Verbis Kaydı Zorunluluğu

Kişisel verilerle ilgili hukuki işlemler, son yıllarda çoğu şirket için önemli bir konu.  KVKK ile birlikte artık şirketlere ve diğer veri kaydeden kişilere Verbis kaydı yükümlülüğü dahil birçok yükümlülük getirildi.

KVKK uyum sürecinde ve sonrasında şirketler yoğun bir KVKK danışmanlığına ihtiyaç duydu. Bu danışmanlık veri işleme sisteminin Kişisel Verilerin Korunması Kanunu hükümlerine uygun olması ve kanunun getirdiği yükümlülüklere uyum sağlama ile ilgiliydi. Verbis (veri sorumluları sicil bilgi sistemi) ile ilgili işlemler de bunun bir parçası.

Bu kapsamda aşağıda Verbis (veri sorumluları sicil sistemi) ile ilgili merak edilen soruları cevaplandırırken konunun bilinmesi gereken önemli noktalarına değineceğiz. Önemli bir konudan bahsettiğimiz için yazımızı dikkatlice okuyunuz.

ÇOK ÖNEMLİ!: Bize gelen işlerden gördüğümüz kadarı ile; bir çok veri sorumlusu firma Verbis kaydı yaptırmak istediğiniz söyleyerek bizden bu konuda danışmanlık istemektedir. Ancak durum bu şekilde değildir. Çünkü Verbis kaydı şirketin 360 derece KVKK uyum süreci tamamlandıktan sonra yapılması gereken işlemdir. Uyum sürecini bitirmeden kaydın yapılması asla doğru değildir. Bu şekilde yapılan kayıtlar uyum sağlanmadığı için yetersiz olacağı gibi sonradan değiştirme durumlarında da zor bir işlem süreci ve aşağıda bahsedeceğimiz idari para cezası (20 bin TL ile 1 milyon TL arası) şirketi beklemektedir.

Bu nedenle KVKK uyum süreci bitmeden; “verbis kaydı yapıyoruz” diye iş yapmak isteyen kişilerden ve firmalardan uzak durulması gerekmektedir.

Verbis Kaydı Nedir?

Veri sorumluları sicil bilgi sisteminin kısa adı Verbis’dir. Türkiye’de insanların kişisel verilerini işleyen tüzel kişiler veya gerçek kişiler Verbis dediğimiz bu elektronik ortamda tutulan sisteme kaydolmak zorundadır. Aksi halde bunun ciddi yaptırımı olacaktır. Bu yaptırımlara aşağıda değineceğiz.

Kişisel Verileri Koruma Kanunu, kişisel veri işleyen kişilere, özellikle firmalara, kişisel verileri işlemeden önce Verbis sistemine kayıt yapma yükümlülüğü yüklüyor. Bu şekilde Verbis kayıt zorunluluğu ile  kişisel verilerin güvenliği artırılmak isteniyor.

Esasen Verbis elektronik ortamda tutulan bir kayıt türüdür. Bu sisteme kaydolurken girilecek bilgiler, kaydolmadan önce yapılması gereken işlemler vs. bunlar şirketin somut durumu değerlendirilerek gerçekleştirilir. Hatalı yahut ihmali işlemler ile hak kaybına neden olmamak gerekir. Bu nedenle bu konuda hukuki danışmanlık almakta fayda vardır.

Kayıt Başlangıç Tarihi ve Verbis Kayıt Son Tarih

Veri sorumlusu dediğimiz kişiler, kişisel veri işlemeye başlamadan önce bu sisteme kaydını yapmak durumundadır. Bu sisteme kayıt başlangıç tarihi ve Verbis kaydı son tarih gibi belirlemeleri Kişisel Verileri Koruma Kurumu belirlemektedir

Belirtmemiz gerekir ki bu tarihler içerisinde bu kaydı gerçekleştirmek çok önemlidir çünkü tarih geçtikten sonra bunun idari para cezası vardır. Süreler geçmiş olsa bile bir an önce bu kayıt gerçekleştirilmelidir. Verbis kayıt yükümlülüğü tarihlerini tablo şeklinde izah edecek olursak:

