VERBİS Kaydı Nedir, Kimler Yapmak Zorunda?

VERBİS kaydı, küçük işletme sahiplerinin en çok kafası karışan konusu. Aramalarda karşınıza çıkan içeriklerin çoğu uyum danışmanlığı satan firmalardan geliyor ve hepsi aynı yerde bitiyor: "Kapsamda olabilirsiniz, ceza büyük, hemen bizi arayın." Oysa asıl sorunuz çok net — "ben de kayıt olmak zorunda mıyım, zorundaysam elimde ne olması gerekiyor?" Bu iki sorunun cevabı danışmanlık gerektirmeyecek kadar somut.

Bu yazıda VERBİS'in ne olduğunu, kayıt zorunluluğunun eşiklerini ve muafiyetleri, kayıttan önce hazırlamanız gereken veri envanterini, web sitesi üzerinden toplanan verilerin (form, üyelik, sipariş, çerez, sunucu logu) beyanda tam olarak nasıl gösterileceğini ve başvurunun adımlarını anlatıyoruz. Envanter kısmına özellikle yer ayırdık; çünkü kayıt formunu doldurmak yarım saatlik iş, envanteri çıkarmak ise asıl emek isteyen bölüm ve Türkçe kaynaklarda hep atlanan yer burası.

VERBİS Nedir ve Ne İşe Yarar#

VERBİS, veri sorumlularının kişisel veri işleme faaliyetlerini beyan ettiği, Kişisel Verileri Koruma Kurumu tarafından tutulan merkezî bir sicildir. Adı "Veri Sorumluları Sicil Bilgi Sistemi"nin kısaltmasıdır ve kamuya açık bir kayıttır — yani beyanınızın özeti herkes tarafından sorgulanabilir.

Sicil, bir izin veya lisans sistemi değildir. Kaydolmak size veri işleme yetkisi vermez, kaydolmamak da işlemenizi durdurmaz. Sicilin işlevi şeffaflıktır: bir kişi, hangi işletmenin hangi kategoride veri işlediğini, hangi amaçlarla topladığını ve ne kadar süreyle sakladığını sicilden görebilir. Bu yüzden beyan ettiğiniz bilgilerin gerçekle uyuşması kritiktir; gerçekte topladığınız ama beyan etmediğiniz bir veri kategorisi, denetimde en hızlı yakalanan tutarsızlıktır.

Kayıt, aydınlatma yükümlülüğünüzün yerine geçmez. Sicile kaydolmuş olmanız, sitenizde aydınlatma metni bulundurma zorunluluğunu ortadan kaldırmaz — ikisi ayrı yükümlülüktür ve birbirini beslerler. Aslında doğru sıra şudur: önce veri envanterini çıkarın, envanterden KVKK aydınlatma metni çıksın, aynı envanterle sicil beyanını doldurun. Aynı tablo iki belgeyi birden üretir.

Kimler VERBİS'e Kayıt Olmak Zorunda#

Kişisel veri işleyen her veri sorumlusu kural olarak kayıt yükümlüsüdür; ancak Kurul, belirli ölçütlerin altında kalan veri sorumlularına istisna tanımıştır. Yurt içinde yerleşik gerçek ve tüzel kişiler için uygulanan temel ölçütler şunlardır:

Ölçütlerin ikisinin "veya" ile bağlı olduğuna dikkat edin: çalışan sayınız 50'nin altında olsa bile bilanço eşiğini aşıyorsanız kayıt zorunludur. Tersi de geçerlidir. Bilanço eşiği ve istisna kapsamı Kurul kararlarıyla güncellenebildiği için, başvurudan önce Kurumun yayımladığı güncel duyuruyu kontrol etmeniz gerekir; bu yazıdaki tabloyu yapıyı anlamak için kullanın, rakamı kayıt anındaki resmî kaynaktan doğrulayın.

