VERBİS Kaydı Nasıl Yapılır? 2026 Adım Adım Rehber ve Sık Yapılan Hatalar

Kayıt Ekranı Kolay, Hazırlık Zor

Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), kişisel veri işleyen gerçek ve tüzel kişilerin Kişisel Verileri Koruma Kurumu'na kayıt olduğu ve veri işleme faaliyetlerini kategorik olarak beyan ettiği kamuya açık sicildir. Ekranlar birkaç saatte doldurulabilecek kadar sade görünür; ancak girilen her bilginin şirketin gerçek veri işleme faaliyetleriyle örtüşmesi gerekir. VERBİS kaydı nasıl yapılır sorusunun asıl yanıtı bu nedenle ekranlardan önce, hazırlıkta başlar.

Bu rehber, Kurum'un “Sorularla VERBİS” kılavuzunun Ekim 2025 tarihli güncel sürümüne dayanarak kaydı adım adım anlatıyor; sık yapılan hataları ve kayıt sonrası yükümlülükleri de içeriyor. Şirketinizin kayıt yükümlüsü olup olmadığından emin değilseniz önce VERBİS kayıt zorunluluğu yazımızdaki eşik hesabını yapmanızı öneririz.

Kayıt Öncesi Hazırlık: İrtibat Kişisi, Veri Envanteri

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 16. maddesi, kayıt yükümlüsü veri sorumlularının kişisel veri işlemeye başlamadan önce sicile kaydolmasını öngörür. Kurul kararlarıyla belirlenen istisnalar dışında kalan ve sonradan yükümlü hâle gelen veri sorumluları, Veri Sorumluları Sicili Hakkında Yönetmelik'in 8. maddesi uyarınca yükümlü oldukları tarihten itibaren 30 gün içinde kayıt olmalıdır. Kayıt için herhangi bir ücret ödenmez.

İrtibat kişisinin belirlenmesi: Tüzel kişilerde veri sorumlusu, şirketi temsil eden bir yönetici değil, şirketin kendisidir. İrtibat kişisi ise veri sorumlusu adına VERBİS'e bilgi girişi yapan ve Kurum ile iletişimi sağlayan kişidir. “Sorularla VERBİS” kılavuzuna göre irtibat kişisi:

Türkiye'de yerleşik ve Türkiye Cumhuriyeti vatandaşı bir gerçek kişi olmalıdır,

18 yaşını doldurmuş olmalıdır,

Şirket çalışanı olmak zorunda değildir; dışarıdan bir avukat veya danışman da atanabilir,

Veri sorumlusunun veri işleme faaliyetlerini bilmelidir, çünkü bildirimi o girer.

Bir veri sorumlusunun aynı anda yalnızca bir aktif irtibat kişisi olabilir. Bir kişinin birden fazla veri sorumlusuna atanıp atanamayacağını irtibat kişisi yazımızda ele aldık.

Veri envanterinin çıkarılması: VERBİS'e girilecek bilgiler, şirketin kişisel veri işleme envanterinden türetilir. Envanter; her departmandaki süreçleri, bu süreçlerde işlenen veri kategorilerini, işleme amaçlarını, veri konusu kişi gruplarını, alıcıları, yurt dışı aktarımları, saklama sürelerini ve güvenlik tedbirlerini gösteren kayıttır. Envanter olmadan doldurulan bir VERBİS bildirimi çoğu zaman eksik veya fiilî durumla çelişkili olur. Sicile kayıt yükümlüsü veri sorumluları, Silme, Yok Etme veya Anonim Hale Getirme Yönetmeliği uyarınca bir kişisel veri saklama ve imha politikası da hazırlamalıdır; VERBİS'teki saklama süreleri bu politikayla aynı olmalıdır.

Kayıt öncesinde ayrıca şirketin vergi kimlik numarası ve vergi dairesi, açık adresi ve adres numarası, iletişim bilgileri ve varsa kayıtlı elektronik posta (KEP) adresi hazır tutulmalıdır. Vergi bilgileri başvuru sırasında Gelir İdaresi Başkanlığı veri tabanından anlık sorgulanır.

Sisteme Giriş ve Veri Sorumlusu Bilgileri

Yurt içinde yerleşik tüzel kişi veri sorumluları için kayıt süreci, “Sorularla VERBİS” kılavuzunda şu sırayla tarif edilir:

1) Başvuru formunun oluşturulması: Kurum'un internet sitesindeki VERBİS bağlantısından “Veri Sorumlusu Girişi” seçilir, ilgili alanlar doldurulur ve sistem PDF formatında bir başvuru formu üretir.

2) Formun Kurum'a iletilmesi: Formun çıktısı ıslak imzalı ve kaşeli veya mühürlü olarak posta yoluyla ya da elden Kurum'a iletilir. Şirketin KEP adresi varsa PDF dosya, konu kısmında başvuru numarası belirtilerek Kurum'un [email protected] adresine gönderilebilir; bu durumda ayrıca ıslak imzalı belge gönderilmesine gerek yoktur.

