VERBİS'e Kayıt Zorunlu mu? Çalışan Sayısı ve Bilanço Eşiği Hesaplama Rehberi

VERBİS kaydında asıl soru: istisnada mısınız?

“VERBİS'e kayıt olmak zorunda mıyız?” sorusu genellikle yanlış yerden sorulur. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK), kişisel veri işleyen gerçek ve tüzel kişilerin Veri Sorumluları Siciline kaydolmasını genel kural olarak öngörür. Dolayısıyla VERBİS zorunluluğunu anlamanın yolu, şirketinizin Kurul'un tanıdığı istisnalardan birine girip girmediğini doğru hesaplamaktır.

Bu rehberde yıllık çalışan sayısının ve yıllık mali bilanço toplamının Kurum'un açıkladığı yönteme göre nasıl hesaplandığını, özel nitelikli veri işleyenler için istisnanın neden daraldığını ve eşik aşıldığında ne kadar süreniz olduğunu adım adım anlatıyoruz. Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), bu sicilin internet üzerinden tutulduğu sistemdir.

Kayıt yükümlülüğünün dayanağı

Kayıt yükümlülüğü KVKK'nın 16. maddesine dayanır: kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır. Aynı madde, işlenen verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterlere bakarak Kişisel Verileri Koruma Kurulu'na (Kurul) istisna getirme yetkisi verir. Uygulamanın ayrıntıları, 30 Aralık 2017 tarihli Resmî Gazete'de yayımlanan Veri Sorumluları Sicili Hakkında Yönetmelik'te düzenlenmiştir.

Kurul bu yetkiyi kullanarak bazı veri sorumlularını kayıttan muaf tutmuştur. Ölçek bazlı istisnalar şu kararlarla şekillenmiştir:

19.07.2018 tarihli ve 2018/87 sayılı karar: Yıllık çalışan sayısı ve yıllık mali bilanço toplamı eşiğin altında kalan, ana faaliyeti özel nitelikli veri işleme olmayan veri sorumlularını istisna tuttu.

06.07.2023 tarihli ve 2023/1154 sayılı karar: Mali bilanço eşiğini 25 milyon TL'den 100 milyon TL'ye yükseltti (Resmî Gazete, 25.07.2023).

04.09.2025 tarihli ve 2025/1572 sayılı karar: Ana faaliyeti özel nitelikli veri işleme olup yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olanları da istisnaya ekledi (Resmî Gazete, 01.10.2025).

Bunların yanında meslek veya faaliyet türüne göre istisnalar da vardır: yalnızca otomatik olmayan yollarla veri işleyenler, noterler, avukatlar, serbest muhasebeci mali müşavirler ve yeminli mali müşavirler, gümrük müşavirleri, arabulucular, siyasi partiler, köy tüzel kişilikleri ve belirli koşullarla iktisadi işletmesi bulunmayan dernek, vakıf ve sendikalar. Yurt dışında yerleşik veri sorumlularında ise Kurum'a göre çalışan sayısı, bilanço toplamı ve ana faaliyet konusu dikkate alınmaz; bu veri sorumluları kayıt yükümlüsüdür. Bu istisnaların küçük işletmeler açısından arka planını VERBİS istisnası yazımızda özetledik.

Çalışan sayısı ve bilanço eşiği nasıl hesaplanır?

Kurum'un “Sorularla VERBİS” kılavuzu, iki kriterin nasıl hesaplanacağını açıkça tarif eder. En sık yapılan hata, yıl sonundaki personel sayısına ya da yıllık ciroya bakmaktır; oysa ikisi de yanlış ölçüdür.

Yıllık çalışan sayısı: Hesaplama için önce tamamlanmış bir yıl olmalıdır. Bu yılın 12 ayından en az 7'sinin her birinde Muhtasar ve Prim Hizmet Beyannamesinde bildirilen çalışan sayısına bakılır. Söz konusu yedi ayın aynı yıl içinde olması yeterlidir; ardışık olması gerekmez. Örneğin bir şirket geçen yılın sekiz ayında beyannamede 50'nin üzerinde çalışan bildirmişse, yıl sonunda 45 kişiye düşmüş olsa bile çalışan kriterini aşmış sayılır.

Yıllık mali bilanço toplamı: Bu kriterde de tamamlanmış yıl esas alınır. Ölçü, yetkili kamu kurumuna verilen yıllık gelir veya kurumlar vergisi beyannamesinin ekindeki bilançonun aktif ya da pasif toplamıdır (iki toplam zaten eşittir). Ciro, net satış veya brüt satış hasılatı dikkate alınmaz. Bilanço esasına göre defter tutmayan veri sorumluları için Kurul'un 25.12.2025 tarihli ve 2025/2393 sayılı kararıyla yalnızca yıllık çalışan sayısı kriteri uygulanır.

İki kriter birlikte okunur: İstisna için iki koşulun birlikte sağlanması gerekir. Çalışan sayısı eşiğin altında kalsa bile bilanço toplamı eşiği aşıyorsa, ya da tersi geçerliyse, şirket kayıt yükümlüsüdür. Bu nedenle mali işler ve insan kaynakları birimlerinin hesabı birlikte yapması en güvenli yoldur.

Özel nitelikli veri işleyenler için istisnanın sınırı

KVKK'nın 6. maddesi; ırk, etnik köken, siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar, kılık ve kıyafet, dernek, vakıf ya da sendika üyeliği, sağlık, cinsel hayat, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ve biyometrik ile genetik verileri özel nitelikli kişisel veri olarak sayar. Bu verilerin işlenmesi ilgili kişi açısından daha ağır sonuçlar doğurabileceği için Kurul, bu alanda faaliyet gösterenlere daha dar bir istisna tanımıştır.

