VERİATLAS · HUKUKİ UYUM & DANIŞMANLIK
VERBİS Kaydı ve Danışmanlığı
VERBİS kaydı, bir form doldurma işi değil; veri sorumlusunun hangi bilgileri neden işlediğini, kime aktardığını ve ne kadar süre sakladığını tutarlı biçimde açıklayabilmesidir. VeriAtlas, kayıt yükümlülüğünün tespitinden sicil bildirimlerinin hazırlanmasına ve kayıt sonrası değişikliklerin yönetimine kadar süreci hukuki temele oturtur.
VERBİS kaydı neden stratejik bir uyum konusudur?
Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), kayıt yükümlülüğü kapsamındaki veri sorumlularının kişisel veri işleme faaliyetlerine ilişkin belirli bilgileri kamuya açık bir sicilde bildirmesini sağlar. Sicile girilen bilgiler, şirketin gerçek veri işleme düzeninden kopuksa kayıt yapılmış olması tek başına güvenilir bir uyum göstergesi değildir.
Örneğin bir işletmenin çalışan verilerini bordro hizmeti aldığı firmaya, müşteri bilgilerini bulut tabanlı CRM sistemine veya kamera kayıtlarını güvenlik hizmeti sağlayıcısına aktarması farklı değerlendirmeler gerektirir. Bildirimin veri kategorileri, ilgili kişi grupları, aktarım alıcıları, saklama süreleri ve güvenlik tedbirleri yönünden şirketin işleyişiyle örtüşmesi gerekir.
Üstelik her veri sorumlusu için VERBİS’e kayıt zorunlu değildir. Yükümlülük; kanuni çerçeve, Kurulun güncel istisna kararları ve kuruluşun somut özellikleri birlikte değerlendirilerek belirlenir. Kayıt istisnasından yararlanmak da KVKK’nın diğer yükümlülüklerinden otomatik olarak muafiyet sağlamaz.
VeriAtlas’ın yaklaşımı: Önce kayıt gerekip gerekmediğini ortaya koymak; gerekiyorsa envanterle tutarlı, açıklanabilir ve güncel tutulabilir bir sicil kaydı oluşturmak. Böylece VERBİS işlemi tek seferlik bir başvuru değil, kurumsal veri yönetişiminin denetlenebilir parçası hâline gelir.
VERBİS danışmanlığının altı temel çalışma alanı
Her aşamanın farklı hukuki sorusu, belge ihtiyacı ve teslim çıktısı vardır. Aşağıdaki kapsam, kurumun kayıt statüsüne ve mevcut altyapısına göre uyarlanır.
01. Kayıt yükümlülüğü ve istisna analizi
VERBİS sürecindeki ilk karar, şirketin sicile kayıtla yükümlü olup olmadığıdır. Bu tespit yalnızca çalışan sayısına bakılarak yapılamaz. Veri sorumlusunun niteliği, yıllık mali bilanço toplamı, ana faaliyet konusu, özel nitelikli kişisel veri işleme durumu ve Kurulun yürürlükteki istisna kararları birlikte değerlendirilir.
Şirketler grubu içindeki her tüzel kişinin statüsü ayrıca incelenmelidir. Bir şirketin istisna kapsamında bulunması, aynı gruptaki diğer şirketler için kendiliğinden sonuç doğurmaz. Benzer şekilde veri işleyen konumundaki hizmet sağlayıcının rolü, veri sorumlusu sıfatıyla yürüttüğü kendi işlemlerinden ayrılmalıdır.
Somut çıktı: Dayanakları belirtilmiş kayıt yükümlülüğü görüşü, istisna değerlendirme notu ve durum değişikliklerini izlemek için kontrol listesi. Güncel eşik ve istisnalar yayımdan ve uygulamadan önce Kurul kararlarından teyit edilir.
02. İrtibat kişisinin belirlenmesi
Türkiye’de yerleşik tüzel kişi veri sorumlularında VERBİS süreçlerinin yürütülmesi için irtibat kişisinin belirlenmesi, yalnızca sistemde bir isim seçmek değildir. İrtibat kişisinin bildirimleri izlemesi, kurum içindeki bilgi sahiplerine ulaşabilmesi ve gerektiğinde doğru kişilere yönlendirme yapabilmesi gerekir.
İrtibat kişisi, sırf bu görevi üstlendiği için veri sorumlusunun kanuni yükümlülüklerini kişisel olarak devralmaz. Asıl sorumluluk veri sorumlusundadır. Bu ayrımın yönetim, hukuk, insan kaynakları ve bilgi teknolojileri ekiplerince anlaşılması önemlidir.