Tablo 1: Verbis Kayıt Zorunluluğu Tarihleri

Tablo Notları:

• Bu sisteme kayıt zorunluluğu, veri sorumluları için geçerlidir. Yani yukarıda saydıklarımızdan veri sorumlusu olanlar sisteme kaydolmak zorundadır.
• Birinci satırda yer alan veri sorumluları için başlangıçta belirlenen son  tarih aslında 30.09.2019 idi. Kurul kararı ile bu tarih 30.06.2020 tarihine kadar uzatıldı.
• Üçüncü satırda yer alan veri sorumlusu sayılan her üç özelliğe de sahip olmak zorundadır. Yani hem 50’nin altında çalışanı olacak hem yıllık bilanço toplamı 25 milyon TL’nin altında olacak hem de asıl faaliyeti özel nitelikli kişisel veri işleme olacak. Özel nitelikli kişisel veriler KVKK madde 5 düzenlemesinde yer alıyor. Bunlar normal kişisel verilere göre daha hassas nitelikteki bilgilerdir. Irk, etnik köken, siyasi düşünce, dini inanç vb. bilgiler kastediliyor.

Verbise Kayıt Olmama Cezası → Kişisel Verilerin Korunması Kanunu madde 18 düzenlemesi uyarınca Verbis kaydı zorunluluğuna uymayan kişiler hakkında 20 bin TL ile 1 milyon TL arasında değişecek şekilde idari para cezasına hükmedilir. Görüldüğü üzere çok ciddi bir idari para cezasından bahsediyoruz. Bu idari para cezasına Kişisel Verilerin Korunması Kurulu hükmeder. Alt sınır ile üst sınır arasında geniş bir aralık olduğu görülüyor. Burada miktar belirlenirken somut olayın özellikleri göz önünde bulundurulur. Bu bir idari para cezası olduğu için buna karşı itiraz edilebilir, iptal davası açılabilir.

Sonradan Kayıt Yükümlüsü Olanlar →  Halihazırda veri sorumlusu olan kişi ve firmalar bu süreler içerisinde Verbis kaydını yapmalıdır. Ancak bu süreler içerisinde veri sorumlusu olmayıp da sonradan veri sorumlusu olan kişi ve firmalar kayıt yükümlüsü olduğu tarihten itibaren 30 günlük süre içerisinde Verbis kaydını yapmalıdır. Bu 30 günlük Verbis kaydı zorunluluğu, Veri Sorumluları Sicili Hakkında Yönetmelik madde 8 hükmünde yer alıyor. 30 günlük süreden sonra kayıt olmamaya bağlanan yaptırımlar uygulanabilir hale gelir.

Verbise Kimler Kayıt Olacak?

Yukarıda genel olarak Verbis kaydının ne anlama geldiğinden ve kayıt sürelerinden bahsettik. Uymamanın yaptırımından bahsettik. Verbis’e kimler kayıt olacak sorusunun cevabı da oldukça önemlidir. Kişisel Verileri Koruma Kanunu madde 16 düzenlemesine göre kişisel veri işleyen gerçek ve tüzel kişiler Verbis’e kayıt olmak zorundadır.

Yani sıkça sorulan Verbis’e kayıt yaptırmak zorunlu mudur sorusunun cevabı, veri sorumluları için evet olur. Veri sorumlularının kim olduğuna ilişkin ayrıntılı bilgiye burada yer vermiyoruz. Bununla ilgili olarak “Kişisel verilerin korunması kanunu nedir?” başlıklı yazımızı mutlaka okumalısınız.

Verbis Kayıt İstisnaları

Verbis’e kimler kaydolacak sorusu kadar kimlerin kayıt olmayacağı da önemli bir konudur. Öncelikle veri sorumlusu olmayan kişi ve şirketlerin kaydolması zaten zorunlu değildir. Belirtmemiz gerekir ki mevzuatın farklı yerlerinde kaydolma yükümlülüğü olmayan kişiler belirtilmiştir. Bunları ayrı ayrı değerlendireceğiz.

