBİS Kaydı: Kimler Yükümlü, Nasıl Yapılır?

VERBİS kaydı, kişisel veri işleyen gerçek ve tüzel kişilerin Kişisel Verileri Koruma Kurumu tarafından tutulan Veri Sorumluları Siciline kaydolmasıdır. Kayıt, VERBİS adı verilen elektronik sistem üzerinden yapılır ve işlenen veri kategorileri, işleme amaçları, aktarım yapılan alıcılar ile saklama süreleri gibi bilgilerin kamuya açık biçimde beyan edilmesini gerektirir.

Bu yazıda 6698 sayılı Kişisel Verilerin Korunması Kanunu md. 16, Veri Sorumluları Sicili Hakkında Yönetmelik ve Kurulun istisna kararları çerçevesinde kimlerin kayıt yaptırması gerektiğini, 2025 yılında değişen istisna ölçütünü ve kaydın adımlarını anlatıyoruz. Bilişim ve veri koruma alanındaki diğer başlıklar için bilişim hukuku ve KVKK sayfamıza bakabilirsiniz.

VERBİS Kaydı Nedir ve Kimler Yükümlüdür?

6698 sayılı KVKK md. 16/1 uyarınca Veri Sorumluları Sicili, Kurulun gözetiminde Başkanlık tarafından kamuya açık olarak tutulur. Md. 16/2’ye göre kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce bu sicile kaydolmak zorundadır. Kural kayıt yükümlülüğüdür; muafiyet ancak Kurulun belirlediği istisnalarla doğar.

Tüzel kişilerde veri sorumlusu, çalışanlar veya bilgi işlem birimi değil tüzel kişiliğin kendisidir. Yönetmelik md. 11/1 uyarınca Türkiye’de yerleşik tüzel kişilerin yükümlülükleri, onu temsil ve ilzama yetkili organ eliyle yerine getirilir. Organ bu iş için bir veya birden fazla kişiyi görevlendirebilir; ancak görevlendirme, tüzel kişiliğin sorumluluğunu ortadan kaldırmaz.

Yurt dışında yerleşik şirketler ve veri sorumlusu temsilcisi

Veri Sorumluları Sicili Hakkında Yönetmelik md. 5/1-b uyarınca Türkiye’de yerleşik olmayan veri sorumluları, veri işlemeye başlamadan önce bir veri sorumlusu temsilcisi aracılığıyla sicile kaydolmak zorundadır. Md. 4/1-p’ye göre temsilci, Türkiye’de yerleşik bir tüzel kişi veya Türkiye Cumhuriyeti vatandaşı bir gerçek kişi olabilir. Temsilci atamasına ilişkin kararın tasdikli örneği kayıt sırasında Kuruma sunulur.

Kimler VERBİS Kaydından Muaftır?

Kurulun 19.07.2018 tarihli ve 2018/87 sayılı kararı, 06.07.2023 tarihli ve 2023/1154 sayılı Kurul kararı ile güncellenmiştir. Buna göre yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan gerçek veya tüzel kişilerden ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar kayıttan muaftır.

Meslek ve kuruluş türüne göre istisnalar ise 2018/32 sayılı Kurul kararı ve sonraki kararlarla belirlenmiştir. Aşağıdaki tablo, Kurumun internet sitesinde yayımlanan kararlara göre güncel istisnaları özetler.

İstisna kriterleri neden birlikte aranır?

İstisna kriterleri “ve” bağlacıyla kurulmuştur. Çalışan sayısı 30 olan ama bilançosu 120 milyon TL’ye ulaşan bir şirket, çalışan şartını sağlasa da muaf değildir. Aynı şekilde bilançosu küçük olup 60 kişi çalıştıran bir işletme de kayıt yaptırmak zorundadır. Uygulamada en sık hata, iki ölçütten yalnızca birine bakılarak muafiyet varsayılmasıdır. Enflasyon nedeniyle bilanço eşiğinin her yıl yeniden kontrol edilmesi gerekir.

Bir örnekle açıklayalım (temsilidir): 35 çalışanı olan bir lojistik şirketinin 2025 yılı bilançosu 104 milyon TL’ye ulaşıyor. Şirket bir önceki yıl muaf olduğu için VERBİS’e hiç kaydolmamış. Bilanço eşiği aşıldığı anda kayıt yükümlülüğü doğar ve Yönetmelik md. 8/2 uyarınca 30 günlük süre işlemeye başlar. Bu tarihin, yıl sonu bilançosunun kesinleştiği tarih olarak belgelenmesi, olası bir denetimde sürenin hesaplanmasını kolaylaştırır.

