Kısa cevap
Kişisel verileri işleyen veri sorumluları, Kişisel Verileri Koruma Kurulu'nun belirlediği çalışan sayısı ve yıllık mali bilanço eşiklerini aşıyorsa VERBİS'e kayıt olmak zorundadır. Ana faaliyet konusu özel nitelikli veri işlemek olanlar için ayrı ve daha düşük eşikler uygulanır.
VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'dir. Kayıt yükümlülüğü KVKK m. 16'da düzenlenmiştir: kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce sicile kaydolmak zorundadır; ancak Kurul, objektif kriterlere göre kayıt zorunluluğuna istisna getirebilir (m. 16/2).
Kurul'un 19.07.2018 tarihli ve 2018/87 sayılı kararı, 04.09.2025 tarihli ve 2025/1572 sayılı kararla değiştirilmiştir. Bu karara göre, yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar ile ana faaliyet konusu özel nitelikli kişisel veri işleme olmakla birlikte yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon Türk lirasından az olanlar kayıt yükümlülüğünden istisnadır. Kurul, 25.12.2025 tarihli ve 2025/2393 sayılı kararıyla, bilanço esasına göre defter tutmayan veri sorumluları bakımından mali bilanço toplamı bilgisi bulunmadığından yalnızca çalışan sayısı kriterinin esas alınacağını belirtmiştir. Kararlar ve tutarlar değişebildiğinden, kayıt yükümlülüğünün doğup doğmadığı değerlendirilirken Kurum'un güncel duyuruları ve Kurul kararları kontrol edilmelidir.
Yükümlülüğün sonradan doğması hâlinde (örneğin mali bilanço toplamının eşiği aşması), Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca yükümlülüğün doğmasını izleyen otuz gün içinde kayıt ve bildirim yapılması gerekir. Yurt dışında yerleşik veri sorumluları da Türkiye'de veri işlemeleri halinde yükümlülüğe tabidir.
Sicile kayıt sırasında veri sorumlusu, m. 16/3'e göre kimlik ve adres bilgilerini, kişisel verilerin işlenme amacını, veri konusu kişi gruplarını ve veri kategorilerini, aktarılabileceği alıcı gruplarını, yabancı ülkelere aktarımı öngörülen verileri, alınan güvenlik tedbirlerini ve kişisel verilerin işlendikleri amaç için gerekli olan azami süreyi bildirir. Bilgilerde meydana gelen değişiklikler derhâl bildirilir (m. 16/4).
Kayıt yükümlülüğü olmayan işletmeler de KVKK'nın diğer yükümlülüklerine (aydınlatma, güvenlik tedbirleri, başvuru süreçleri) tabidir. VERBİS'e kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında idari para cezası uygulanabilir (m. 18/1-ç).
İlgili mevzuat: KVKK m. 16, 18; Veri Sorumluları Sicili Hakkında Yönetmelik; Kurul'un 2018/87 (değişik: 2025/1572) sayılı kararı
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez.
