Veri Sorumluları Sicili (VERBİS) (2)

Kanun’un 16. maddesi uyarınca, belirlenen eşikleri aşan Türkiye’de mukim veri sorumluları ve yurt dışına mukim olan ve Türkiye’de veri sorumlusu olarak kişisel veri işleyen veri sorumluları için herhangi bir eşik kriterine tabi olmadan Veri Sorumluları Sicili’ne (“VERBİS”) kayıt zorunluluğu bulunmaktadır.

Kamuya açık olarak tutulan VERBİS sistemine ilişkin usul ve esaslar ise 30 Aralık 2017 tarihli “Veri Sorumluları Sicili Hakkında Yönetmelik” (“VERBIS Yönetmeliği”) ile belirlenmektedir.

Kurul’un 2018 tarihli kararları ile çeşitli meslek grupları, dernekler, vakıflar, siyasi partiler VERBİS kayıt yükümlülüğünden muaf tutulmuş ve kayıt yükümlülüğü ile kayıt yükümlülüğünden istisna olacakların belirlenmesinde Türkiye’de yerleşik veri sorumluları açısından çalışan sayısı ve bilanço bazlı minimum kriterler getirmiştir.

Kurul’un 04.09.2025 tarih ve 2025/1572 sayılı Kararı ile ana faaliyet konusu özel nitelikli kişisel veri işleme olmakla birlikte yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon Türk Lirasından az olan gerçek veya tüzel kişi veri sorumlularının da Sicile kayıt ve bildirim yükümlülüğünden istisna tutulmasına karar verilmiştir.

Mevcut durumda, yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumlularından ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar ile ana faaliyet konusu özel nitelikli kişisel veri işleme olmakla birlikte yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumluları VERBİS kayıt yükümlülüğünden istisnadır.

Kurul 04.09.2025 tarihli ve 2025/1572 sayılı kararının uygulanması ile ilgili iletilen görüş talepleri üzerine söz konusu kararın uygulama esaslarına ilişkin bir kamuoyu duyurusu yayınlamıştır. Buna göre, VERBİS kayıt yükümlülüğünden istisna olacak veri sorumlularının belirlenmesinde, bilanço esasına göre defter tutan veri sorumluları bakımından hem “yıllık çalışan sayısı” hem de “yıllık mali bilanço toplamı” kriteri kümülatif şekilde esas alınmakla birlikte, bilanço esasına göre defter tutmayan veri sorumluları bakımından yıllık mali bilanço toplamı bilgisi bulunmaması sebebiyle yalnızca “yıllık çalışan sayısı” kriterinin esas alınmasına karar verilmiştir.

Yurtdışında yerleşik veri sorumluları açısından ise VERBİS kayıt yükümlülüğün değerlendirilmesinde söz konusu kriterlerin uygulanmadığına dikkat edilmesi gerekmektedir.

Kurum 2025 yılında sicile kayıt ve bildirim yükümlülüğünün yerine getirilmesi hususunda veri sorumlularının faydalanmaları amacıyla yayımladığı Sorularla Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) ve Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) Kılavuzu’nu, VERBİS ekranlarında veri sorumlularının sisteme kayıt ve bildirim süreçlerini kolaylaştırmak amacıyla yapılan değişiklikler göz önünde bulundurularak güncellemiştir. Kurum “8.Yılında Kişisel Verileri Koruma Kurumu” isimli çalışmasında kuruluşundan bu yana gerçekleştirilen faaliyetler ve gelişmelere yönelik istatistikleri paylaşmış olup, 30.04.2025 tarihi itibariyle VERBİS kayıt başvurusu kapsamında 197.971 adet veri sorumlusunun kaydının yapıldığı belirtilmiştir.

2026 yılı için VERBİS kayıt yükümlülüğünün ihlali halinde uygulanması öngörülen idari para cezası aralığı 341.809 TL ile 17.092.242 TL olacaktır. Kurul, ceza miktarını belirlemek adına bazı algoritmalar kullanmaktadır ve buna göre belirtilen ceza aralığı içerisinde mali bilanço aktif toplamı ne kadar fazla ise belirlenecek ceza miktarı da üst sınıra o kadar yakın olarak belirlenmektedir.