Sağlık sektöründe 2025 değişikliği

1 Ekim 2025 tarihli Resmî Gazete‘de yayımlanan 04.09.2025 tarihli ve 2025/1572 sayılı Kurul kararına kadar, ana faaliyet konusu özel nitelikli kişisel veri işleme olanlar ölçekten bağımsız olarak kayıt yaptırmak zorundaydı. Karar, bunlardan yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’den az olanları da istisna kapsamına aldı. Küçük muayenehaneler, diş klinikleri ve psikolojik danışmanlık büroları gibi veri sorumluları bu değişiklikten doğrudan etkilenir.

VERBİS Kayıt Yükümlülüğü Ne Zaman Başlar?

Yönetmelik md. 8/1 uyarınca veri sorumluları, kişisel veri işlemeye başlamadan önce sicile kayıt yükümlülüğünü yerine getirmek zorundadır. Md. 8/2 ise daha önce kayıt yükümlüsü olmayıp sonradan bu duruma gelen veri sorumlularına, yükümlülük altına girmelerinden itibaren otuz gün içinde kaydolma süresi tanır.

Eşik aşıldığında 30 günlük süre

Bu kural özellikle büyüyen şirketler için önemlidir. 50. çalışanın işe girmesi veya yıl sonu bilançosunun 100 milyon TL’yi aşması, 30 günlük sürenin başlaması anlamına gelir. Md. 8/3 uyarınca fiili, teknik veya hukuki imkânsızlık hâlinde, imkânsızlığın ortaya çıktığı tarihten itibaren en geç 7 iş günü içinde Kuruma yazılı başvurarak ek süre istenebilir; Kurum bir defaya mahsus ve en fazla 30 gün ek süre verebilir.

VERBİS’e Hangi Bilgiler Girilir?

KVKK md. 16/3 uyarınca kayıt başvurusu; veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgilerini, işleme amaçlarını, veri konusu kişi grupları ve veri kategorilerini, alıcı gruplarını, yurt dışına aktarılacak verileri, alınan güvenlik tedbirlerini ve verilerin işlendikleri amaç için gerekli azami süreyi içeren bir bildirimle yapılır.

Kişisel veri işleme envanteri

Yönetmelik md. 5/1-ç uyarınca sicile kayıtla yükümlü veri sorumluları kişisel veri işleme envanteri hazırlamak zorundadır ve sicile açıklanan bilgiler bu envantere dayanır. Envanter; iş süreçlerini, her süreçte işlenen veri kategorilerini, hukuki sebebi, alıcı gruplarını ve saklama sürelerini tek tabloda eşleştiren iç belgedir. Envanter olmadan yapılan VERBİS kaydı, çoğu zaman gerçek faaliyetle uyuşmayan bir beyana dönüşür.

Saklama ve imha politikası

Yönetmelik md. 9/4, azami saklama sürelerinin veri kategorileriyle eşleştirilerek bildirilmesini; mevzuatta süre öngörülmüşse o sürenin, yoksa en uzun sürenin esas alınmasını ister. Md. 9/5 ise bu sürelerin takibi için kişisel veri saklama ve imha politikası hazırlanmasını zorunlu tutar. Politika, sicilde beyan edilen sürelerle çelişmemelidir.

VERBİS Kaydı Adım Adım Nasıl Yapılır?

Yönetmelik md. 10/1 uyarınca veri sorumlusu, md. 9’da sayılan bilgileri VERBİS’e yüklediğinde kayıt yükümlülüğünü yerine getirmiş sayılır. Sisteme giriş, tüzel kişiler için yetkili temsilcinin başvurusu ve irtibat kişisinin tanımlanmasıyla başlar. Kayıt tek seferlik bir form doldurmak değil, hazırlanmış envanterin sisteme aktarılmasıdır.

İrtibat kişisinin rolü

Yönetmelik md. 4/1-ç’ye göre irtibat kişisi, veri sorumlusunun Kanun kapsamındaki yükümlülükleriyle ilgili olarak Kurumla iletişimi sağlamak amacıyla sicile bildirilen gerçek kişidir. İrtibat kişisi veri sorumlusunun yerine geçmez; hukuki sorumluluk veri sorumlusunda kalır. Kurum, md. 12 uyarınca iletişimi sicile bildirilen adres veya KEP adresi üzerinden kurar.

1. Çalışan sayısı, bilanço ve ana faaliyet bakımından istisna durumunu belgeleyin.
2. İş süreçlerine göre kişisel veri işleme envanterini hazırlayın.
3. Saklama ve imha politikasını envanterdeki sürelerle uyumlu yazın.
4. Yetkili organ kararıyla irtibat kişisini belirleyin, varsa KEP adresini hazırlayın.
5. VERBİS’e başvuruyu yapıp envanter bilgilerini veri kategorisi bazında girin.
6. Kaydı onaylayın ve sicilde yayımlanan bilgileri kontrol edin.

