6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 16 ncı maddesi, kişisel veri işleyen gerçek ve tüzel kişilerin, kural olarak, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmasını öngörür. Sicil, Kurulun gözetiminde Başkanlık tarafından kamuya açık tutulur. Uygulamada bu kayıt, Başkanlıkça işletilen Veri Sorumluları Sicil Bilgi Sistemi (VERBİS) üzerinden yapılır.
Kayıt, Kanun’daki diğer yükümlülüklerin yerine geçmez. Aydınlatma, hukuka uygun işleme, veri güvenliği, silme ve yok etme ile ilgili kişi başvurularına cevap verme yükümlülükleri, Sicile kayıt istisnası bulunan veri sorumluları yönünden de devam eder. Bu yazı, kayıt yükümlülüğünün dayanağını, istisna ölçütlerini, bildirilecek bilgileri ve güncelleme usulünü genel hatlarıyla açıklar. Somut olaya uygulanacak hüküm, güncel Kurul kararları ve şirketin fiilî veri işleme faaliyetinin incelenmesiyle belirlenir.
Kalemci Hukuk Bürosu, İzmir’in Bayraklı ilçesinde, Folkart Towers’ta kişisel verilerin korunması ve GDPR ile bilişim hukuku alanındaki işleri yürütmektedir. Aşağıdaki açıklamalar genel bilgilendirme niteliğindedir.
Yükümlülüğün kanuni dayanağı
Kanun’un 16 ncı maddesinin ikinci fıkrasına göre, kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Sicile kaydolmak zorundadır. Aynı fıkranın devamı, işlenen verinin niteliği, sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif ölçütler gözetilerek Kurul’un kayıt zorunluluğuna istisna getirebileceğini belirtir.
Veri Sorumluları Sicili Hakkında Yönetmelik bu çerçeveyi ayrıntılandırır. Yönetmeliğin 5 inci maddesine göre veri sorumluları, kişisel veri işlemeye başlamadan önce Sicile kaydolur. Türkiye’de yerleşik olmayan veri sorumluları, işlemeye başlamadan önce veri sorumlusu temsilcisi aracılığıyla kayıt yaptırmak zorundadır. Kayıt yükümlülüğü altında değilken sonradan yükümlü hâle gelenler, yükümlülüğün doğmasından itibaren otuz gün içinde kaydolur (Yönetmelik m.8/2). Fiilî, teknik veya hukuki imkânsızlık hâlinde, imkânsızlığın ortaya çıktığı tarihten itibaren en geç yedi iş günü içinde gerekçe gösterilerek Kurumdan, bir defaya mahsus ve otuz günü geçmemek üzere ek süre istenebilir (Yön. m.8/3).
Tüzel kişilerde veri sorumlusu, tüzel kişiliğin kendisidir. Temsil ve ilzama yetkili organ, yükümlülüklerin yerine getirilmesi için kişi görevlendirebilir; bu görevlendirme tüzel kişiliğin sorumluluğunu ortadan kaldırmaz (Yön. m.11/1).
Kayıt ile envanter arasındaki ilişki
Sicile açıklanacak bilgiler, kişisel veri işleme envanterine dayanılarak hazırlanır (Yön. m.5/ç ve m.9/2). Envanter; iş süreçlerine bağlı olarak hangi verilerin, hangi amaçla, hangi ilgili kişi grupları hakkında işlendiğini, aktarılan alıcı gruplarını, yurt dışına aktarımı öngörülen verileri, saklama sürelerini ve alınan güvenlik tedbirlerini gösterir.
Yönetmeliğin 5 inci maddesinin (d) bendi, aydınlatma metinlerinin, ilgili kişi başvurularına verilecek cevapların ve açık rızanın kapsamının belirlenmesinde, envantere dayalı olarak Sicile sunulan bilgilerin esas alınacağını belirtir. Bu nedenle VERBİS bildirimi, ayrı bir formalite değil, şirketin fiilen yürüttüğü işleme faaliyetinin sicile yansımasıdır. Sicile yazılan amaç, kategori veya saklama süresi ile uygulamadaki politika ve sözleşmeler çelişiyorsa, hem kayıt hem de aydınlatma yükümlülüğü bakımından risk doğar.
Türkiye’de yerleşik tüzel kişiler, kayıt sırasında irtibat kişisi bildirir. İrtibat kişisi, veri sorumlusunu temsile yetkili değildir; ilgili kişilerin talepleri konusunda iletişimi sağlar (Yön. m.11/4). Bu sıfat, Avrupa Birliği Genel Veri Koruma Tüzüğü’ndeki veri koruma görevlisinden (DPO) farklıdır. KVKK, genel bir veri koruma görevlisi atama zorunluluğu getirmez.