Kurul, Türkiye’de yerleşik veri sorumlularını Sosyal Güvenlik Kurumu ve vergi dairelerine yaptıkları beyanlar ışığında aktif olarak takip etmekte ve eşikleri geçen veri sorumlularına kayıt yükümlülüklerini yerine getirmemeleri halinde uyarı vermeksizin idari para cezası verebilmektedir. Kurul aynı zamanda yurtdışında yerleşik olan ve Türkiye’de mukim kişilerin verilerini işleyen veri sorumlularını da araştırmakta ve bu veri sorumlularına da ceza uygulayabilmektedir. Dolayısı ile ceza riskini bertaraf edebilmek adına, kayıt yükümlülüğünün düzenli olarak kontrol ve takip edilmesi önerilmektedir.

Bu noktada belirtmek gerekir ki, Kanun, uyruğuna bakılmaksızın, Türkiye’de ikamet etmemelerine rağmen Türkiye’deki veri sahiplerini hedef alan veri sorumluları (Türkiye’de yerleşik veya Türkiye’ye mal ve hizmet sunan) bakımından da uygulama alanı bulmaktadır. Böylece, yurt dışında yerleşik veri sorumlularının Türkiye’de doğrudan ya da şubeleri aracılığıyla kişisel veri işleme faaliyetinde bulunmaları veyahut kendilerine aktarılan kişisel verileri kendi amaçları doğrultusunda işlemeleri halinde VERBİS’e kayıt yükümlülüğü doğmaktadır.

Yurtdışında yerleşik tüzel kişiler, kişisel verileri kendi amaçları doğrultusunda veri sorumlusu olarak işlemeleri halinde VERBİS’e kaydolmakla yükümlü olacaklardır. Bu noktada dikkat edilmesi gereken ayrım tüzel kişinin faaliyetlerinin Türkiye’deki veri sahiplerini hedefliyor olması ve ilgili kişisel verileri kendi amaçları doğrultusunda veri sorumlusu olarak işliyor olmasıdır. Kişisel verilerin sadece yurt dışında yerleşik tüzel kişin veri kayıt sisteminde tutuluyor olması ise VERBİS yükümlülüğü doğurmayacaktır.

Son olarak belirtmekte fayda var ki, VERBİS’e kaydolmakla yükümlü bulunan yurtdışında yerleşik veri sorumluları VERBIS Yönetmeliği uyarınca Kurul, Kurum ve veri sahipleri ile olan ilişkilerinde bir iletişim noktası olarak hareket etmek üzere bir veri sorumlusu temsilcisi atamak zorundadır. Veri sorumlusu temsilcisi Türkiye’de yerleşik bir tüzel kişi ya da Türkiye Cumhuriyeti vatandaşı bir gerçek kişi olabilir. Temsilci ataması veri sorumlusunun noter onaylı ve apostilli (veya başka biçimde tasdik ettirilmiş) kararı ile gerçekleştirilmelidir. Bir tüzel kişinin temsilci olarak atanması halinde, yabancı veri sorumlusu tarafından irtibat kişisi olarak görev almak üzere bir de gerçek kişi atanmalıdır.

Henüz VERBİS’e kaydolmayan yurt içinde yerleşik veri sorumlularının yıllık çalışan sayıları ve yıllık mali bilançoları verilerini her yıl değerlendirerek VERBİS kayıt yükümlülükleri olup olmadığını tespit etmeleri gerekmektedir. Özellikle yurt dışı veri aktarımlarında gerçekleşen gelişmeler çerçevesinde yurt dışı aktarımları ile ilgili imzalanan ve Kurum’a bildirilen standart sözleşmeler ile birlikte VERBIS yükümlülüğünü yerine getirmemiş olan veri sorumluları dikkat çekecektir. Dolayısıyla, veri sorumlusu olarak hareket eden ve yurtdışında bulunan kurumların VERBIS yükümlülüklerini kontrol etmesi ve en geç ilgili standart sözleşmelerin imzalanarak Kurum’a bildiriminin tamamlanmasından önce VERBIS kayıt yükümlülüğünün değerlendirilerek tamamlanmasını öneririz.

The content of this article is intended to provide a general guide to the subject matter. Specialist advice should be sought about your specific circumstances.