VERBİS Kaydı Güncellemesi: Hangi Değişiklikte, Ne Kadar Sürede Bildirim Yapılmalı?

VERBİS kaydı bir kez yapılır, ama sürekli güncel tutulur

Pek çok şirket için Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) kaydı, tamamlanıp unutulan bir iştir. Oysa sicil, şirketin veri işleme faaliyetlerinin kamuya açık bir özetidir ve bu faaliyetler değiştikçe kaydın da değişmesi gerekir. VERBİS güncelleme yükümlülüğü, kayıt yükümlülüğü kadar bağlayıcıdır ve süresi oldukça kısadır.

Bu rehberde hangi değişikliklerin güncelleme gerektirdiğini, yedi günlük sürenin nasıl takip edileceğini, veri envanteri ile VERBİS beyanının neden tutarlı olması gerektiğini ve unvan değişikliği ile birleşme gibi kurumsal olaylarda neler yapılacağını adım adım anlatıyoruz. Şirketinizin kayıt yükümlüsü olup olmadığından emin değilseniz önce VERBİS zorunluluğu yazımızdaki hesaplama adımlarına bakabilirsiniz.

Kayıt sonrası devam eden yükümlülükler

VERBİS'e girilen bilgiler, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 16. maddesinde sayılan ve Kurum'un “Sorularla VERBİS” kılavuzunda tekrar edilen başlıklardan oluşur:

Veri sorumlusu, varsa veri sorumlusu temsilcisi ve irtibat kişisine ait kimlik ve adres bilgileri,

Kişisel verilerin hangi amaçla işleneceği,

Veri konusu kişi grupları ve bu kişilere ait veri kategorileri,

Verilerin aktarılabileceği alıcı veya alıcı grupları,

Yabancı ülkelere aktarımı öngörülen kişisel veriler,

Veri güvenliği için alınan teknik ve idari tedbirler,

Kişisel verilerin azami muhafaza süresi.

Bu bilgiler kişi bazında değil, kategori bazında girilir. Örneğin ziyaretçilerin adı, T.C. kimlik numarası ve telefon numarası tek tek değil, “kimlik” ve “iletişim” kategorileri olarak beyan edilir.

Kurum'a göre kayıttan sonra her yıl yeniden başvuru yapılması gerekmez; yalnızca girilen bilgilerde değişiklik meydana geldiğinde güncelleme yapılır. Yani kayıt sonrası temel yükümlülük, bu yedi başlıktaki değişiklikleri izlemek ve zamanında bildirmektir.

Güncelleme gerektiren değişiklikler: yeni süreç, tedarikçi, aktarım, irtibat kişisi

Hangi değişikliğin güncelleme gerektirdiğini anlamanın en pratik yolu, değişikliğin yukarıdaki yedi başlıktan birine dokunup dokunmadığına bakmaktır. Uygulamada en sık karşılaşılan durumlar şunlardır:

Yeni süreç veya amaç: Şirket kamera sistemi kurduysa, çağrı kaydı almaya başladıysa ya da yeni bir hizmet için veri işlemeye başladıysa yeni bir işleme amacı ve çoğu zaman yeni bir veri kategorisi doğar.

Yeni kişi grubu veya veri kategorisi: Örneğin ilk kez stajyer alınması, biyometrik giriş sistemi kurulması ya da müşteri konum verisinin işlenmeye başlanması.

Yeni tedarikçi veya alıcı grubu: VERBİS'te tedarikçiler tek tek değil alıcı grubu olarak beyan edilir. Mevcut bir alıcı grubuna yeni bir firma eklenmesi çoğu zaman güncelleme gerektirmez; ancak daha önce beyan edilmemiş bir alıcı grubuna (ör. ilk kez bir dış kaynak çağrı merkezine) veri aktarılmaya başlanması güncelleme gerektirir.

Yurt dışına aktarım: Yurt dışında barındırılan bir e-posta, CRM veya bulut hizmetine geçilmesi, “yabancı ülkelere aktarımı öngörülen kişisel veriler” başlığını değiştirir.