Türkiye’de yerleşik olmayan veri sorumlusu, Yönetmeliğin 11 inci maddesinde belirtilen asgari yetkileri haiz bir temsilci atar. Temsilci, tebligatı kabul etme, Kurum yazışmalarını iletme, ilgili kişi başvurularını alma ve Sicile ilişkin işlemleri yürütme konularında veri sorumlusunu temsil eder.
Bildirilecek bilgiler ve güncelleme
Kanun’un 16 ncı maddesinin üçüncü fıkrası ile Yönetmeliğin 9 uncu maddesi, kayıt başvurusunda yer alması gereken hususları sayar: veri sorumlusu ve varsa temsilci ile irtibat kişisinin kimlik ve adres bilgileri; kişisel verilerin hangi amaçla işleneceği; veri konusu kişi grupları ve veri kategorileri; aktarılabilecek alıcı veya alıcı grupları; yabancı ülkelere aktarımı öngörülen kişisel veriler; alınan güvenlik tedbirleri; verilerin işlendikleri amaç için gerekli olan azami muhafaza süresi.
Kanun’un 16 ncı maddesinin dördüncü fıkrası, bu bilgilerde meydana gelen değişikliklerin Başkanlığa derhâl bildirilmesini ister. Yönetmeliğin 13 üncü maddesi, değişikliklerin VERBİS üzerinden yedi gün içinde Kuruma bildirilmesini öngörür. Faaliyet sona ererse kayıt, VERBİS üzerinden silinme başvurusuyla kapatılır; kaydın silinmesi, kayıtlı olunan döneme ilişkin yükümlülükleri ortadan kaldırmaz (Yön. m.14).
Yönetmeliğin 15 inci maddesi, belirli işleme faaliyetlerinin Sicile bildirilmemesine imkân tanır. Bunlar arasında, işlemenin suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olması, ilgili kişinin bizzat alenileştirdiği verilerin işlenmesi ve belirli kamu denetim veya disiplin süreçleri sayılır. Bu hüküm, veri sorumlusunu bütünüyle kayıt yükümlülüğünden çıkarmaz; yalnızca sayılan faaliyetler yönünden bildirim istisnası öngörür.
İstisna ölçütleri
Kurul, Kanun’un 16 ncı maddesinin ikinci fıkrası ve Yönetmeliğin 16 ncı maddesindeki objektif ölçütler çerçevesinde bazı veri sorumlularını kayıt yükümlülüğünden istisna tutmuştur. Bu istisnalar zaman içinde güncellenmiştir.
19.07.2018 tarihli ve 2018/87 sayılı Kurul Kararı ile, yıllık çalışan sayısı ve yıllık mali bilanço toplamı esas alınarak bir eşik belirlenmiş; 06.07.2023 tarihli ve 2023/1154 sayılı Karar ile yıllık mali bilanço toplamı eşiği 100 milyon Türk lirası olarak güncellenmiştir. 04.09.2025 tarihli ve 2025/1572 sayılı Kurul Kararı ile, 2018/87 sayılı Karar yeniden değişikliğe uğramıştır. Bu karar uyarınca, özetle:
- Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumlularından, ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar,
- Ana faaliyet konusu özel nitelikli kişisel veri işleme olmakla birlikte yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumluları,
Sicile kayıt yükümlülüğünden istisna tutulmuştur.
Kurum’un 12 Ocak 2026 tarihli duyurusuna göre, 25.12.2025 tarihli ve 2025/2393 sayılı Kurul Kararı, bu eşiklerin nasıl uygulanacağını açıklığa kavuşturmuştur. Bilanço esasına göre defter tutan veri sorumluları yönünden hem yıllık çalışan sayısı hem de yıllık mali bilanço toplamı birlikte (kümülatif) aranır. Bilanço esasına göre defter tutmayanlar yönünden, yıllık mali bilanço toplamı bilgisi bulunmadığından, yalnızca yıllık çalışan sayısı ölçütü esas alınır.
