Kısa cevap: VERBİS kaydı için önce şirketinizin Kurul’un belirlediği muafiyetlere girip girmediğini kontrol edersiniz. Kayıt yükümlüsüyseniz kişisel veri envanterinizi hazırlar, bir irtibat kişisi belirler ve Kurum’un VERBİS sistemine giriş yaparak veri kategorileri, işleme amaçları, aktarım yapılan alıcı grupları, saklama süreleri ve güvenlik tedbirlerini girersiniz. Kayıt bir kerelik değil, değişiklik oldukça güncellenmesi gereken bir sicildir.
VERBİS nedir?
VERBİS, Veri Sorumluları Sicil Bilgi Sistemi’nin kısaltmasıdır. Kişisel Verileri Koruma Kurumu tarafından tutulan, kamuya açık bir sicildir. Kayıtlı bir veri sorumlusunun hangi tür kişisel verileri, hangi amaçlarla işlediği ve hangi güvenlik tedbirlerini aldığı bu sicilden görülebilir. Amaç, veri işleme faaliyetlerinde şeffaflığı artırmak ve denetimi kolaylaştırmaktır. KVKK’nın genel çerçevesi için KVKK nedir yazımıza bakabilirsiniz.
Kimler VERBİS’e kayıt olmak zorunda?
Kanuna göre kural, veri sorumlularının sicile kaydolmasıdır; ancak Kurul, belirli kriterlere göre bazı veri sorumlularını bu yükümlülükten muaf tutmuştur. Genel hatlarıyla:
- Büyüklük kriteri: Kurul’un belirlediği yıllık çalışan sayısı veya yıllık mali bilanço toplamı eşiklerini aşan veri sorumluları kayıt yükümlüsüdür. Eşiklerin altında kalanlar, ana faaliyetleri özel nitelikli kişisel veri işlemek değilse muaf olabilir.
- Ana faaliyeti özel nitelikli veri işlemek olanlar: Örneğin sağlık verisi işlemeyi ana faaliyet olarak yürüten bazı işletmeler, küçük olsalar bile kayıt yükümlüsü olabilir.
- Yurt dışında yerleşik veri sorumluları: Türkiye’deki kişilerin verilerini işleyen yabancı veri sorumluları genel olarak kayıt yükümlüsüdür.
- Meslek ve kuruluş bazlı muafiyetler: Kurul kararlarıyla noterler, avukatlar, mali müşavirler, arabulucular, gümrük müşavirleri, dernekler, vakıflar, sendikalar ve siyasi partiler gibi bazı gruplar, faaliyetleri kapsamında belirli şartlarla muaf tutulmuştur.
Eşik tutarları ve muafiyet kararları zaman içinde güncellenebildiği için güncel kriterleri Kurum’un duyurularından kontrol etmeniz ve mali müşavirinizle teyit etmeniz gerekir. Konuyu KVKK hangi şirketler için zorunlu yazımızda daha ayrıntılı ele aldık.
VERBİS kaydı adım adım
- Muafiyet kontrolünü yapın. Çalışan sayınızı, mali bilanço durumunuzu ve ana faaliyetinizi Kurul’un güncel kriterleriyle karşılaştırın. Muafsanız bunu bir iç notla belgeleyin.
- Kişisel veri envanterini hazırlayın. VERBİS’e girilecek bilgilerin tamamı envanterden gelir. Her departman için veri kategorileri, amaçlar, hukuki sebepler, alıcılar ve saklama süreleri belirlenmelidir. Rehber: kişisel veri envanteri nasıl hazırlanır.
- Saklama ve imha politikasını hazırlayın. Kayıt yükümlüsü veri sorumlularının, verilerin ne kadar süre saklanacağını ve nasıl imha edileceğini gösteren bir politikaya sahip olması beklenir.
- İrtibat kişisini belirleyin. Tüzel kişi veri sorumluları, Kurum ile iletişimi sağlayacak bir irtibat kişisi atar. İrtibat kişisi, veri sorumlusunu temsil etmez; iletişim köprüsüdür. Genellikle KVKK süreçlerini bilen bir yönetici veya uyum sorumlusu seçilir.
- Sisteme giriş ve başvuru. VERBİS’e Kurum’un resmî sistemi üzerinden, kimlik doğrulamalı olarak giriş yapılır. Tüzel kişiler için şirket adına başvuru oluşturulur ve irtibat kişisi tanımlanır. Başvuru sırasında gerekli olabilecek kurumsal iletişim bilgilerini (örneğin kayıtlı elektronik posta adresi) önceden hazır edin. Sistemin arayüzü ve adımları değişebileceğinden, Kurum’un güncel kılavuzlarını takip edin.
- Envanter bilgilerini girin. İşleme amaçları, ilgili kişi grupları, veri kategorileri, alıcı grupları, yurt dışına aktarılan veriler, azami saklama süreleri ve alınan teknik ve idari tedbirler sisteme işlenir.
