VERBİS nedir?
Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) m.16 uyarınca Kişisel Verileri Koruma Kurumu bünyesinde tutulan, kamuya açık bir sicildir. Kayıt yükümlüsü olan veri sorumluları; hangi kişisel verileri hangi amaçla işlediklerini, verilerin kimlere aktarıldığını, saklama sürelerini ve aldıkları güvenlik tedbirlerini bu sisteme bildirir.
Kural: kayıt zorunlu, istisna: muafiyet
Kanunun yaklaşımı, kişisel veri işleyen gerçek ve tüzel kişilerin kural olarak kayıt yaptırmasıdır. Ancak KVKK m.16/2, Kurul'a objektif kriterlere göre muafiyet getirme yetkisi verir. Kurul da bu yetkiyle çeşitli kararlar almıştır.
Çalışan sayısı ve bilanço kriteri
Kurul kararlarına göre, şu iki koşulu birlikte sağlayan veri sorumluları muaftır:
- Yıllık çalışan sayısı 50'den az,
- Yıllık mali bilanço toplamı 100 milyon TL'den az.
Bu eşiklerden yalnızca birini aşmak, kayıt yükümlülüğünü doğurur. Örneğin 30 çalışanı olan ama bilanço toplamı 100 milyon TL'yi aşan bir şirket kayıt yaptırmalıdır. Bilanço eşiği zaman içinde Kurul kararıyla değiştirilebildiğinden, güncel tutarın Kurum'un internet sitesinden kontrol edilmesi önerilir.
Özel nitelikli veri işleyenler
Ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları, çalışan sayısı ve bilanço toplamı ne olursa olsun kayıt yükümlüsüdür. Sağlık verisi işleyen muayenehaneler, klinikler, laboratuvarlar ve eczaneler bu grubun tipik örnekleridir. Burada belirleyici olan, özel nitelikli verinin ara sıra işlenmesi değil, faaliyetin esasını oluşturmasıdır.
Yurt dışında yerleşik veri sorumluları
Türkiye'de yerleşik kişilerin verilerini işleyen yurt dışında yerleşik veri sorumluları, çalışan ve bilanço kriterlerinden yararlanamaz ve kayıt yükümlüsüdür. Bu veri sorumluları, Türkiye'de bir veri sorumlusu temsilcisi atayarak kayıt işlemini yürütür.
Faaliyet türüne göre muafiyetler
Kurul, bazı veri sorumlularını faaliyetlerinin niteliği nedeniyle muaf tutmuştur. Kararlarda sayılanlar arasında noterler, avukatlar, serbest muhasebeci mali müşavirler ve yeminli mali müşavirler, arabulucular, gümrük müşavirleri, siyasi partiler ile belirli şartlarla dernek, vakıf ve sendikalar yer alır. Bu muafiyetlerin her birinin kapsamı ilgili Kurul kararında belirlendiğinden, faaliyetinizin bu gruba girip girmediğini karar metninden kontrol etmek gerekir.
Muaf olmak yükümlülükleri ortadan kaldırmaz
VERBİS'ten muaf olmak, KVKK'nın diğer yükümlülüklerinden muaf olmak demek değildir. Muaf veri sorumluları da şu yükümlülüklere uymak zorundadır:
- Veri sahiplerini aydınlatmak (KVKK m.10),
- Gerekli hallerde açık rıza almak veya başka bir işleme şartına dayanmak,
- Veri güvenliği için teknik ve idari tedbirleri almak (KVKK m.12),
- İlgili kişi başvurularını yanıtlamak (KVKK m.13).
Kayıt yaptırmamanın sonucu
Sicile kayıt ve bildirim yükümlülüğüne aykırı davranan veri sorumluları hakkında KVKK m.18 uyarınca idari para cezası uygulanır. Ceza tutarları her yıl yeniden değerleme oranında güncellendiği için sabit bir rakam vermek yanıltıcı olur; güncel tutar Kurum'un duyurularından takip edilmelidir. Kurul, cezanın miktarını belirlerken ihlalin niteliğini ve somut olayın koşullarını dikkate alır.
Kayıt sonrası güncelleme
Kayıt bir kerelik işlem değildir. İşlenen veri kategorileri, aktarım alıcıları veya saklama süreleri değiştiğinde VERBİS'teki bilgiler de güncellenmelidir. Uygulamada kayıt bilgilerinin şirketin kişisel veri envanteri ile uyumlu olması beklenir.
Site ve apartman yönetimleri
Site ve apartman yönetimleri de malik, kiracı, çalışan ve ziyaretçi verilerini işler; güvenlik kamerası kayıtları buna örnektir. Bu nedenle yönetimlerin VERBİS yükümlülüğü sık sorulan bir konudur. Yönetimin kayıt yükümlüsü olup olmadığı, çalışan sayısı ve bilanço kriterleri ile Kurul'un muafiyet kararları birlikte değerlendirilerek belirlenmelidir. Kayıttan muaf olunsa bile kamera kayıtları için aydınlatma metni asılması, kayıtların erişim yetkisinin sınırlandırılması ve saklama süresinin belirlenmesi gerekir.
Kayıt süreleri
Kurul, farklı veri sorumlusu grupları için kayıt süreleri belirlemiş ve bu süreleri zaman zaman uzatmıştır. Yeni kurulan veya eşiği yeni aşan veri sorumluları için güncel takvim Kurum'un duyurularından takip edilmelidir.
Veri envanteri neden önce gelir?
VERBİS'e yapılan bildirim, işletmenin kişisel veri envanterine dayanır. Envanterde hangi birimin hangi veriyi hangi amaçla, hangi hukuki sebeple topladığı, kimlere aktardığı ve ne kadar sakladığı gösterilir. Envanter hazırlanmadan yapılan kayıtlar çoğu zaman eksik veya gerçeğe aykırı olur. Bu da denetim sırasında ayrı bir sorun yaratabilir.
Pratik kontrol listesi
- Son yıl ortalama çalışan sayınızı ve yıllık bilanço toplamınızı belirleyin.
- Ana faaliyetinizin özel nitelikli veri işleme olup olmadığını değerlendirin.
- Faaliyet türünüzün Kurul kararlarındaki muafiyetlere girip girmediğini kontrol edin.
- Kayıt gerekiyorsa önce kişisel veri envanterinizi hazırlayın.
- Kayıttan sonra değişiklikleri sisteme işleyin.
- Muaf olsanız bile aydınlatma metni ve veri güvenliği tedbirlerini eksiksiz uygulayın.
Sık sorulan sorular
Küçük bir işletmeyim, VERBİS'e kayıt olmam gerekir mi?
Çalışan sayınız 50'den az, bilanço toplamınız 100 milyon TL'den azsa ve ana faaliyetiniz özel nitelikli veri işleme değilse kural olarak muafsınız.
Muayenehanem var, iki çalışanım var. Kayıt gerekir mi?
Ana faaliyeti sağlık verisi gibi özel nitelikli veri işlemek olanlar, çalışan sayısından bağımsız olarak kayıt yükümlüsüdür.
VERBİS'ten muafsam KVKK bana uygulanmaz mı?
Uygulanır. Aydınlatma, veri güvenliği ve başvurulara yanıt verme yükümlülükleri devam eder.
Kayıt yaptırmazsam ne olur?
KVKK m.18 uyarınca idari para cezası uygulanabilir. Tutar her yıl yeniden değerleme oranında değişir.