VERBİS'e kaydolmak zorunda mısınız?

VERBİS kayıt yükümlülüğü, KVKK kapsamındaki veri sorumlularının Veri Sorumluları Sicil Bilgi Sistemi'ne (VERBİS) kaydolup kişisel veri envanterlerini özet olarak bildirmesini ifade eder. Kanun kural olarak tüm veri sorumlularını sicile kayıt yükümlülüğü altına alır; ancak Kişisel Verileri Koruma Kurulu, yıllar içinde aldığı kararlarla belirli grupları bu yükümlülükten muaf tuttu. Firmaların çoğunun kafası da bu noktada karışıyor: "Biz muaf mıyız?" ve "Muafsak başka bir şey yapmamız gerekmez mi?" Bu yazıda iki soruyu da ele alıyoruz.

VERBİS nedir, ne işe yarar?

VERBİS, veri sorumlusunun hangi kişisel veri kategorilerini, hangi amaçlarla işlediğini, kimlere aktardığını, ne kadar sakladığını ve hangi güvenlik tedbirlerini aldığını kamuya açık biçimde beyan ettiği çevrim içi sicildir. Başvuru ve kayıt işlemleri Kurum'un VERBİS sistemi üzerinden yapılır.

Kaydın arkasındaki asıl iş, kişisel veri envanteri çıkarmaktır. Envanter; hangi departmanın, hangi süreçte, hangi veriyi, hangi hukuki sebeple işlediğini gösteren iç tablodur. VERBİS'e girilen bilgi bu envanterin özetidir. Envanter olmadan yapılan kayıt, gerçeği yansıtmayan bir beyana dönüşür.

Kimler muaf tutuldu? İstisnaları doğru okumak

Kurul kararlarıyla getirilen istisnaların en geniş kitleyi ilgilendireni, çalışan sayısı ve yıllık mali bilanço toplamına dayanan istisnadır. Genel mantığı şöyledir:

• Yıllık çalışan sayısı belirli bir sayının altında ve
• Yıllık mali bilanço toplamı Kurul'un belirlediği tutarın altında ve
• Ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan

gerçek ve tüzel kişiler kayıttan muaftır. Üç şartın birlikte sağlanması gerekir. Çalışan sayısı eşiği 50 olarak uygulanmakta; bilanço eşiği ise Kurul kararlarıyla zaman içinde yükseltildi. Güncel tutarı Kurum'un internet sitesindeki son VERBİS kararlarından kontrol etmenizi, kendi durumunuzu mali müşaviriniz ve hukuk danışmanınızla teyit etmenizi öneririz.

Buna ek olarak Kurul, faaliyeti gereği belirli meslek ve kuruluş grupları (ör. noterler, belirli şartlarla dernek ve vakıflar, bazı serbest meslek grupları) için de kararlarla istisna tanıdı. Mesleğinizin bu listede olup olmadığını Kurum'un ilgili kararlarından doğrulayın.

Dikkat edilecek nokta: "Ana faaliyeti özel nitelikli veri işlemek" ifadesi özellikle sağlık sektörünü ilgilendirir. Küçük bir klinik ya da laboratuvar, çalışan sayısı düşük olsa bile bu şart nedeniyle kayıt yükümlüsü olabilir. Sağlık tarafını klinik dijital rehberi yazısında ele aldık.

Muaf olmak neyi değiştirmez?

VERBİS muafiyeti yalnızca sicile kayıt yükümlülüğünü kaldırır. Aşağıdakiler muaf firmalar için de aynen geçerlidir:

Yani küçük bir firma sicile kayıt olmasa da web sitesindeki formlar, çalışan dosyaları ve müşteri kayıtları için aynı özeni göstermek zorundadır. Aydınlatma tarafını web sitesi aydınlatma metni yazısında anlattık.

Kayıt yükümlüsüyseniz yapılacaklar

1. Envanteri çıkarın. Departman departman süreçleri, veri kategorilerini, amaçları, saklama sürelerini ve aktarılan tarafları yazın.
2. Saklama ve imha politikası hazırlayın. Sicile kayıtlı veri sorumlularından ilgili yönetmelik gereği bir kişisel veri saklama ve imha politikası hazırlaması beklenir.
3. İrtibat kişisini belirleyin. Kurum ile iletişimi yürütecek kişi sicilde tanımlanır.
4. Kaydı tamamlayın. Envanterin özeti VERBİS'e girilir.
5. Güncel tutun. Yeni bir sistem, yeni bir tedarikçi ya da yeni bir işleme amacı ortaya çıktığında kayıt güncellenmelidir.

Beşinci adım en çok aksayanıdır. Kayıt bir kez yapılıp unutulur; üç yıl sonra firmanın kullandığı sistemlerin yarısı değişmiştir ama sicil hâlâ eski hâliyle durur.

Envanterde teknik ekibin rolü

Envanter çoğu zaman insan kaynakları ve hukuk ekibine bırakılır. Oysa verinin gerçekte nerede durduğunu en iyi bilen, sistemleri kuran ve işletendir: hangi sunucuda hangi veritabanı var, yedekler nereye alınıyor, hangi entegrasyon hangi alanı dışarı taşıyor. Teknik tarafı envantere katmadan hazırlanan tablo, yedeklerdeki kopyaları ve entegrasyonlarla çoğalan verileri genellikle atlar.

Globya'da nasıl yapıyoruz

Kurduğumuz sitelerde, portallarda ve yazılımlarda hangi verinin hangi tabloda, hangi yedekte ve hangi entegrasyonda bulunduğunu belgeleyen teknik bir veri haritası hazırlıyoruz. Bu harita, envanterinizi hazırlayan hukuk ekibinin elindeki en somut kaynak olur. Saklama sürelerini yazılıma kuralla işliyor, süresi dolan kayıtların silinmesini ya da anonimleştirilmesini otomatik hâle getiriyoruz. Genel yaklaşımımız KVKK yaklaşımımız sayfasında; gereklilikler projelerimizde eksik kalmaz, ek ücret alınmaz.

Sık sorulan sorular