Saklama süresi ve güvenlik tedbirleri: Saklama ve imha politikasında sürelerin değişmesi ya da tedbirlerde önemli bir değişiklik olması.

İrtibat kişisi: İrtibat kişisinin işten ayrılması veya görev değişikliği. VERBİS'te irtibat kişisi değiştirme işlemi yapıldığında mevcut irtibat kişisi pasife alınır; bir veri sorumlusunun aynı anda birden fazla aktif irtibat kişisi olamaz.

İrtibat kişisinin kimler olabileceğini ve birden fazla veri sorumlusuna atanıp atanamayacağını irtibat kişisi yazımızda ele aldık.

Güncelleme süresi ve takibi

Veri Sorumluları Sicili Hakkında Yönetmelik'in 13. maddesine göre veri sorumluları, sicilde kayıtlı bilgilerde değişiklik olması halinde bu değişiklikleri, değişikliğin meydana geldiği tarihten itibaren yedi gün içinde VERBİS üzerinden Kurum'a bildirir. Süre değişikliğin fiilen gerçekleştiği tarihten başlar; şirketin bunu fark ettiği tarihten değil.

Yedi gün kısa bir süredir. Bu nedenle güncellemeyi, değişikliğin olduğu anda tetikleyen bir iç süreç kurmak gerekir. Önerilen yöntem şudur:

Tetikleyicileri tanımlayın: Yeni yazılım satın alımı, yeni tedarikçi sözleşmesi, kamera kurulumu, yeni ürün veya hizmet, irtibat kişisinin ayrılması ve unvan veya adres değişikliği gibi olayları yazılı bir listeye dönüştürün.

Onay akışına bağlayın: Satın alma, bilgi teknolojileri ve insan kaynakları onay akışlarına “KVKK etkisi var mı?” sorusunu ekleyin; olumlu yanıt uyum sorumlusuna otomatik bildirim oluştursun.

Sorumluyu belirleyin: Envanteri güncelleyecek kişi ile VERBİS'e girişi yapacak irtibat kişisini ve yedeğini belirleyin.

Kaydını tutun: Her değişikliğin tarihini, envantere işlendiği ve VERBİS'e bildirildiği tarihi bir değişiklik günlüğünde saklayın.

Fiilî, teknik veya hukuki bir imkânsızlık nedeniyle kayıt yükümlülüğü yerine getirilemiyorsa, Kurum'un açıklamasına göre imkânsızlığın ortaya çıktığı tarihten itibaren en geç yedi iş günü içinde gerekçeli yazılı başvuruyla ek süre istenebilir; Kurum bir defaya mahsus olmak üzere otuz günü geçmeyen ek süre verebilir.

Veri envanteri ile VERBİS beyanının tutarlılığı

VERBİS beyanı, şirketin kişisel veri işleme envanterinden türetilmelidir. Kurul, 2019 yılında yaptığı duyuruda sicil bildirimlerinde beyan edilen veri kategorileri, işleme amaçları ve alıcı grupları arasında uyumsuzluklar gibi yaygın hatalar tespit ettiğini belirtmiş ve bildirimlerin envantere dayanması gerektiğini vurgulamıştır.

Tutarlılığı kontrol etmek için dört soru yeterlidir:

Kapsam: Envanterdeki her kişi grubu ve veri kategorisi VERBİS'te de var mı? VERBİS'te beyan edilip artık işlenmeyen kategori kaldı mı?

Amaç ve kategori eşleşmesi: Her veri kategorisi, onu gerektiren bir işleme amacıyla eşleşiyor mu? Örneğin sağlık verisi beyan edilmiş ama buna karşılık gelen bir amaç yazılmamış mı?

Alıcılar ve aktarım: Envanterdeki tedarikçi listesi ile VERBİS'teki alıcı grupları ve yurt dışı aktarım beyanı uyumlu mu?

Süreler: VERBİS'teki azami muhafaza süreleri, saklama ve imha politikasındaki sürelerle aynı mı?