Öncelikle; Kişisel Verilerin Korunması Kanunu madde 28 hükmünde bazı kişi ve topluluklar özel olarak istisna tutulmuştur. Yani bunların Verbis kaydı yapması zorunlu değildir. Bu istisna tutulan kişileri de bir tablo ile açıklayabiliriz:

Tablo 2: Verbis Kaydı Zorunluğu Olmayan Özel Haller (KVKK madde 28)

İkinci olarak; Veri Sorumluları Sicili Hakkında Yönetmelik madde 15 düzenlemesinde bazı istisna hallerine yer verilmiştir. Bunların bir kısmı KVKK 28’e dahil olsa da bunları şu şekilde sıralayabiliriz:

• Kişisel veri işlemenin suç işlemenin önüne geçmek maksadı ile gerekli olduğu durumlarda
• İlgilisinin kendi alenileştirdiği bilgilerin işlenmesi
• Kişisel veri işlemenin bütçe, vergi ve benzeri mali konulara ilişkin olarak Devletin ekonomik çıkarlarını korumak için gerekli olduğu durumlar
• Kişisel veri işlemenin kanunun verdiği yetki çerçevesinde görevli ve yetkili kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşlarınca işlenmesi (denetleme yahut düzenleme işlerinin görülmesi ile disiplin soruşturma veya kovuşturması işleri için gerekli olması şartı vardır)

Üçüncü olarak; Veri Sorumluları Sicili Hakkında Yönetmelik madde 16 düzenlemesinde bazı halleri gözeterek Kişisel Verileri Koruma Kurulunun herhangi bir veri sorumlusunu Verbis zorunluluğundan muaf tutabileceği yer alıyor. Kurul da gerçekten bu kriterlere göre bazı veri sorumlularını Verbis kaydı zorunluluğundan muaf tutmuştur. Bu kriterler şunlardır;

• Kişisel verinin niteliği, sayısı, işlenme amacı, işlendiği faaliyet alanı,
• Üçüncü kişilere aktarılma durumu, kanundan kaynaklanması,
• Muhafaza edilme süresi, veri konusu kişilerin durumu veya veri kategorisi

Kişisel Verileri Koruma Kurulu bu kriterleri gözeterek şu kişileri Verbis kaydı yükümlülüğünden muaf tutuyor:

• Otomatik olmayan yollarla kişisel veri işleyen kişiler (Herhangi bir veri kayıt sistemine dahil olması şartı vardır)
• 1512 sayılı Noterlik Kanunu kapsamında faaliyet gösteren Noterler
• Kanuni düzenlemelere uygun olarak kurulmuş Dernek, Vakıf ve Sendikalardan yalnızca mevzuatta yer alan amaca uygun, faaliyet alanı ile sınırlı ve yalnızca kendi çalışanlarına, üyelerine, mensuplarına ve bağışçılarına yönelik kişisel veri işleyen kuruluşlar
• 2820 sayılı Siyasi Partiler Kanununa göre kurulmuş olan siyasi partiler
• Kendi kanunları çerçevesinde faaliyet gösteren Avukatlar, Serbest Muhasebeci Mali Müşavirler, Yeminli Mali Müşavirler, Gümrük Müşavirleri ve Yetkilendirilmiş Gümrük Müşavirleri
• Arabulucular
• Yıllık 50’den az çalışan sayısı olan ve yıllık 25 milyon TL’den daha az mali bilanço toplamına sahip olan ve asıl faaliyetinin konusu özel nitelikli kişisel veri işleme olmayan gerçek veya tüzel kişiler

Bu son saydıklarımız, Kurul Kararları ile muaf tutulan kişilerdir. Belirtmemiz gerekir ki burada saydıklarımız yalnızca Verbis kaydı zorunluluğundan muaf tutulmuş kişiler, Yani KVKK’da sayılan diğer yükümlülükler aynı şekilde devam eder.

Verbis Kaydı Nasıl Yapılır?