Kayıtlı Bilgiler Değişirse Ne Yapılmalı?

KVKK md. 16/4, sicile verilen bilgilerdeki değişikliklerin derhâl Başkanlığa bildirilmesini ister. Yönetmelik md. 13/1 bu yükümlülüğü somutlaştırır: sicilde kayıtlı bilgilerde değişiklik olursa, değişikliğin meydana geldiği tarihten itibaren yedi gün içinde VERBİS üzerinden bildirim yapılır. Yeni bir veri kategorisi veya yurt dışı aktarımı başladığında da bu süre işler.

Faaliyet sona ererse md. 14 uyarınca sicil kaydının silinmesi VERBİS üzerinden istenir. Silinen kayıtlar erişilebilir biçimde saklanır ve kayıt dönemindeki yükümlülükler silinmeyle ortadan kalkmaz. Şirket birleşmesi, unvan değişikliği veya yeni bir bulut hizmet sağlayıcısına geçiş gibi olaylar, uygulamada en çok gözden kaçan güncelleme sebepleridir.

Kayıt Yapılmazsa Hangi Yaptırım Uygulanır?

KVKK md. 18/1-ç uyarınca Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenlere, kanun metninde 20.000 TL’den 1.000.000 TL’ye kadar idari para cezası öngörülür. Bu tutarlar Kabahatler Kanunu md. 17/7 gereği her yıl yeniden değerleme oranında artırılarak uygulanır; 2026 yılındaki güncel sınırlar Kurumun duyurularından kontrol edilmelidir.

İdari para cezası ve dava yolu

2024 yılında 7499 sayılı Kanunla eklenen md. 18/3 uyarınca Kurulca verilen idari para cezalarına karşı idare mahkemelerinde dava açılır; bu tarihten önceki sulh ceza hâkimliği yolu artık uygulanmaz. Dava süresi ve yürütmenin durdurulması gibi genel kurallar için idari para cezasına karşı dava süreci yazımıza bakılabilir. Kamu kurumlarında ise md. 18/4 uyarınca disiplin hükümleri işletilir.

İstisna Kapsamındaki Veri Sorumlularının Yükümlülükleri Sürer mi?

Sürer. Yönetmelik md. 5/1-f, Kurulun belirli veri sorumlularını sicile kayıtla yükümlü tutmamasının bu kişilerin Kanun kapsamındaki diğer yükümlülüklerini ortadan kaldırmadığını açıkça belirtir. VERBİS muafiyeti yalnızca kayıt yükümlülüğüne ilişkindir; aydınlatma, açık rıza, veri güvenliği ve ilgili kişi başvurularını cevaplama yükümlülükleri aynen devam eder.

Küçük işletmeler için pratik sonuç şudur: VERBİS’e kayıt yaptırmasanız bile çalışan ve müşteri verileri için aydınlatma metni, erişim yetkileri ve yedekleme gibi tedbirler gerekir. Bir veri ihlali yaşandığında bildirim yükümlülüğü muafiyetten etkilenmez; süreci KVKK veri ihlali bildirimi ve 72 saat kuralı yazımızda anlattık. İlgili kişilerin silme taleplerine ilişkin bir örnek için unutulma hakkı başvurusu yazımıza bakılabilir.

Kurumsal uyum açısından VERBİS, şirketlerin tek yükümlülüğü değildir. E-ticaret yapan işletmelerde ETBİS kaydı ve e-ticaret yaptırımları, belirli büyüklükteki anonim şirketlerde ise anonim şirkette avukat bulundurma zorunluluğu gibi başka kayıt ve bildirim yükümlülükleri de bulunur.

Kayıt Öncesi Hazırlık İçin Kontrol Listesi

VERBİS kaydının sağlıklı yapılması, KVKK md. 16/3’te sayılan bilgilerin önceden toplanmasına bağlıdır. Envanter ile sicil beyanı arasındaki uyumsuzluk, denetimde kayıt yükümlülüğüne aykırılık olarak değerlendirilebilir. Aşağıdaki kontrol listesi, VERBİS’e giriş yapmadan önce hangi bilgi ve belgelerin hazır olması gerektiğini sırasıyla gösterir.