Sicil kamuya açıktır ve ilgili kişiler, rakipler ya da Kurul bu beyanı görebilir. Beyan ile fiilî durum arasındaki fark, bir şikâyet veya denetimde doğrudan bulgu haline gelir. Envanterin nasıl oluşturulduğunu KVKK uyum süreci yazımızın keşif fazı bölümünde anlattık.

Unvan değişikliği, birleşme ve devir durumları

VERBİS kaydı, veri sorumlusu olan gerçek veya tüzel kişiye aittir ve bir veri sorumlusu adına yalnızca bir kayıt yapılabilir. Kurumsal olaylar bu nedenle kaydı farklı biçimlerde etkiler:

Unvan, adres veya iletişim bilgisi değişikliği: Tüzel kişilik devam ettiği için yeni kayıt açılmaz; değişiklik sicil bilgisi değişikliği olarak yedi gün içinde güncellenir.

Birleşme yoluyla devralma: Devrolunan şirketin tüzel kişiliği sona erdiğinde onun adına yapılmış kayıt için VERBİS üzerinden sicilden silme talebi oluşturulur ve Kurum'a gerekçeli resmî yazı gönderilir. Devralan şirketin kaydı ise yeni kişi grupları, veri kategorileri, amaçlar ve alıcılar eklenerek güncellenir.

Bölünme veya yeni şirket kurulması: Yeni tüzel kişilik ayrı bir veri sorumlusudur. Kayıt yükümlüsüyse, Kurum'un açıklamasına göre yükümlü hâle geldiği tarihten itibaren 30 gün içinde kendi kaydını yapar.

İşletme veya iş kolu devri: Tüzel kişilikler devam ederken bir iş kolu devredildiğinde, devreden şirketin kaydından ilgili amaç ve kategoriler çıkarılır, devralan şirketin kaydına eklenir.

Faaliyetin sona ermesi veya kaydın yeniden etkinleştirilmesi: Veri işlemeyi bırakan veri sorumlusu sicilden silme talep edebilir. Silinen kayıt pasife alınır; veri sorumlusu yeniden yükümlü hale gelirse kaydını “Kayıt Aktifleştirme” ile yeniden etkinleştirir ve yeni bir irtibat kişisi atar.

Birleşme ve devir işlemlerinde verilerin devralan şirkete aktarılmasının hukuki dayanağı ve ilgili kişilerin bilgilendirilmesi ayrıca değerlendirilmelidir. Somut olay özelinde hukuki değerlendirme alınmalıdır.

Yıllık gözden geçirme listesi

Değişikliklerin anında bildirilmesi esastır; yıllık gözden geçirme ise gözden kaçan değişiklikleri yakalamak için bir güvenlik ağıdır. Aşağıdaki listeyi yılda en az bir kez, tercihen kurumlar vergisi beyannamesi döneminden önce uygulayabilirsiniz. Bu dönem, bilanço eşiği nedeniyle kayıt yükümlülüğünün yeniden değerlendirilmesi için de uygundur.

Kayıt ve bildirim yükümlülüğüne aykırılık, KVKK'nın 18. maddesinde idari para cezasına bağlanmıştır. Güncel tutarları 2026 idari para cezaları yazımızda bulabilirsiniz.

VERBİS yıllık gözden geçirme kontrol listesi

Sonuç ve sonraki adım

VERBİS güncelleme yükümlülüğü, kayıt tamamlandıktan sonra başlar: sicildeki bilgilerden biri değiştiğinde yedi gün içinde bildirim yapılmalıdır. Bunu sürdürülebilir kılmak için değişiklik tetikleyicilerini onay akışlarına bağlamak, envanteri tek doğru kaynak olarak kullanmak ve yılda bir kez VERBİS çıktısını envanterle satır satır karşılaştırmak yeterlidir. Kurumsal olaylarda ise kaydın güncellenmesi, silinmesi veya yeni kayıt açılması gerekip gerekmediği ayrıca değerlendirilmelidir.

Sık sorulan sorular