Verbis kaydı, öncesinde gerekli hazırlık ve düzenlemeler yapıldıktan sonra www.kvkk.gov.tr sitesi üzerinden Verbis kaydı bölümünden gerçekleştiriliyor. Verbis; kaydolacak kişileri üç grup olarak kategorize ediyor. Bunlar:

• Türkiye’de yerleşik olan gerçek veya tüzel kişiler
• Türkiye dışında yerleşik olan gerçek veya tüzel kişiler
• Türk kamu kurum ve kuruluşları

Verbis kaydı ile ilgili söylememiz gereken şey bunun çok aşamalı bir işlem olduğudur. Kayıt işlemleri basit bir form doldurmadan ibaret değildir. Kaydın online sisteme geçirilmesinden önce bir ön hazırlık yapılmalı ve kayıt işlemleri ticari işleyişin özellikleri göz önünde bulundurularak gerçekleştirilmelidir.

Verbise Neler Kaydedilir?

Verbis dediğimiz sisteme, veri sorumlularının işledikleri kişisel veriler kaydedilmez. Bu sistem veri sorumluları içindir. Yani veri sorumlularına ilişkin bilgiler bu sisteme kaydedilir. Veri Sorumluları Sicil Bilgi Sistemine kaydedilecek olan bilgileri temel olarak şu şekilde sıralamamız mümkündür:

• Veri sorumlusuna ait kimlik ve adres bilgilerine ilişkin Kurul tarafından belirlenen başvuru formunda yer alan temel bilgiler, aynı bilgilerin veri sorumlusunun temsilcisi veya diğer irtibat kişilerine ilişkin olanları
• Veri sorumlusunun kişisel verileri ne amaçla işlediği
• Kişisel veri konusu kişi grubu yahut grupları hakkında bilgiler, bu kişilere ait verilerin hangi veri kategorisinde yer aldığı
• Kişisel verilerin aktarılabileceği alıcı yahut alıcı grupları
• Türkiye dışına aktarımı öngörülen kişisel verilere ilişkin bilgiler
• KVKK madde 12’de yer alan veri güvenliğine ilişkin alınan tedbirlerin neler olduğu
• İlgili kişisel verilerin, somut olayın özelliğine ve mevzuat hükümlerine göre en fazla ne kadar muhafaza edileceği

Verbis’e kaydedilecekleri bu şekilde sıraladık. Görüldüğü üzere burada kişisel veriler işlenmiyor. Örnek vermek gerekirse, bir kuruluş, iş yaptığı bir gruba ait ad – soyad, TC kimlik numarası vs. verileri işler. Verbis’e bununla ilgili yapacağı bildirim ise bu kişilere ait “kimlik kategorisi” ve “iletişim kategorisi” işlediğine dair bilgi ekleme olur.

Verbis’e kaydedileceklerin kategorik olarak sıralaması bu şekildedir. Ancak bu bilgilerin mevzuata aykırı olmadan hukuki zeminde birbiri ile tutarlı olarak kaydedilmesi önem taşıyor.

Verbis Sisteminde Temsilci ve İrtibat Kişisi

İrtibat kişisi, veri sorumlusunun Verbis ile ilgili bildirimlerinde işlemlerinde muhatap alınan kişidir. Veri sorumlusu tarafından bir irtibat kişisi atamak zorunludur. İrtibat kişisi dediğimiz kişi, Verbis üzerinden veri sorumlusu tarafından atanır. Bu kişi veri sorumlusu tarafından atandıktan sonra sicile kayıt kısmı üzerinden sisteme giriş yapar.

Artık irtibat kişisi veri sorumlusunun kullanıcı adı ve parolasını değil, kendi e-devlet sistemi aracılığı ile ilgili Verbis sistemine giriş yapar. İrtibat kişisi 18 yaşını doldurmuş gerçek bir kişi olmalıdır. Türkiye’de yerleşik olmalı ve Türkiye Cumhuriyeti vatandaşı olmalıdır. Ayrıca belirtmemiz gerekir ki veri sorumlusu, kendisini irtibat kişisi olarak atayabilir.