"Ana faaliyeti özel nitelikli veri işlemek" ibaresi çok soru alır. Özel nitelikli veri; sağlık, biyometrik, genetik, din, ırk, siyasi görüş, sendika üyeliği, ceza mahkûmiyeti gibi kategorileri kapsar. Bir diş kliniği, laboratuvar, spor salonu ya da parmak izi ile giriş yapan bir tesis ana faaliyeti gereği bu verileri işler ve eşiğe bakılmaksızın kayıt yükümlüsüdür. Buna karşılık çalışanlarının sağlık raporunu İK dosyasında saklayan bir mobilya üreticisinin ana faaliyeti özel nitelikli veri işlemek değildir; o yalnızca eşiklere bakar.

Kimler İstisna Kapsamında#

İstisna kapsamında olmak, KVKK'dan muaf olmak anlamına gelmez; yalnızca sicile kayıt yükümlülüğünden muaf olmak demektir. Bu ayrım o kadar sık karıştırılıyor ki üzerine ayrı bir bölüm açmak gerekiyor.

İstisna kapsamındaki bir işletme de şunları yapmak zorundadır: aydınlatma yükümlülüğünü yerine getirmek, açık rıza gereken yerlerde geçerli rıza almak, veri güvenliği için idari ve teknik tedbirleri almak, ilgili kişi başvurularını süresinde cevaplamak, saklama ve imha süreleri belirlemek, veri ihlali durumunda bildirim yapmak. Yani "VERBİS'e kayıtlı değilim" cümlesi bir savunma değildir.

Kayıt yükümlülüğü olmasa bile veri envanteri hazırlamanızı tavsiye ederim. Envanter olmadan ne aydınlatma metnini doğru yazabilirsiniz, ne saklama sürelerini belirleyebilirsiniz, ne de bir ihlal anında hangi verinin sızdığını söyleyebilirsiniz. İhlal senaryosunun teknik tarafı için veri ihlali müdahale planı yazısı ayrı bir kontrol listesi sunuyor.

Bir diğer sık soru: işletmeniz bugün eşiğin altındaysa ama yıl içinde çalışan sayısı 50'yi aştıysa ne olur? Eşiği aştığınız andan itibaren kayıt yükümlüsü olursunuz ve kanunda öngörülen süre içinde kaydınızı yapmanız gerekir. Bu yüzden eşiğe yaklaşan işletmelerin envanteri önceden hazırlaması, kayıt anında işi kolaylaştırır.

Kayıttan Önce: Veri Envanteri Hazırlama#

Veri envanteri, sicil beyanının hammaddesidir; envanteri çıkarmadan forma başlarsanız her alanda takılırsınız. Envanter, işlediğiniz her veri için altı sütun içeren bir tablodur:

Bu tabloyu doldururken en çok zorlanılan sütun "hukuki sebep"tir. Basit bir kural işinizi görür: veriyi toplamadan hizmeti veremiyorsanız sözleşmenin ifası, mevzuat sizi zorluyorsa hukuki yükümlülük, hizmet için şart değil ama işletme için makul ise meşru menfaat, hiçbiri değilse açık rıza. Açık rıza en son seçenektir; her satırda rıza yazıyorsanız envanteri yanlış doldurmuşsunuzdur.

İkinci zorlanılan sütun saklama süresidir. Mevzuatta süre öngörülen kalemler (fatura, bordro, defter) için o süreyi yazın. Süre öngörülmeyen kalemler için (form mesajı, log kaydı) makul bir süre belirleyip yazılı hâle getirin. "Süresiz" veya "gerektiği kadar" kabul edilebilir bir cevap değildir.

Web Sitesi Verilerini Envantere ve Beyana Yazmak#

Web sitesi üzerinden toplanan veriler envanterde en çok atlanan kalemdir; çünkü bir formu "veri toplama noktası" olarak görmek kolay değildir. Sitenizi açın ve şu altı noktayı tek tek işaretleyin:

1. İletişim formu. Topladığı veri: kimlik (ad-soyad), iletişim (e-posta, telefon), müşteri işlem (mesaj içeriği). Kişi grubu ziyaretçi/potansiyel müşteri, amaç talebe cevap vermek, hukuki sebep meşru menfaat.