Somut çıktı: Rol ve sorumluluk matrisi, kurum içi iletişim akışı, yetki ve erişim kontrol listesi ile görev değişikliğinde uygulanacak devir planı.
03. Yurt dışında yerleşik veri sorumluları için temsilci atanması
Türkiye’de yerleşik olmayan bir veri sorumlusunun KVKK kapsamındaki faaliyetleri, VERBİS yükümlülüğünü ve temsilci atanmasını gündeme getirebilir. Öncelikle şirketin Türkiye ile bağlantılı veri işleme faaliyetleri, veri sorumlusu sıfatı ve kayıt istisnaları hukuken değerlendirilir.
Temsilci atanması gereken durumlarda karar ve yetkilendirme belgelerinin kapsamı, Türkiye’deki muhataplık düzeni ve VERBİS kayıt adımları bir bütün olarak ele alınır. Yabancı şirketin Türkiye’de bir tedarikçi veya iştirakle çalışıyor olması, temsil yükümlülüğünün otomatik olarak o şirkete geçtiği anlamına gelmez.
Somut çıktı: Temsil gerekliliği değerlendirmesi, yetkilendirme belgelerine ilişkin kontrol listesi ve kayıt için gerekli bilgi-belge hazırlık planı.
04. Veri envanterine dayalı bildirim hazırlığı
VERBİS bildiriminin güvenilir kaynağı kişisel veri işleme envanteridir. Envanterde hangi iş sürecinde, hangi ilgili kişi grubundan, hangi veri kategorilerinin, hangi amaç ve hukuki işleme şartına dayanılarak işlendiği belirlenir. Bildirimde kullanılacak sınıflandırmalar bu çalışmadan türetilir.
Örneğin işe alım sürecindeki aday verileriyle bordro sürecindeki çalışan verilerinin saklama süreleri ve alıcı grupları aynı olmayabilir. Bulut altyapısı, dış kaynak hizmetleri ve yurt dışı veri aktarımı ihtimalleri ayrıca analiz edilir. Kamuya açık sicil bildirimi ile kurum içi ayrıntılı envanter aynı belge değildir; ancak birbiriyle çelişmemelidir.
Somut çıktı: VERBİS alanlarıyla eşleştirilmiş bildirim veri seti, departman bazlı doğrulama kayıtları ve eksik bilgi listesi.
05. VERBİS’e kayıt ve bildirim işlemleri
Kayıt aşamasında veri sorumlusuna ait tanımlayıcı bilgiler ve yetkilendirme süreçleri tamamlanır; ardından sicilde istenen veri kategorileri, ilgili kişi grupları, işleme amaçları, alıcı grupları, yurt dışı aktarım bilgileri, saklama süreleri ve güvenlik tedbirleri gibi alanlar doğrulanmış envantere dayanılarak doldurulur.
Sistem girişinden önce hazırlanan bilgilerin ilgili birimlerle teyit edilmesi kritik önemdedir. Hatalı seçilmiş bir veri kategorisi veya gerçeği yansıtmayan saklama süresi, sonradan güncelleme gerektirebilir ve şirketin iç belgeleriyle çelişki yaratabilir. Kayıt işlemi tamamlandığında son durumun belgelendirilmesi gerekir.
Somut çıktı: Onaylanmış bildirim içeriği, kayıt işlemine ilişkin kontrol raporu ve sonraki güncellemelerde referans alınacak kayıt özeti.
06. Kayıt sonrası irtibat kişisine eğitim verilmesi
VERBİS kaydının tamamlanması, sicil bilgilerinin sonsuza kadar doğru kalacağı anlamına gelmez. Yeni bir insan kaynakları yazılımı, farklı bir pazarlama kanalı, yeni bir veri alıcısı veya saklama politikasındaki değişiklik, kayıt bilgilerinin yeniden değerlendirilmesini gerektirebilir.
İrtibat kişisine yönelik eğitim; sistemde hangi bilgilerin bulunduğunu, hangi değişikliklerin ilgili departmanlardan bildirilmesi gerektiğini, güncelleme taleplerinin nasıl doğrulanacağını ve kayıtların nasıl saklanacağını ele alır. Eğitim, veri sorumlusunun genel KVKK farkındalık eğitiminden farklı olarak doğrudan sicil yönetimi iş akışına odaklanır.
Somut çıktı: İrtibat kişisi uygulama rehberi, değişiklik bildirim formu, periyodik kontrol takvimi ve örnek olaylarla desteklenen kısa eğitim.
Bir kayıt işleminin ötesinde: doğrulanabilir sicil yönetimi
1. Hukuki statüyü belirleme: Kayıt yükümlülüğü, istisnalar ve gerekiyorsa temsilci/irtibat kişisi yapısı değerlendirilir. Kayıt gerekmiyorsa bunun gerekçesi belgelenir; gereksiz sicil işlemi önerilmez.