Tüzel kişilerde ise veri sorumlusu tüzel kişilerin kendisi olacağı için ve irtibat kişisi gerçek bir kişi olacağı için tüzel kişilerde irtibat kişisi tüzel kişiliğin kendisi olamaz. İrtibat kişisi dediğimiz kişi, veri sorumlusu firmanın bir çalışanı, yöneticisi vs. olabileceği gibi dışarıdan birisi dahi olabilir. Yani irtibat kişisi, veri sorumlusunun çalışanı olacak diye bir şey yok.

Bir kişi, yalnızca bir veri sorumlusunun irtibat kişisi olabilir. Ayrıca bir veri sorumlusunun da yalnızca bir irtibat kişisi olabilir. Veri sorumlusu, irtibat kişisinin sistem üzerinde gerçekleştirdiği işlemleri her zaman görebilir, denetleyebilir. Kamu kurumlarının irtibat kişileri ancak belirli düzey yöneticileri olabilir.

Verbis Kayıt Şartları

Verbis’e kayıt olabilmek için yegane şart Veri Sorumlusu olabilmektir. Bu sicil veri sorumluları içindir. Kimlerin kaydolması gerektiğine esasen yukarıda bahsettik. Dolayısı ile kayıt olması zorunlu kişiler mutlaka gerekli işlemleri yapmalıdır.

Ayrıca herhangi bir ücret şartı söz konusu değildir. Yani Verbis’e kayıt ücreti diye bir ödeme söz konusu olmaz.

Yukarıda sicile kayıt yükümü olmayan kişilerden yani istisnalardan bahsettik. Verbis kayıt zorunluluğu bu kişiler için söz konusu olmasa bile istemeleri halinde bu muaf kişiler ve Verbis sistemine kayıt yapabilirler.

Verbis Kaydı Aşamaları

Verbis kaydında ilk yapılması gereken işlem, kayıt öncesinde gerekli hazırlığın yapılmasıdır. Ardından kvkk.gov.tr adresinden Verbis sisteminin anasayfası açılır. Burada yer alan aydınlatma metninin onaylanmasından sonra kayıt olma işlemi başlar.

Öncelikle veri sorumlusu kendi kategorisini iyi seçmelidir. Yurtdışında veya yurtiçinde yerleşim tüzel veya gerçek kişi yahut kamu kurumu burada kendi kategorisini seçer. Her kategorinin ayrı başvuru prosedürü vardır.

Veri sorumlusu bu işlemlere göre kaydını yaptıktan sonra başvurusu Kişisel Verileri Koruma Kurumu Başkanlığı tarafından incelenir. Eksiksiz ve doğru şekilde yapılmış başvuru kabul edilir ve veri sorumlusunun e-posta adresine kullanıcı adı ve parola bilgisi gönderilir.

Veri sorumlusu bu bilgilere göre sisteme giriş yaparak irtibat kişisi atayabilir. İrtibat kişisi e-devlet doğrulama sistemi ile ilgili Verbis kaydına giriş yapabilir.

Kayıt düzeltme, değiştirme, ekleme, güncelleme, silme gibi işlemler de işlemin niteliğine bağlı olacak şekilde sistem üzerinden gerçekleştirilir.

Verbis Kaydının Düzeltilmesi, Değiştirilmesi veya Silinmesi

Verbis kaydı için girilen bilgilerin düzeltilmesi mümkündür. Bu işlem yine online ortamda güncelleme bölümünden gerçekleştirilir. Düzeltilecek bilgi çok önemlidir. Çünkü buraya hatalı olarak girilen bilgiler somut olayın özelliğine göre ciddi yaptırıma neden olabilir.

İlgili değişikliklerin, değişiklik gerçekleştiği tarihten itibaren 7 gün içinde Kişisel Verilerin Koruması Kurumuna bildirilmesi gerekiyor.

Ancak hatalı girilen bilgi eğer veri sorumlusunun e-posta adresi ise bu sefer değişikliği veri sorumlusu yapamaz. Bunun için Kişisel Verilerin Korunması Kurulu’na değişiklikle ilgili bir talep gönderilir. Bu talep doğrultusunda değişikliği Kurul kendisi gerçekleştirir.