2. Üyelik ve giriş. Topladığı veri: kimlik, iletişim, işlem güvenliği (parola özeti, son giriş IP'si). Amaç hesap yönetimi, hukuki sebep sözleşmenin ifası. Pazarlama izni ayrı bir satırdır ve hukuki sebebi açık rızadır.

3. Sipariş ve ödeme. Topladığı veri: kimlik, iletişim, müşteri işlem, finans (kart bilgisi ödeme kuruluşunda tutuluyorsa "finans" satırını alıcı grubu olarak ödeme kuruluşu ile yazın; kartı kendi sunucunuzda saklamıyorsanız bunu envanterde açıkça belirtin). Alıcı grubuna kargo ve mali müşavir eklenir.

4. Çerezler ve ölçüm araçları. Topladığı veri: pazarlama ve işlem güvenliği. Rızaya tabi çerezler açık rıza satırına, zorunlu çerezler meşru menfaat satırına yazılır. Analitik aracı yurt dışındaysa alıcı grubu ve yurt dışına aktarım alanları buna göre işaretlenir. Çerez tarafını düzenlemek için çerez politikası nasıl hazırlanır yazısındaki envanter yöntemini kullanabilirsiniz.

5. Sunucu erişim logları. Bu, en sık unutulan kalemdir. Web sunucunuz her istekte IP adresi, tarih, istenen URL ve tarayıcı bilgisi yazar; IP adresi kişisel veridir. Ne tuttuğunuzu görmek için sunucuda logunuza bakın:

# Nginx varsayılan erişim logunun bir satırı
sudo tail -n 1 /var/log/nginx/access.log
# 203.0.113.45 - - [11/Aug/2026:10:22:13 +0300] "GET /iletisim HTTP/1.1" 200 5231 "-" "Mozilla/5.0 ..."

# Logların kaç gün saklandığını görün
cat /etc/logrotate.d/nginx

Saklama süresini belirsiz bırakmayın; logrotate ayarınız envanterde yazdığınız süreyle uyuşmalıdır. Log rotasyonunu düzenlemek için logrotate ile log yönetimi yazısına bakabilirsiniz. Paylaşımlı hosting kullanıyorsanız log saklama süresini panelden ya da sağlayıcınızın dokümanından öğrenin ve envantere o süreyi yazın.

6. E-posta trafiği ve yedekler. Sitenizden gönderilen sipariş bildirimleri, form kopyaları ve posta kutusundaki yazışmalar da kişisel veri içerir. Yedekleme sisteminiz bu verileri kopyalar; envanterde "yedek" ayrı bir alıcı/ortam satırı olarak görünmelidir ve yedeklerin saklama süresi ana verinin süresini aşmamalıdır.

Beyan formunda bu altı kalem tek tek satır olmaz; aynı veri kategorisi ve amaç grubuna düşenler birleşir. Ama envanterinizde ayrı ayrı durmaları gerekir, çünkü bir silme talebi geldiğinde veriyi hangi altı yerde arayacağınızı ancak bu liste söyler.

VERBİS Başvurusu Adım Adım#

Envanter hazırsa başvuru mekanik bir iştir. Sıra şöyledir:

1. İrtibat kişisini belirleyin. İrtibat kişisi, Kurum ile aranızdaki iletişimi sağlayan kişidir; veri sorumlusunun temsilcisi değildir ve sorumluluğu üstlenmez. Türkiye'de yerleşik olmalıdır.
2. Kayıt için gereken kimlik doğrulamasını tamamlayın. Tüzel kişilerde kayıt, işletmenin resmî elektronik iletişim kanalları üzerinden doğrulanır; süreçte kayıtlı elektronik posta (KEP) adresi istenebilir. KEP adresiniz yoksa başvuru öncesi almanız gerekir.
3. Veri sorumlusu bilgilerini girin. Ticaret unvanı, vergi/MERSİS numarası, adres, faaliyet konusu.
4. Veri kategorilerini işaretleyin. Sistem hazır kategori listesi sunar: kimlik, iletişim, özlük, hukuki işlem, müşteri işlem, işlem güvenliği, finans, pazarlama, görsel/işitsel kayıtlar, özel nitelikli veriler. Envanterinizdeki her satırın karşılığı bu listede vardır.
5. Her kategori için kişi gruplarını, amaçları, alıcı gruplarını ve saklama sürelerini girin. Bu, envanter tablonuzun forma dökülmesidir.
6. Yurt dışına aktarım varsa işaretleyin. Yurt dışındaki bir e-posta servisi, analitik aracı veya bulut deposu kullanıyorsanız bu alan boş kalmamalıdır.
7. Alınan idari ve teknik tedbirleri işaretleyin. Erişim yetkisi yönetimi, şifreleme, güvenlik duvarı, log kaydı, yedekleme, çalışan eğitimi gibi kalemler listelenir. İşaretlediğiniz her tedbiri gerçekten uyguluyor olmalısınız.
8. Kaydı tamamlayın ve çıktısını arşivleyin. Beyanın bir kopyasını kurum içi dosyanızda saklayın; güncelleme yaparken önceki hâli görmek işinizi kolaylaştırır.

Başvuru sonrası iş bitmez: beyanınızda değişiklik olursa (yeni bir veri kategorisi, yeni bir alıcı grubu, saklama süresi değişikliği, irtibat kişisi değişikliği) kaydı güncellemeniz gerekir. Uygulamada en sık kaçırılan güncelleme, yeni bir yazılım veya servis eklendiğinde alıcı grubunun değişmesidir — yeni bir e-posta gönderim servisine geçtiğinizde beyanınız artık gerçeği yansıtmaz.

Saklama ve İmha Politikası#

Kayıt yükümlüsü olan veri sorumluları kişisel veri saklama ve imha politikası hazırlamak zorundadır; bu belge envanterinizin ikinci yüzüdür. Politika, hangi verinin ne kadar saklanacağını ve süre dolduğunda nasıl imha edileceğini yazar.

İmha üç yöntemle olur: silme (verinin ilgili kullanıcılar için erişilemez hâle getirilmesi), yok etme (verinin hiç kimse tarafından geri getirilemeyecek şekilde ortadan kaldırılması) ve anonim hâle getirme (verinin kimliği belirlenebilir olmaktan çıkarılması). Uygulamada üçünü karıştıran bir hata çok yaygındır: veritabanından satırı silmek, veri yok edildi anlamına gelmez — yedeklerinizde durmaya devam eder.

-- Silme talebi geldiğinde canlı tablo: kişiselleştirmeyi kaldır, kaydı tut
UPDATE siparisler
   SET musteri_ad   = 'Silinmiş kullanıcı',
       musteri_eposta = NULL,
       musteri_telefon = NULL,
       adres        = NULL,
       anonimlestirildi_at = NOW()
 WHERE musteri_id = ?;

-- Süresi dolan form mesajlarını periyodik olarak temizle
DELETE FROM iletisim_mesajlari
 WHERE olusturuldu < DATE_SUB(NOW(), INTERVAL 2 YEAR);

Fatura ve muhasebe kayıtları mevzuat gereği saklanmak zorunda olduğu için silme talebi gelse bile silinmez; bu durumda talebi reddetmez, "hangi kalemin neden saklandığını" gerekçesiyle cevaplarsınız. Yedeklerdeki veriyi anlık silmek çoğu sistemde mümkün olmadığından, politikanızda yedeklerin de bir rotasyon süresi olduğunu ve o süre sonunda kendiliğinden yok olacağını yazın. Yedekleme dönüşümünüzü tanımlamak için rsync ile yedekleme gibi bir düzenli iş kurup saklama süresini oraya da uygulayın.