2. Envanterle eşleştirme: İK, satış, pazarlama, finans ve bilgi teknolojileri ekiplerinden alınan verilerle bildirim alanları karşılaştırılır. Çelişkiler kayda girmeden önce giderilir.
3. Bildirim ve devamlılık: Kayıt bilgileri doğrulanır; değişiklikleri yakalayacak iç bildirim kanalları ve sorumlular tanımlanır. İrtibat kişisine sicil yönetimi eğitimi verilir.
Hedef yalnızca “kayıt yapıldı” demek değil; gerektiğinde kaydın neden bu şekilde oluşturulduğunu açıklayabilmek ve şirket büyüdükçe doğru tutabilmektir.
VERBİS çalışmalarında en sık karşılaşılan üç hata
İstisnayı yanlış yorumlamak
Çalışan sayısı veya bilanço kriterini tek başına yeterli görmek, özel durumları ve güncel Kurul kararlarını gözden kaçırabilir.
Envanterden kopuk bildirim
İç süreçleri doğrulamadan yapılan genel seçimler, veri kategorileri, alıcılar ve saklama sürelerinde tutarsızlık yaratabilir.
Kaydı güncellememek
Yeni sistemler, veri aktarımı veya organizasyon değişiklikleri sonrasında sicil bilgisinin güncelliği gözden kaçabilir.
Bu hataların ortak noktası, VERBİS’i yaşayan bir kayıt sistemi yerine tek seferlik bir formalite olarak görmektir. VeriAtlas’ın önerdiği modelde sicil yönetimi, kurumun değişiklik yönetimi ve doküman kontrol süreçlerine bağlanır.
VERBİS hakkında sık sorulan sorular
Her şirketin VERBİS’e kayıt yaptırması zorunlu mu?
Hayır. Kanuni kayıt yükümlülüğü ve Kişisel Verileri Koruma Kurulunun güncel istisna kararları birlikte değerlendirilir. İstisna kapsamında olmak, diğer KVKK yükümlülüklerinin ortadan kalktığı anlamına gelmez.
VERBİS kaydı ile KVKK uyumu aynı şey mi?
Hayır. VERBİS, sicile kayıt ve bildirim yükümlülüğünün yerine getirilmesine ilişkindir. Aydınlatma, hukuka uygun işleme, veri güvenliği, ilgili kişi başvuruları ve diğer yükümlülükler ayrıca değerlendirilir.
VERBİS’e hangi bilgiler bildirilir?
İlgili mevzuat ve sistem alanları çerçevesinde veri kategorileri, ilgili kişi grupları, işleme amaçları, alıcı grupları, yurt dışına aktarım bilgileri, saklama süreleri ve güvenlik tedbirleri gibi bilgiler bildirilir. Kurum içi envanter bundan daha ayrıntılıdır.
İrtibat kişisi veri sorumlusunun yerine mi geçer?
Hayır. İrtibat kişisi, belirlenen iletişim ve işlem görevlerini yürütür; veri sorumlusunun kanuni sorumluluğu bu nedenle ortadan kalkmaz.
Kayıttan sonra değişiklik yapılabilir mi?
Evet. Sicilde yer alan bilgilerde değişiklik olduğunda güncelleme yükümlülükleri gündeme gelebilir. Uygulanacak usul ve süre, yürürlükteki mevzuata göre kontrol edilmelidir.
Ücretsiz ihtiyaç analizi kayıt zorunluluğunu kesin olarak belirler mi?
Hayır. Dijital analiz bir ön değerlendirmedir. Nihai görüş için güncel Kurul kararları, şirket bilgileri ve veri işleme faaliyetleri birlikte incelenmelidir.
İlgili hizmetler
VERBİS bildiriminin doğruluğu, kurumun diğer KVKK süreçlerinin niteliğiyle doğrudan ilişkilidir.
Resmî kaynaklar
VERBİS yükümlülüğünüzü varsayımlarla değil, verilerle belirleyin
Kayda tabi olup olmadığınızı, mevcut sicil bildiriminizin tutarlılığını ve güncelleme ihtiyaçlarınızı değerlendirmek için ilk adımı atın.
Hukuki bilgilendirme: Bu sayfa genel bilgilendirme amaçlıdır. Kayıt yükümlülüğü, istisna kapsamı, süreler ve temsil gerekliliği somut durum ve yürürlükteki Kurul kararları çerçevesinde ayrıca değerlendirilmelidir.
Alt Hizmetlerimizi Keşfedin
Her aşamanın kapsamını ve sunduğu somut katkıyı ayrıntılı inceleyin.