Yukarıda irtibat kişisinden bahsettik. İrtibat kişisinin değiştirilmesi de mümkündür. Bu yine Verbis sistemi üzerinden veri sorumlusunun kendisinin yapabileceği bir işlemdir. Mevcut irtibat kişisi pasif konuma getirilir ve yeni irtibat kişisi eklenir.

Verbis kaydının silinmesi ise daha farklıdır. Veri sorumlusu, kaydın silinebilmesi için Verbis üzerinden Kişisel Verilerin Korunması Kurumuna başvuruda bulunur. Eğer Verbis kaydı zorunluluğunu gerektiren faaliyet sona ermişse ya da ortadan kalkmışsa bu kayıt silinir. Kaydın silinmesi ile veri sorumlusunun halihazırdaki yükümlülükleri ortadan kalkmaz. Bunların yerine getirilmesi borcu halen devam eder.

Verbis’te Yer Alan Bilgilerin Güncel Tutulması

Verbis’te yer alan bilgilerin güncel tutulması oldukça önemli bir konudur. Yukarıda da bahsettiğimiz üzere bazı önemli değişikliklerin 7 gün içerisinde sisteme yüklenmesi bir zorunluluktur. Aksi halde KVKK madde 18 uyarınca yukarıda ayrıntısına değindiğimiz idari para cezası uygulanabilir.

Verbis, hem uyum süreci içinde önemsenmesi gerektiği gibi hem de kayıt öncesi işlemlerde de önemsenmelidir. Bunların haricinde kayıt sonrasında sürekli aktif bir şekilde veri giriş çıkışı yapılması gereken bir sistemdir. Dolayısıyla bu alanda düzenli bir hukuki danışmanlık ihtiyacı söz konusudur.

Sistemin Kamuya Açık Oluşu

Belirli amaçlarla Verbis dediğimiz sistem kamuya açık hale getirilmiştir. Yani Verbis üzerinde yer alan bilgiler belirli seviyede herkesin görmesine açıktır. Zaten bu sicile kişisel verilerin kaydedilmediğinden yukarıda bahsetmiştik. Bu şekilde sicilin şeffaflığı ve insanların kişisel kendi kişisel verilerine ilişkin işlenme durumunu vs. öğrenmesi sağlanıyor.

Bir kişi, kendisine ait kişisel verilerin hukuka aykırı olarak işlendiğini, aktarıldığını vs.  düşünüyorsa bununla ilgili olarak Verbis üzerinden sorgulama yapabilir. Ardından somut olayın şartlarına göre önce veri sorumlusuna başvurulur, ardından Kişisel Verilerin Korunması Kuruluna başvurur. Bununla ilgili önemli ayrıntılar için “KVKK şikayeti” başlıklı yazımızı inceleyebilirsiniz.

Verbis Kayıt Danışmanlığı

Yukarıda Kişisel Verilerin Korunması Kanunu ve Veri Sorumluları Sicili Hakkında Yönetmelik kapsamında Verbis kaydının özelliklerinden bahsettik. Görüldüğü üzere bu basit bir sicilden ibaret değildir. Prosedürü ve takibi bakımından özelliklidir. Burada yapılacak olan hatalı yahut ihmali işlemler ciddi hak kaybına neden olabilir. Bu nedenle tecrübeli avukatlardan hukuki yardım alınması önem taşır.

Zaten 2016 yılından beri KVKK ile ilgili önemli bir süreç başladığı için şirketlerin KVKK danışmanlığı ihtiyacı kendini göstermiştir. Esasen Verbis ile ilgili danışmanlık faaliyeti çoğu zaman KVKK danışmanlığının içerisinde yer alıyor. Ancak KVKK danışmanlık faaliyetinden hariç olarak Verbis ile ilgili konularda hukuki yardım almak da mümkün.

Kişisel Verilerin Korunması Kanunu ile ilgili konularda uyum süreci ve danışmanlık meseleleri ile ilgili önemli ayrıntılar için “KVKK danışmanlığı” ve “KVKK uyum süreci” başlıklı yazılarımızı mutlaka okumalısınız.