VERBİS kaydı kimler için zorunlu? Üç testle karar verin

VERBİS kaydı kimler için zorunlu?

Yükümlülüğü belirleyen üç ölçüt var ve bunlar birbirinin alternatifi: birini geçmeniz yeterli. Çalışan sayısı eşiği, mali bilanço toplamı eşiği, ve asıl faaliyeti özel nitelikli kişisel veri işlemek. Üçünü de geçmiyorsanız kayıt yükümlülüğünüz yok.

Uygulamada en çok karıştırılan nokta bu "alternatif" ilişkisi. Çalışanı az olan bir şirket, bilanço eşiğini geçtiği için yükümlü olabiliyor; ikisini de geçmeyen bir sağlık teknolojisi girişimi ise üçüncü testten yükümlü hâle geliyor. Tek bir teste bakıp "biz kapsamda değiliz" demek, en sık yapılan ve en pahalı hata.

VERBİS çalışan sayısı ve ciro sınırı kaç?

Çünkü değişiyorlar. Kayıt istisnası eşikleri Kurul kararlarıyla güncelleniyor ve internetteki Türkçe içeriğin büyük kısmı hâlâ birkaç yıl önceki rakamı yazıyor — o rakama göre "kapsamda değiliz" diyen bir şirket, farkında olmadan yükümlülüğünü ihlal ediyor.

Kalıcı olan şey testlerin mantığı: üç ölçüt, alternatif ilişki, özel nitelikli veride eşiksizlik. Yürürlükteki sayıyı Kurum'un kendi sayfasından, karar tarihiyle birlikte teyit edin ve o teyidi kayıt dosyanızda saklayın. Denetimde sorulan şey rakamı nereden bildiğinizdir.

VERBİS'e kaydolmazsam KVKK'dan muaf olur muyum?

Neredeyse hiçbir şeyi. VERBİS bir sicil kaydıdır; kanunun kendisi değil. Eşiğin altındaki bir şirket de aydınlatma yükümlülüğünü yerine getirmek, açık rıza gereken yerde rıza almak, teknik ve idari tedbirleri uygulamak, saklama sürelerini belirleyip aşıldığında silmek ve veri ihlalini süresinde bildirmekle yükümlüdür.

Bu ayrımı kaçıran şirketlerde tipik senaryo şu: kayıt yükümlülüğü olmadığı için hiçbir şey yapılmıyor, sonra bir veri ihlali yaşanıyor ve denetimde ne envanter ne aydınlatma metni ne de tedbir kaydı bulunuyor. Cezayı doğuran şey kaydın yokluğu değil, bunların yokluğu oluyor.

Kişisel veri işleme envanteri nasıl hazırlanır?

VERBİS formunun istediği her alan — veri kategorileri, işleme amaçları, hukuki sebepler, alıcı grupları, saklama süreleri, yurt dışı aktarım — kişisel veri işleme envanterinden gelir. Envanteri olmayan bir şirket formu ancak tahminle doldurabilir ve o tahmin, ilerideki her denetimde aleyhine kanıt olur.

Envanter çıkarmanın pratik yolu sistemlerden gitmektir: hangi yazılımlar kişisel veri tutuyor, her birinde hangi alanlar var, veriler nereden geliyor ve nereye gidiyor. İnsan kaynakları, muhasebe, CRM, e-ticaret, destek sistemi ve kamera kayıtları neredeyse her şirkette listenin ilk sıralarında çıkar.

Yurt dışı merkezli şirket VERBİS'e kaydolur mu?

Türkiye'de yerleşik olmayan veri sorumluları farklı bir rejime tabidir: bir temsilci ataması ve kaydını o temsilci üzerinden yapması gerekir. Yurt dışı merkezli bir grubun Türkiye'deki iştiraki ise kendi tüzel kişiliği üzerinden değerlendirilir — grup kaydı, iştirakin yükümlülüğünü ortadan kaldırmaz.

VERBİS kaydı ne kadar sürer?

Kaydın kendisi bir saatlik iş. Süreyi belirleyen envanter: sistem sayısı az bir şirkette birkaç gün, çok sistemli bir kurumda haftalar sürüyor. Doğru sıra envanter, aydınlatma metinleri, saklama ve imha politikası, sonra kayıt; ters sıra kaydı hızlandırıyor ama içeriğini yanlış kılıyor.

VERBİS kaydı ücretli mi?

Kayıt ücretsiz ve doğrudan Kurum'un sistemi üzerinden yapılıyor. Ücret talep eden aracılar, kaydın kendisini değil hazırlık işini satıyor: envanter çıkarma, aydınlatma metinleri, saklama ve imha politikası. Bu işler gerçekten emek istiyor ama kaydın kendisi için para ödemenize gerek yok. Aracıyla çalışacaksanız neyin fiyatlandığını kalem kalem sorun.

Aydınlatma metni ile açık rıza aynı şey mi?

Hayır ve karıştırılması en pahalı hatalardan biri. Aydınlatma bir bilgilendirme yükümlülüğü; her veri işlemede yapılır ve onay gerektirmez. Açık rıza ise bir hukuki dayanak; yalnızca başka bir dayanak yoksa gerekir. Her şey için rıza toplayan şirketler, rıza geri çekildiğinde yasal olarak devam edemedikleri işlemleri durdurmak zorunda kalıyor — oysa çoğu işlem için sözleşme ya da meşru menfaat yeterliydi.

Çalışan verisi için de kayıt gerekiyor mu?

Envanterde yer alması gerekiyor, evet. İnsan kaynakları verisi neredeyse her şirketin en hacimli kişisel veri kümesi: özlük dosyaları, bordro, izin kayıtları, sağlık raporları, kamera kayıtları. Sağlık raporu tutmak tek başına şirketi özel nitelikli veri kapsamına sokmuyor ama envanterde ayrı bir kategori olarak görünmesi ve saklama süresinin tanımlı olması gerekiyor.

VERBİS kaydını kim yapmalı?

Kaydı teknik olarak kim girerse girsin, sorumluluk veri sorumlusundadır — yani şirkette. Uygulamada işi yürüten kişi genellikle hukuk, uyum ya da bilgi işlem oluyor; kritik olan, envanterdeki bilgiyi gerçekten bilen kişilerin katkı vermesi. Tek bir kişinin tahminle doldurduğu kayıt, denetimde sistemlerle karşılaştırıldığında tutmuyor.

“VERBİS bir sicil kaydıdır, kanunun kendisi değil; kayıttan muaf olmak yükümlülükten muaf olmak değildir.”