3) Kullanıcı adı ve parola: Kurum, başvuruyu değerlendirdikten sonra formda belirtilen e-posta adresine kullanıcı adı ve parola gönderir. Kılavuza göre bunun için belirli bir süre yoktur; formun Kurum'a ulaşmasının takibi veri sorumlusunun sorumluluğundadır.

4) İrtibat kişisinin atanması: Veri sorumlusu, kullanıcı adı ve parolayla “Veri Sorumlusu Girişi” üzerinden irtibat kişisini atar.

5) İrtibat kişisi girişi: Atanan irtibat kişisi, “İrtibat Kişisi Girişi” üzerinden kullanıcı adı ve parola kullanmadan, kendi e-Devlet şifresiyle sisteme girer ve bildirimi doldurur.

Formun gönderilmesiyle kullanıcı bilgilerinin gelmesi arasında geçen süre öngörülemediği için, 30 günlük kayıt süresinin son günlerine bırakılan başvurular risklidir. Başvuru formunun gönderim kanıtını (posta alındısı veya KEP delili) saklamak, olası bir gecikme tartışmasında önemlidir.

Gerçek kişi veri sorumluları ile yurt dışında yerleşik veri sorumluları için süreç farklıdır; yurt dışında yerleşik veri sorumluları Türkiye'de bir veri sorumlusu temsilcisi atar. Bu durumlarda kılavuzun ilgili soruları ayrıca incelenmelidir.

Veri Kategorileri, Amaçlar ve Alıcı Grupları

İrtibat kişisinin dolduracağı bildirim, KVKK'nın 16. maddesinde ve Yönetmelik'te sayılan bilgilerden oluşur. Kılavuzun 17. sorusuna göre VERBİS'e şu bilgiler girilir:

Kimlik ve adres bilgileri: Veri sorumlusu, varsa veri sorumlusu temsilcisi ve irtibat kişisine ait bilgiler.

İşleme amaçları: Kişisel verilerin hangi amaçla işlendiği (ör. çalışanlar için iş faaliyetlerinin yürütülmesi, müşteriler için satış süreçlerinin yürütülmesi).

Kişi grupları ve veri kategorileri: Çalışan, çalışan adayı, müşteri, ziyaretçi, tedarikçi yetkilisi gibi gruplar ve bu gruplara ait kimlik, iletişim, finans, özlük, sağlık gibi kategoriler.

Alıcı veya alıcı grupları: Verilerin aktarılabileceği yetkili kamu kurumları, iş ortakları, tedarikçiler, topluluk şirketleri gibi gruplar.

Yabancı ülkelere aktarım: Yurt dışına aktarımı öngörülen kişisel veriler.

Güvenlik tedbirleri ve azami saklama süresi: KVKK'nın 12. maddesi uyarınca alınan teknik ve idari tedbirler ile verilerin azami muhafaza süresi.

Bu bilgiler kişi bazında değil, kategori bazında girilir. Kılavuz bunu şöyle örnekler: ziyaretçilerin ad, soyad, T.C. kimlik numarası, telefon ve plaka bilgisi tek tek yazılmaz; bunların üst kategorisi olan “kimlik” ve “iletişim” kategorileri seçilir. Listede bulunmayan bir veri kategorisi, işleme amacı, alıcı, kişi grubu veya güvenlik tedbiri, “Diğer” alanından elle eklenebilir.

Pratik yöntem, envanterdeki her süreci VERBİS'te bir satır gibi düşünmektir: kişi grubu, o gruba ait veri kategorisi, işleme amacı, alıcı grubu ve saklama süresi birbiriyle eşleşmelidir. Sağlık verisi beyan edilmiş ama buna karşılık gelen bir amaç yazılmamışsa ya da alıcı grubu olarak yalnızca kamu kurumları seçilmiş ama şirket bordroyu dış hizmet sağlayıcıyla yürütüyorsa, beyan ile fiilî durum arasında bir fark vardır.

KVKK'nın 28. maddesinde sayılan istisna kapsamındaki faaliyetler (ör. yalnızca kişisel veya aile içi faaliyetler, resmî istatistik amaçlı anonim işleme) için VERBİS'e bilgi girişi yapılması zorunlu değildir.

Saklama Süreleri ve Güvenlik Tedbirleri Beyanı

Her veri kategorisi için azami saklama süresi beyan edilir. Kılavuza göre aynı veri kategorisinde birden fazla saklama süresi varsa, bunlardan en uzun olanı bildirime yazılır. Örneğin “finans” kategorisindeki bazı belgeler vergi mevzuatı, bazıları ticaret mevzuatı nedeniyle farklı sürelerle saklanıyorsa, en uzun süre esas alınır.