• Son yıl sonu bilançosu ve yıllık ortalama çalışan sayısını gösteren belge
• Ana faaliyet konusunun özel nitelikli veri işleme olup olmadığına ilişkin değerlendirme
• Departman bazında kişisel veri işleme envanteri ve hukuki sebepler
• Veri aktarılan tedarikçiler, bulut hizmetleri ve yurt dışı alıcıların listesi
• Saklama ve imha politikası ile teknik ve idari güvenlik tedbirleri
• İrtibat kişisi görevlendirme kararı ve KEP adresi; yurt dışı şirketler için temsilci atama kararı

Liste her veri sorumlusu için aynı ağırlıkta değildir; sağlık, finans ve insan kaynakları yoğun işletmelerde envanter çok daha ayrıntılı olur. Somut durumunuzun dosya özelinde değerlendirilmesi gerekir.

Sıkça Sorulan Sorular

VERBİS kaydı konusunda en sık sorulanlar; kaydın kimler için zorunlu olduğu, şahıs şirketleri ve muayenehanelerin durumu, kayıt yapılmamasının yaptırımı, bilgilerin ne kadar sürede güncelleneceği ve avukatlar ile mali müşavirlerin muafiyeti üzerinedir. Kısa ve doğrudan cevapları, Kurumun yayımladığı güncel Kurul kararlarına dayanarak aşağıda derledik.

VERBİS kaydı zorunlu mu?

Kural olarak zorunludur. KVKK md. 16/2 uyarınca kişisel veri işleyen herkes veri işlemeye başlamadan önce sicile kaydolmalıdır. Ancak yıllık çalışan sayısı 50’den az ve bilançosu 100 milyon TL’den az olup ana faaliyeti özel nitelikli veri işleme olmayanlar gibi Kurulun belirlediği gruplar muaftır.

Şahıs şirketi VERBİS'e kayıt olmak zorunda mı?

Şahıs işletmesi de gerçek kişi veri sorumlusudur ve aynı ölçütlere tabidir. Çalışan sayısı 50’nin, bilançosu 100 milyon TL’nin altında kalıyor ve ana faaliyeti özel nitelikli veri işleme değilse kayıt yükümlülüğü yoktur; diğer KVKK yükümlülükleri devam eder.

Doktor muayenehaneleri VERBİS'e kayıt olmalı mı?

Sağlık verisi işlemek ana faaliyet olduğu için muayenehaneler eskiden ölçekten bağımsız olarak kayıt yükümlüsüydü. Kurulun 2025/1572 sayılı kararıyla yıllık çalışan sayısı 10’dan az ve bilançosu 10 milyon TL’den az olanlar istisna kapsamına alındı.

VERBİS kaydı yapılmazsa ceza ne kadar?

KVKK md. 18/1-ç kanun metninde 20.000 TL ile 1.000.000 TL arasında idari para cezası öngörür. Bu tutarlar her yıl yeniden değerleme oranında artırıldığından 2026 yılında uygulanan sınırlar daha yüksektir ve Kurumun duyurularından kontrol edilmelidir.

VERBİS bilgileri değişirse ne kadar sürede güncellenmeli?

Veri Sorumluları Sicili Hakkında Yönetmelik md. 13/1 uyarınca sicilde kayıtlı bilgilerdeki değişiklik, değişikliğin meydana geldiği tarihten itibaren yedi gün içinde VERBİS üzerinden Kuruma bildirilmelidir. Yeni bir veri aktarımı veya kategori eklenmesi de bu kapsamdadır.

Avukatlar ve mali müşavirler VERBİS'e kayıt yaptırmalı mı?

Hayır. Kurulun 2018/32 sayılı kararı, Avukatlık Kanunu uyarınca faaliyet gösteren avukatları ve 3568 sayılı Kanun uyarınca faaliyet gösteren serbest muhasebeci mali müşavirler ile yeminli mali müşavirleri kayıt yükümlülüğünden istisna tutmuştur. Diğer KVKK yükümlülükleri ise devam eder.

Kaynaklar

• 6698 sayılı Kişisel Verilerin Korunması Kanunu (mevzuat.gov.tr)
• Veri Sorumluları Sicili Hakkında Yönetmelik (kvkk.gov.tr)
• KVK Kurulu 2023/1154 sayılı karar (kvkk.gov.tr)
• KVK Kurulu 2025/1572 sayılı karar, RG 01.10.2025, 33034
• KVK Kurulu 2018/32 sayılı istisna kararı (kvkk.gov.tr)

İlgili yazılar

• Çalışanın Kurumsal E-Postasının İşveren Tarafından İncelenmesi
• Kripto Para Dolandırıcılığında Hukuki ve Cezai Başvuru Yolları

Bu yazı genel bilgi amaçlıdır, hukuki danışmanlık yerine geçmez. Somut durumunuz için dosyanızın ayrıca değerlendirilmesi gerekir.

Bu yazı 27.09.2026 tarihli mevzuat esas alınarak hazırlanmıştır.