Veri Sorumlularının VERBİS Kaydı Yapma Zorunluluğu

Giriş

Veri Sorumluları Sicili (“VERBİS” veya “Sicil”), 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 16. maddesi gereğince, kişisel veri işleyen gerçek ve tüzel kişi veri sorumlularının[1] kayıt yaptırmakla yükümlü oldukları bir sistemdir. Bu sistemde, veri sorumluları işledikleri kişisel verilere ilişkin bilgileri kategori bazında beyan etmektedir. VERBİS, Kurulun denetiminde ve Başkanlık tarafından yürütülmektedir. Şartları sağlaması halinde veri sorumlularının bu sicile kayıt olmaları yasal bir zorunluluktur.

1. VERBİS’in Amacı Nedir?

   
   

Sicile kayıtın amacı veri sorumlularının kimler olduğunun kamuya açıklanması ve bu yöntemle kişisel verilerin korunması hakkının daha etkin şekilde kullanılması hedeflenmektedir. Kişisel verisi işlenen gerçek kişilerce verileri üzerinde kontrolün sağlanabilmesi, veri sorumlusunun, kişisel verisini işlediği gerçek kişilere karşı hesap verebilir olması temel amacıdır.^[2] VERBİS bir kontrol mekanizması görevi görmektedir. Bu kontrol mekanizması sayesinde, veri sorumlularının Kanunda belirtilen işleme şartları ile orantılı olarak veri işlemeleri amaçlanmaktadır. Sicil’in kurulma amacında şeffaflık ve kamuya açıklık ilkesi benimsenmiştir.^[3]

2. VERBİS’e Kayıt Yükümlülüğü Olanlar Kimlerdir?

   
   

Kanunun 16. maddesi uyarınca, Kurul tarafından istisna tanınan veri sorumluları dışındaki tüm veri sorumluları VERBİS’e kayıt olmakla yükümlüdür. Bu çerçevede, 18.08.2018 tarihli Resmî Gazete’de yayımlanan 2018/87 sayılı Kurul kararı ile; “yıllık çalışan sayısı 50’nin altında olan ve yıllık mali bilanço toplamı 25 milyon TL’yi aşmayan, ayrıca ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek ve tüzel kişi veri sorumluları” sicile kayıt yükümlülüğünden muaf tutulmuştur.

2018 yılında yayımlanan Kurul kararında belirlenen istisna kriterleri, aradan geçen sürede işletmelerin ekonomik büyümeleri ve iş hacimlerinin artması nedeniyle yetersiz kalmıştır. Özellikle 25 milyon TL olarak öngörülen yıllık mali bilanço limiti, güncel ekonomik göstergeler karşısında düşük kalması nedeniyle revize edilmiştir. Bu doğrultuda, Kurulun 06.07.2023 tarihli ve 2023/1154 sayılı kararı ile; yıllık çalışan sayısı 50’nin altında olan ve yıllık mali bilanço toplamı 100 milyon TL’yi aşmayan, ayrıca ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek ve tüzel kişi veri sorumluları, VERBİS’e kayıt yükümlülüğünden muaf tutulmuştur.

Bu kapsamda;

• yıllık çalışan sayısı 50’den fazla olan,

• yıllık mali bilanço toplamı 100 milyon Türk Lirasından fazla olan veri sorumlularının

VERBİS’e kayıt yükümlülüğü bulunmaktadır.

3. VERBİS’e Kayıt Yükümlüğü Bulunup Bulunmadığına İlişkin Değerlendirme Nasıl Yapılır?

• Yıllık Çalışan Sayısı Yönünden: 

Yıllık çalışan sayısının belirlenebilmesi için öncelikle işletmenin tamamlanmış bir yıla ait verilerinin bulunması gerekir. Bu kapsamda, ilgili yıl içerisindeki 12 aydan en az 7’sinde, veri sorumlusu tarafından yetkili kamu kurum ve kuruluşlarına sunulan Muhtasar ve Prim Hizmet Beyannamesinde yer alan çalışan sayıları esas alınır. Belirlenen 7 ayın aynı yıl içinde bulunması zorunlu olup, ardışık olmaları şart değildir. Yani, bir yılın en az 7 ayında çalışan sayısı 50’nin üzerinde olan veri sorumluları sicile kayıt yaptırmak zorundadır.

• Yıllık Mali Bilanço Toplamı Yönünden: 

Yıllık mali bilanço toplamının hesaplanabilmesi için öncelikle tamamlanmış bir yılın bulunması gerekir. Bu çerçevede, veri sorumlusu tarafından ilgili yıl için yetkili kamu kurumuna sunulan gelir veya kurumlar vergisi beyannamesine ekli mali tablolarda yer alan bilanço dikkate alınmalıdır. Buna göre, beyannamede yer alan bilançonun “aktif” ya da “pasif” bölümündeki toplam tutar esas alınır. Her iki bölümdeki toplam tutarın eşit olması zorunludur. Söz konusu toplamın 100 milyon TL’yi aşması halinde, veri sorumlusunun VERBİS kaydını gerçekleştirmesi gerekir. Önemle belirtmek gerekir ki, ciro ya da net satış/brüt satış hasılatı bilgileri VERBİS’e kayıt yükümlülüğünün belirlenmesinde ölçüt olarak kabul edilmez.

4. VERBİSE Kayıt Yükümlülüğünün Yerine Getirilmemesi Halinde Yaptırımlar Nelerdir?

   
   

Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından Sicile kayıt ve bildirim yükümlülüğünü yerine getirmeyen veri sorumluları hakkında re’sen inceleme yapılmaktadır.[4] 

Kişisel Verilerin Korunması Kanunu’nun 18. maddesinde “Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket etmek” kabahat olarak tanımlanmış ve kayıt yükümlülüğünü yerine getirmeyen veri sorumluları hakkında idari para cezası uygulanacağı öngörülmüştür. İdari para cezalarının alt sınırı ve üst sınırı her yıl yeniden belirlenmektedir. 2025 yılı için bu kabahate uygulanacak idari para cezası 272.380-TL ile 13.620.402-TL arasında olacaktır.

Sonuç

6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca veri sorumlularının VERBİS’e kayıt yükümlülüğü, kişisel verilerin işlenmesinde şeffaflık ve denetim sağlanması açısından büyük önem taşımaktadır. Sicile kayıt yükümlülüğünün yerine getirilmemesi halinde ise Kurum tarafından re’sen inceleme yapılmakta ve yüksek tutarda idari para cezaları uygulanmaktadır. Dolayısıyla veri sorumlularının hem hukuki yaptırımlara maruz kalmamaları hem de kişisel verilerin korunması yükümlülüklerini yerine getirmeleri bakımından VERBİS kayıt süreçlerini zamanında tamamlamaları ve güncelliğini kontrol etmelerini tavsiye ederiz.

[1] Kişisel verilerin işleme amaçlarını ve vasıtalarını belirleyen, veri kayıt sisteminin kurulmasından veya yönetilmesinden sorumlu olan gerçek veya tüzel kişiyi ifade eder.

[2] Veri Sorumluları Sicil Bilgi Sistemi Kılavuzu.

[3] Veri Sorumluları Sicili Hakkında Yönetmelik, 30.12.2017.

[4] Veri Sorumluları Sicili Hakkında Kamuoyu Duyurusu, 01.08.2024 T.