Sık Yapılan Hatalar#

• "Küçüğüm, bana uygulanmaz" varsayımı. Eşik yalnızca sicile kayıt yükümlülüğünü belirler; aydınlatma, güvenlik tedbiri ve başvuru cevaplama yükümlülükleri eşikten bağımsızdır.
• Sadece bir sütunu kontrol etmek. Çalışan sayınız 50'nin altında diye rahat olmayın; bilanço ölçütü ayrı bir eşiktir ve "veya" ile bağlıdır.
• Sunucu loglarını ve çerezleri envanterin dışında bırakmak. İkisi de kişisel veri üretir ve ikisi de beyanda karşılık bulur.
• Beyanı bir kere doldurup unutmak. Yeni servis, yeni form, yeni kargo firması eklendiğinde beyan güncellenmeli.
• Gerçekte uygulanmayan tedbirleri işaretlemek. Yedekleme kutucuğunu işaretleyip yedek almamak, denetimde beyan ile gerçeğin çelişmesi demektir.
• Ticari ileti iznini VERBİS ile karıştırmak. İkisi ayrı sistemlerdir; ticari elektronik ileti izinleri için İYS kaydı ve ticari elektronik ileti yükümlülüğü ayrıca takip edilir.

Sitenizin genel uyum durumunu baştan sona gözden geçirmek için KVKK web sitesi uyumu yazısındaki kontrol listesini kullanabilirsiniz.

Sıkça Sorulan Sorular#

Şahıs şirketiyim, VERBİS kaydı yapmak zorunda mıyım#

Şahıs şirketi olmanız tek başına belirleyici değildir; ölçütlere bakılır. Yıllık çalışan sayınız 50'nin altındaysa, mali bilanço toplamınız eşiğin altındaysa ve ana faaliyetiniz özel nitelikli kişisel veri işlemek değilse istisna kapsamında olursunuz. Ancak ana faaliyetiniz sağlık, biyometrik veri veya benzeri özel nitelikli kategorilerse eşiğe bakılmaksızın kayıt zorunludur. İstisna kapsamında olsanız bile aydınlatma metni, güvenlik tedbirleri ve başvuru cevaplama yükümlülükleriniz devam eder.

VERBİS kaydı ücretli mi#

Sicile kayıt işlemi için Kuruma ödenen bir ücret yoktur; başvuru elektronik ortamda yapılır. Maliyet çıkarabilecek tek kalem, tüzel kişilerde süreçte istenebilen kayıtlı elektronik posta adresidir ve o da hizmet sağlayıcısına ödenir. Danışmanlık firmalarının aldığı ücret ise kaydın kendisi için değil, envanter ve politika hazırlığı hizmeti içindir; envanteri kendiniz çıkarabiliyorsanız bu maliyet de doğmaz.

Kayıt yaptırmazsam ne olur#

Kayıt yükümlüsü olup kaydolmamak idari para cezası ile yaptırıma bağlanmıştır ve ceza tutarları her yıl yeniden değerleme oranına göre güncellenir. Cezanın miktarından bağımsız olarak, kayıtsızlık genellikle tek başına gelmez: bir şikâyet ya da ihlal bildirimi üzerine yapılan incelemede aydınlatma metninin eksikliği, rıza kutucuklarının hatalı kurgusu ve güvenlik tedbirlerinin yetersizliği aynı anda ortaya çıkar. Güncel ceza tutarını Kurumun yayımladığı duyurudan doğrulayın.