Sürelerin dayanağı ilgili mevzuattır ve şirket bazında değişir. Sık başvurulan bazı süreler şunlardır:

Bu tablo yalnızca örnek niteliğindedir; sektörünüze özgü düzenlemeler (ör. sağlık, finans, iş sağlığı ve güvenliği) farklı süreler öngörebilir. Süreler, saklama ve imha politikasıyla birlikte hukuki değerlendirmeyle belirlenmelidir.

Güvenlik tedbirleri ekranında teknik ve idari tedbirler listeden seçilir. Burada gerçekten uygulanan tedbirler işaretlenmelidir; listedeki her tedbiri işaretlemek, bir denetimde ispat edilemeyen beyanlar anlamına gelir. Tedbirlerin içeriği için Kurum'un Kişisel Veri Güvenliği Rehberi esas alınabilir.

Bildirim tamamlanmadan sistemden çıkılırsa, daha sonra giriş yapılarak kalınan yerden devam edilebilir. Tüm ekranlar doldurulduğunda bildirim onaylanarak gönderilir. Veri sorumlusu, irtibat kişisinin girdiği bilgileri “İşlem Geçmişi” üzerinden tarih ve saat ayrıntısıyla görüntüleyebilir; bildirimi son kez yönetim adına kontrol etmek için bu ekran kullanılabilir.

Sık Başvurulan Yasal Saklama Süreleri

Sık Yapılan Hatalar

Kurum, 2019 yılında yaptığı bir duyuruda sicil bildirimlerinde beyan edilen veri kategorileri, işleme amaçları ve alıcı grupları arasında uyumsuzluklar gibi hatalar tespit ettiğini belirtmiş ve bildirimlerin envantere dayanması gerektiğini vurgulamıştır. Uygulamada en sık karşılaşılan hatalar şunlardır:

Bu hataların çoğu ekran kullanımından değil, kaydın tek bir kişiye “şu formu doldur” denilerek verilmesinden kaynaklanır. VERBİS beyanı İK, bilgi işlem, muhasebe ve satış birimlerinin girdisi olmadan doğru yapılamaz. Envanter çalışmasının bir uyum projesinde nasıl planlandığını KVKK uyum süreci yazımızda anlattık.

VERBİS Kaydında Sık Yapılan Hatalar

Kayıt Sonrası Güncelleme Yükümlülüğü

VERBİS kaydı her yıl yenilenmez; Kurum'un açıklamasına göre kayıttan sonra yalnızca girilen bilgilerde değişiklik olduğunda güncelleme yapılır. Ancak güncellemenin süresi kısadır: Veri Sorumluları Sicili Hakkında Yönetmelik'in 13. maddesine göre sicildeki bilgilerde meydana gelen değişiklikler, değişiklik tarihinden itibaren yedi gün içinde VERBİS üzerinden bildirilir.

Yeni bir işleme amacı, yeni kişi grubu veya veri kategorisi, daha önce beyan edilmemiş bir alıcı grubu, yurt dışında barındırılan yeni bir hizmet, saklama sürelerinde değişiklik, irtibat kişisinin değişmesi ya da unvan ve adres değişikliği güncelleme gerektirir. Hangi değişikliğin güncelleme gerektirdiğini ve yedi günlük sürenin nasıl takip edileceğini VERBİS güncelleme yazımızda ayrıntılı anlattık.

Sicile kayıt yükümlülüğüne aykırılık, KVKK'nın 18. maddesinde idari para cezasına bağlanmıştır. Güncel tutarlar için 2026 idari para cezaları yazımıza bakabilirsiniz. 2025 bilançosu nedeniyle yükümlü hâle gelen şirketler için uzatılan kayıt süresinin ayrıntıları VERBİS kayıt süresi yazımızda yer alıyor.

Sonuç ve Sonraki Adım

VERBİS kaydı nasıl yapılır sorusunun yanıtı teknik olarak kısadır: başvuru formu, kullanıcı bilgileri, irtibat kişisi ataması ve bildirim girişi. Ancak kaydın değeri, girilen bilgilerin şirketin gerçek veri işleme faaliyetleriyle örtüşmesine bağlıdır. Envanter, saklama ve imha politikası ve gerçekten uygulanan güvenlik tedbirleri hazır olmadan yapılan kayıt, kamuya açık bir sicilde ispatı zor beyanlar bırakır.

Karar aşamasında üç seçeneğiniz vardır: kaydı tamamen iç ekiple yapmak, envanteri kendiniz hazırlayıp bildirim girişinde destek almak ya da hazırlıktan kayıt sonrası güncelleme takibine kadar tüm süreci bir paketle yürütmek. İç ekibinizde envanteri çıkarabilecek bir uyum sorumlusu yoksa, ilk iki seçenek çoğu zaman hatalarla sonuçlanır. Paket kapsamını VERBİS Kayıt ve Bildirim Paketi sayfamızda inceleyebilirsiniz.

Sık Sorulan Sorular