Belirleyici ölçüt “özel nitelikli veri işlemek” değil, ana faaliyet konusunun özel nitelikli veri işleme olmasıdır. Kurum'a göre burada veri sorumlusunun en çok katma değer ürettiği faaliyete ve yürüttüğü temel işe bakılır; Kurum bu tespitte ticaret sicili kaydındaki veya vergi levhasındaki NACE faaliyet kodlarından da yararlanır. Bir üretim şirketinin personel özlük dosyasında sağlık raporu bulunması, onu bu gruba sokmaz. Muayenehane, diş kliniği, laboratuvar, eczane ya da tıbbi görüntüleme merkezi gibi işletmelerde ise temel iş sağlık verisi işlemektir.

Bu gruptaki bir işletme için sınır 10 çalışan ve 10 milyon TL bilanço toplamıdır. Örneğin 6 çalışanı ve 4 milyon TL bilanço toplamı olan bir diş kliniği 2025/1572 sayılı kararla istisna kapsamına girer. Aynı klinik 12 çalışana ulaştığında, bilançosu küçük kalsa bile kayıt yükümlüsü olur.

Muaf olsanız da devam eden KVKK yükümlülükleri

Kurum'un kendi ifadesiyle, sicile kayıt yükümlülüğünden istisna olmak Kanun hükümlerinden de istisna olmak anlamına gelmez. VERBİS yalnızca bir kayıt ve bildirim yükümlülüğüdür; aşağıdaki yükümlülükler ölçekten bağımsız olarak her veri sorumlusu için geçerlidir:

Aydınlatma: Kişisel veri elde edilirken ilgili kişiyi KVKK'nın 10. maddesine göre bilgilendirmek.

Veri güvenliği: 12. madde uyarınca hukuka aykırı işlemeyi ve erişimi önleyecek teknik ve idari tedbirleri almak.

İlgili kişi başvuruları: 11. maddedeki hakları kullanan kişilerin taleplerini 13. madde uyarınca en geç otuz gün içinde sonuçlandırmak.

İhlal bildirimi: Verilerin kanuni olmayan yollarla başkalarınca elde edilmesi halinde Kurul'a ve ilgili kişilere bildirim yapmak.

Saklama ve imha: Saklama ve imha politikası hazırlama zorunluluğu sicile kayıtlı veri sorumluları içindir; ancak muaf olanlar da işleme şartı ortadan kalkan verileri silmek, yok etmek veya anonim hale getirmek zorundadır.

İstisnadaki bir işletme dilerse VERBİS'e kaydolabilir. Kayıt zorunlu olmasa da, veri envanteri çalışması bu yükümlülüklerin hepsinin temelini oluşturur.

Eşik aşıldığında kayıt süresi

Kurul'un genel kayıt takvimi 31.12.2021 tarihinde sona ermiştir. Bu tarihten sonra kayıt yükümlüsü hâline gelen veri sorumluları, Kurum'un açıklamasına göre yükümlü hâle geldikleri tarihten itibaren 30 gün içinde sicile kayıt ve bildirim yükümlülüğünü yerine getirmelidir.

Mali bilanço kriterinde yükümlülüğün doğduğu an, bilançonun ekinde yer aldığı beyannamenin verilme tarihidir. 2025 yılı bilançosu için kurumlar vergisi beyannamesinin son günü 30.04.2026 olduğundan kayıt süresi 01.06.2026'da doluyordu; Kurul 13.05.2026 tarihli ve 2026/1026 sayılı kararıyla bu tarihi 05.06.2026'ya uzattı. Ayrıntıları VERBİS son tarihi yazımızda bulabilirsiniz. Her yıl yeni bir beyanname dönemi olduğundan, bilanço eşiğine yakın şirketlerin bu kontrolü takvime bağlaması gerekir.

Tersi de mümkündür: eşiğin altına düşen ya da kişisel veri işlemeyi bırakan bir veri sorumlusu, VERBİS üzerinden sicilden silme talebinde bulunabilir. Kurum bu talebin ayrıca resmî yazıyla gerekçelendirilmesini ister. Kayıt yükümlülüğüne aykırılık KVKK'nın 18. maddesinde idari para cezasına bağlanmıştır; güncel tutarları 2026 idari para cezaları yazımızda derledik.

Hesaplama tablosu (indirilebilir)

Aşağıdaki tablo, kendi durumunuzu beş adımda kontrol etmeniz için hazırlandı. Her satırı son tamamlanmış yılın belgeleriyle doldurun.

VERBİS zorunluluğu hesaplama adımları

Bu tablo farkındalık amacıyla hazırlanmıştır; resmî bir hesaplama aracı değildir. Eşiğe çok yakın durumlarda ve ana faaliyet konusunun belirlenmesinde somut olay özelinde hukuki değerlendirme alınmalıdır.

Sonuç ve sonraki adım

VERBİS zorunluluğu, şirketinizin büyüklüğünden önce ana faaliyet konusuna, ardından son tamamlanmış yılın çalışan ve bilanço verilerine bakılarak belirlenir. Hesap yılda bir kez, beyanname dönemi yaklaşırken yapılmalı ve sonucu belgelenmelidir. İstisnada olmak veri envanteri, aydınlatma, veri güvenliği ve ihlal yönetimi gibi yükümlülükleri ortadan kaldırmaz. Uyumun geri kalanını nereden ele alacağınızı görmek için KVKK uyum kontrolü yazımızdaki öz değerlendirmeden yararlanabilirsiniz.

Sık sorulan sorular