Veri envanteri ile VERBİS beyanı aynı şey mi#

Aynı değildir; envanter iç belge, beyan ise dış bildirimdir. Envanter, her veri kalemini ayrıntısıyla — hangi tabloda, hangi dosyada, hangi serviste durduğunu da içerecek şekilde — tutan çalışma belgenizdir. Beyan ise bu envanterin kategori düzeyinde özetlenmiş hâlidir ve kamuya açıktır. Beyanı doğru doldurabilmek için envanterin daha ayrıntılı olması gerekir; envanter olmadan beyanı doldurmaya çalışmak alan alan tahmin yürütmek anlamına gelir.

Hosting sağlayıcım veri sorumlusu mu#

Hayır, hosting sağlayıcısı veri işleyendir; veri sorumlusu site sahibi işletmedir. İşleme amacını ve yöntemini siz belirlersiniz, sağlayıcı yalnızca altyapıyı sunar ve sizin talimatınızla hareket eder. Bu nedenle sicil beyanını siz yaparsınız ve sağlayıcıyı beyanınızda alıcı grubu olarak gösterirsiniz. Sunucunun bulunduğu ülke yurt dışıysa aktarım alanlarını da buna göre işaretlemeniz gerekir.

Sadece iletişim formu olan tanıtım sitesi için envanter gerekir mi#

Kayıt yükümlüsü değilseniz zorunlu değildir ama hazırlamanız işinize yarar. Tek formlu bir site bile ad, e-posta ve mesaj içeriği topluyor; bu verilerin nerede saklandığını, ne kadar süreyle tutulduğunu ve kimlerin eriştiğini yazılı hâle getirmek aydınlatma metnini yazmanızı kolaylaştırır. Ayrıca sunucu logları ve varsa çerezler de kişisel veri üretir. Yarım sayfalık bir envanter bile hiç envanteri olmayan bir siteye göre çok daha savunulabilir bir konumdadır.

Beyanımı ne zaman güncellemem gerekir#

Beyanı, bildirdiğiniz bilgilerden herhangi biri değiştiğinde güncellemeniz gerekir. Tipik tetikleyiciler şunlardır: yeni bir veri kategorisi toplamaya başlamak, yeni bir alıcı grubu eklemek (kargo, ödeme kuruluşu, e-posta servisi), yurt dışına aktarım durumunun değişmesi, saklama sürelerinin değişmesi, irtibat kişisinin veya adres bilgilerinin değişmesi. Buna ek olarak yılda bir kez beyanı envanterinizle karşılaştırmak, unutulmuş değişiklikleri yakalamanın en pratik yoludur.

Kapanış#

VERBİS kaydının zor kısmı formu doldurmak değil, formu doldurabilmek için elinizde doğru bir veri envanteri olmasıdır. Önce kapsamda olup olmadığınıza karar verin — çalışan sayısı ve bilanço ölçütleri "veya" ile bağlı, ana faaliyeti özel nitelikli veri işlemek olanlar için eşik hiç aranmıyor. Kapsamdaysanız envanteri altı sütunlu tabloyla çıkarın, web sitesi tarafında iletişim formu, üyelik, sipariş, çerez, sunucu logu ve yedek kalemlerini mutlaka listeye ekleyin, sonra beyanı bu tablodan doldurun. Kapsamda değilseniz bile envanteri hazırlayın; aydınlatma metniniz, saklama-imha politikanız ve olası bir ihlal müdahaleniz aynı tablodan besleniyor.

Bu yükümlülüklerin teknik ayağını devretmek isterseniz birkaç yerde işiniz kolaylaşır: kurumsal hosting paketlerinde barındırma Türkiye'de kaldığı için beyanınızdaki yurt dışına aktarım kalemi doğmaz, yedekleme hizmeti saklama sürelerini rotasyonla yönetip yedeklerin sonsuza kadar birikmesini engeller, sunucu yönetimi paketi log saklama, erişim yetkilendirmesi ve güncelleme takibi gibi beyanda işaretlediğiniz teknik tedbirleri üstlenir. Başvuru ve bildirim yazışmaları için kendi alan adınızla kurumsal bir adres kullanmak isterseniz e-posta paketlerine bakabilirsiniz.