- Bildirimi tamamlayın ve kaydı saklayın. Kaydın tamamlandığını gösteren çıktıları ve girilen bilgilerin bir kopyasını şirket içinde arşivleyin.
- Güncel tutun. Yeni bir işleme amacı, yeni bir alıcı grubu veya yurt dışına aktarım eklendiğinde sicildeki bilgiler mevzuatta öngörülen süre içinde güncellenmelidir.
VERBİS’e hangi bilgiler girilir?
- Veri sorumlusu ve varsa temsilcisinin kimlik ve adres bilgileri,
- Kişisel verilerin hangi amaçlarla işlendiği,
- İlgili kişi grupları ve bu gruplara ait veri kategorileri,
- Verilerin aktarılabileceği alıcı veya alıcı grupları,
- Yabancı ülkelere aktarılan kişisel veriler,
- Veri güvenliğine ilişkin alınan tedbirler,
- Verilerin işlendiği amaç için gerekli olan azami süre.
Sık yapılan hatalar
- Envanter hazırlamadan doğrudan sisteme veri girmek; sonuç gerçeği yansıtmayan bir sicil olur.
- VERBİS kaydını KVKK uyumunun tamamı sanmak; aydınlatma ve veri güvenliği yükümlülükleri ayrıca devam eder.
- Güvenlik tedbirleri bölümüne, gerçekte uygulanmayan tedbirleri işaretlemek; denetimde ciddi sorun yaratır.
- İrtibat kişisi işten ayrıldığında kaydı güncellememek.
- Muaf olduğunu varsayıp kriterleri hiç kontrol etmemek ya da şirket büyüdüğünde yeniden değerlendirmemek.
Kayıttan sonra ne yapılmalı?
Kaydı tamamladıktan sonra yılda en az bir kez envanteri ve sicildeki bilgileri karşılaştıran bir iç kontrol takvimi oluşturun. Yeni yazılım satın alımları, yeni pazarlama kanalları ve yurt dışı hizmet sağlayıcıları bu kontrolün tetikleyicileri olmalıdır.
Teknik tedbirler bölümü neden önemli?
VERBİS’te işaretlediğiniz teknik ve idari tedbirler (yetki matrisi, log kayıtları, şifreleme, yedekleme, sızma testi, saldırı tespit sistemleri, gizlilik taahhütleri gibi) kamuya açık bir beyan niteliğindedir. Bir ihlal ya da şikâyet durumunda Kurul, bu beyanların gerçekten uygulanıp uygulanmadığına bakabilir. Bu nedenle bu bölüm, BT ekibi veya hizmet sağlayıcınızla birlikte, mevcut durumu dürüstçe yansıtacak şekilde doldurulmalıdır.
Not: Bu yazı genel bilgilendirme amaçlıdır. Kayıt yükümlülüğünüzü ve güncel kriterleri mali müşavirinize ve avukatınıza teyit ettirin; sistemdeki adımlar Kurum tarafından değiştirilebilir.
Racoun nasıl yardımcı olur?
Racurity, KVKK uyum danışmanlığı kapsamında veri envanterinin sistemlerle eşleştirilmesine ve VERBİS’te beyan edilen teknik tedbirlerin gerçekten uygulanmasına yardımcı olur: erişim yetkileri, log yönetimi, şifreleme, yedekleme ve güvenli veri imha gibi. Hukuki değerlendirme ve başvurunun kendisi için hukuk danışmanınızla koordineli çalışırız.
Sık sorulan sorular
VERBİS kaydı ücretli mi?
Kurum’un sistemine kayıt için bir sicil ücreti alınmaz. Maliyet, genellikle envanter hazırlığı ve danışmanlık gibi kayıt öncesi çalışmalardan doğar; bu da şirketin büyüklüğüne ve veri işleme faaliyetlerinin karmaşıklığına göre değişir.
VERBİS’ten muafsak hiçbir şey yapmamız gerekmez mi?
Gerekir. Muafiyet yalnızca sicile kayıt yükümlülüğünü kaldırır. Aydınlatma, veri güvenliği, ilgili kişi başvurularını yanıtlama ve ihlal bildirimi yükümlülükleri devam eder.
İrtibat kişisi şirket dışından biri olabilir mi?
İrtibat kişisi, veri sorumlusu tarafından Kurum ile iletişim için belirlenen kişidir. Kimlerin irtibat kişisi olabileceğine ilişkin güncel düzenlemeleri ve uygulamayı hukuk danışmanınızla teyit etmeniz önerilir.
Racoun ile konuşun: İstanbul merkezli ekibimizle Türkiye genelindeki markalara hizmet veriyoruz. WhatsApp üzerinden yazabilir ya da teklif formunu doldurabilirsiniz. İlk görüşme ücretsizdir.
