Kişisel veri işleyen şirketler için KVKK uyumluluğu artık yalnızca hukuki bir formalite değil, aynı zamanda ciddi bir mali risk yönetimi meselesidir. Müşteri, çalışan, tedarikçi veya ziyaretçi verisi toplayan işletmelerin, bu verileri hukuka uygun şekilde işlemesi, saklaması, aktarması ve koruması gerekir.
2026 yılı itibarıyla KVKK kapsamında uygulanabilecek idari para cezaları oldukça yüksek seviyelere ulaşmıştır. Özellikle veri güvenliği yükümlülüklerinin ihlali, Kurul kararlarının yerine getirilmemesi veya VERBİS kayıt ve bildirim yükümlülüğüne aykırılık hallerinde ceza üst sınırı 17.092.242 TL'ye kadar çıkabilmektedir.
VERBİS Kaydı Nedir?
VERBİS, yani Veri Sorumluları Sicil Bilgi Sistemi, kişisel veri işleyen veri sorumlularının kayıt olduğu resmi sistemdir. Bu sistemde şirketler, kişisel verilerin içeriğini değil; hangi veri kategorilerini işlediklerini, bu verileri hangi amaçlarla kullandıklarını, kimlere aktarabileceklerini ve ne kadar süre saklayacaklarını bildirir.
Örneğin bir şirketin çalışan bilgileri, müşteri iletişim bilgileri, tedarikçi kayıtları veya ziyaretçi giriş kayıtları tutması kişisel veri işleme faaliyeti anlamına gelebilir. Bu nedenle belirli şartları sağlayan işletmelerin VERBİS'e kayıt olması gerekir.
Kimler VERBİS'e Kayıt Olmak Zorundadır?
Genel kural olarak yıllık çalışan sayısı 50'den fazla olan veya yıllık mali bilanço toplamı belirlenen parasal sınırı aşan veri sorumluları VERBİS kayıt yükümlülüğü kapsamındadır. Ayrıca ana faaliyet konusu özel nitelikli kişisel veri işleme olan bazı veri sorumluları bakımından da kayıt yükümlülüğü gündeme gelebilir.
Güncel uygulamada yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon TL'nin altında olan veri sorumluları, ana faaliyet konuları özel nitelikli kişisel veri işleme değilse VERBİS kayıt yükümlülüğünden istisna tutulabilmektedir. Bununla birlikte, ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları için 2025 yılında ayrıca yeni bir istisna getirilmiş; çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon TL'den az olanların da belirli şartlarla kayıt yükümlülüğünden istisna tutulabileceği duyurulmuştur.
Bu nedenle her işletme için "VERBİS kaydı zorunlu mu?" sorusu, şirketin çalışan sayısı, bilanço büyüklüğü, faaliyet alanı ve işlediği veri türleri dikkate alınarak ayrıca değerlendirilmelidir.
KVKK Uyumu Sadece VERBİS Kaydından İbaret Değildir
Uygulamada en sık yapılan hatalardan biri, KVKK uyumunun yalnızca VERBİS kaydı yaptırmaktan ibaret sanılmasıdır. Oysa VERBİS kaydı, KVKK uyum sürecinin yalnızca bir parçasıdır.
Bir şirketin KVKK'ya uygun hareket edebilmesi için özellikle şu süreçleri doğru şekilde yürütmesi gerekir:
| Süreç | Açıklama |
|---|---|
| Aydınlatma yükümlülüğü | Kişisel verisi işlenen kişilere, verilerinin hangi amaçla işlendiği açıkça bildirilmelidir. |
| Açık rıza süreçleri | Açık rıza gereken hallerde, rıza özgür iradeye dayalı ve belirli bir konuya ilişkin alınmalıdır. |
| Veri işleme envanteri | Şirketin hangi kişisel verileri, hangi amaçlarla ve ne kadar süreyle işlediği belirlenmelidir. |
| VERBİS kaydı | Kayıt yükümlülüğü varsa, sicile doğru ve güncel bildirim yapılmalıdır. |
| Çerez politikası | Web sitesi üzerinden çerez veya benzeri teknolojiler kullanılıyorsa, bunlar KVKK'ya uygun hale getirilmelidir. |
| Veri ihlali müdahale planı | Olası veri ihlali halinde nasıl hareket edileceği önceden belirlenmelidir. |
| Saklama ve imha politikası | Kişisel verilerin ne kadar süre saklanacağı ve ne zaman silineceği düzenlenmelidir. |
Özel Nitelikli Kişisel Verilere Dikkat
Sağlık verileri, biyometrik veriler, genetik veriler, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili veriler, din, mezhep, siyasi düşünce gibi bilgiler özel nitelikli kişisel veri kabul edilir. Bu veriler, sıradan kişisel verilere göre daha sıkı koruma altındadır.
Özellikle sağlık kuruluşları, estetik merkezleri, spor salonları, insan kaynakları yoğun çalışan şirketler, güvenlik kamerası ve biyometrik geçiş sistemi kullanan işletmeler, KVKK bakımından daha dikkatli hareket etmelidir.
İdari Para Cezası Riski
KVKK'ya aykırılık halinde Kişisel Verileri Koruma Kurulu tarafından idari para cezası uygulanabilir. 2026 yılı bakımından VERBİS kayıt ve bildirim yükümlülüğüne aykırılık halinde ceza aralığının 341.809 TL ile 17.092.242 TL arasında olduğu belirtilmektedir. Veri güvenliğine ilişkin yükümlülüklerin ihlali halinde de üst sınır yine 17.092.242 TL'ye kadar çıkabilmektedir.
Bu nedenle KVKK uyumu, özellikle ticari işletmeler için ertelenmemesi gereken bir yükümlülüktür. Çünkü ihlal başına uygulanabilecek cezalar, şirketler açısından ciddi bir mali risk doğurabilir.
Sonuç
Şirketiniz çalışan, müşteri, tedarikçi veya ziyaretçi verisi işliyorsa, KVKK kapsamındaki yükümlülüklerinizi değerlendirmeniz gerekir. VERBİS kaydı zorunluluğunuz bulunup bulunmadığı, aydınlatma metinlerinizin yeterli olup olmadığı, açık rıza süreçlerinizin doğru kurulup kurulmadığı, web sitenizdeki çerez politikanız ve veri ihlali müdahale planınız ayrıca kontrol edilmelidir.
KVKK uyumu, yalnızca ceza riskinden kaçınmak için değil; şirketinizin güvenilirliğini, veri güvenliğini ve kurumsal itibarını korumak için de önemlidir.