Kurul, eşik kararlarının yanında belirli meslek ve faaliyet gruplarını da Sicile kayıt yükümlülüğünden istisna tutmuştur. Kurum’un yayımladığı kararlara göre bu gruplar şunlardır: herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla kişisel veri işleyenler, 1512 sayılı Noterlik Kanunu uyarınca faaliyet gösteren noterler, 2820 sayılı Siyasi Partiler Kanunu’na göre kurulmuş siyasi partiler, 1136 sayılı Avukatlık Kanunu uyarınca faaliyet gösteren avukatlar ile 3568 sayılı Kanun uyarınca faaliyet gösteren serbest muhasebeci mali müşavirler ve yeminli mali müşavirler (02.04.2018 tarihli ve 2018/32 sayılı Karar); 4458 sayılı Gümrük Kanunu uyarınca faaliyet gösteren gümrük müşavirleri ve yetkilendirilmiş gümrük müşavirleri (28.06.2018 tarihli ve 2018/68 sayılı Karar); arabulucular (05.07.2018 tarihli ve 2018/75 sayılı Karar); yalnızca ilgili mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı olmak üzere kişisel veri işleyen ve kendisine bağlı herhangi bir iktisadi işletmesi bulunmayan, Türkiye’de yerleşik dernek, vakıf ve sendikalar (09.06.2021 tarihli ve 2021/571 sayılı Karar); köy kamu tüzel kişilikleri (14.12.2023 tarihli ve 2023/2135 sayılı Karar). Dernek, vakıf ve sendikalara ilişkin önceki ifadeler, 22.04.2020 tarihli ve 2020/315 sayılı Karar ile 2021/571 sayılı Karar doğrultusunda bu biçimi almıştır. İstisnanın somut durumda hâlâ geçerli olup olmadığı, güncel Kurul kararına bakılarak teyit edilmelidir.
Yurt dışında yerleşik veri sorumluları, eşik istisnasının lafzında “gerçek veya tüzel kişi” ifadesi geçse de, kayıt takvimi ve Kurum açıklamalarında ayrıca ele alınmıştır. Yurt dışında yerleşik olup Türkiye’deki ilgili kişilere yönelik ürün veya hizmet sunan ya da Türkiye’de veri işleyen sorumlular yönünden temsilci atama ve kayıt yükümlülüğü, somut faaliyetin niteliğine göre ayrıca incelenmelidir.
Kayıt yapmamanın sonucu
Yönetmeliğin 5 inci maddesinin (e) ve (f) bentleri, Sicile kaydın veya istisna kapsamında olmanın, Kanun’daki diğer yükümlülükleri ortadan kaldırmadığını açıkça belirtir. İstisna, yalnızca Sicile kayıt ve bildirim yükümlülüğüne ilişkindir.
Kayıt ve bildirim yükümlülüğüne aykırılığın idari yaptırımı, Kanun’un 18 inci maddesinin birinci fıkrasının (ç) bendinde düzenlenir. Kanun metnindeki aralık, 20.000 Türk lirasından 1.000.000 Türk lirasına kadardır. Bu tutarlar, 5326 sayılı Kabahatler Kanunu’nun 17 nci maddesinin yedinci fıkrası uyarınca her takvim yılı başında, 213 sayılı Vergi Usul Kanunu’nun mükerrer 298 inci maddesindeki yeniden değerleme oranında artırılarak uygulanır. Kurum’un 31 Aralık 2025’te yayımladığı, 2017–2026 yıllarını kapsayan idari para cezası tablosuna göre, 2026 yılı için bu aralık 341.809 Türk lirasından 17.092.242 Türk lirasına kadardır. Cezanın somut tutarı, Kabahatler Kanunu’nun 17 nci maddesi çerçevesinde, fiilin niteliği, kusur ve ekonomik durum dikkate alınarak Kurulca belirlenir.
Aynı maddenin dördüncü fıkrası uyarınca, aykırılık kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmişse idari para cezası değil, Kurulun bildirimi üzerine disiplin hükümleri uygulanır.
Kayıt yükümlülüğü, veri güvenliği ve ihlal bildirimi gibi 12 nci maddedeki yükümlülüklerden ayrıdır. Bir veri ihlali hem güvenlik tedbirlerinin yetersizliği hem de, yükümlülük varsa, Sicilin güncel olmaması yönünden ayrı ayrı değerlendirilebilir.
Uygulamada dikkat edilecek noktalar
Sicile kayıt, envanter tamamlanmadan yapılmamalıdır. Aksi hâlde bildirilen amaç ve kategoriler kısa sürede gerçeğe aykırı hâle gelir. Yeni bir yazılım, bulut hizmeti, çağrı merkezi veya yurt dışı aktarım kanalı devreye girdiğinde hem envanter hem de VERBİS kaydı gözden geçirilmelidir. 7499 sayılı Kanun ile yenilenen yurt dışına aktarım rejimi (m.9) bakımından, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde Kuruma bildirilmesi ayrı bir yükümlülüktür ve 18 inci maddenin (d) bendindeki yaptırıma tabidir.
Ana faaliyetin “özel nitelikli kişisel veri işleme” olup olmadığı, şirketin ticaret unvanından değil, fiilen yürüttüğü asıl işten çıkarılır. Sağlık, eğitim, dini veya sendikal faaliyet, biyometrik kimlik doğrulama gibi alanlarda bu nitelendirme özellikle önem taşır. Eşiklerin altında kalındığı düşünülse bile, aydınlatma, açık rıza veya diğer hukuki sebepler, saklama ve imha ile teknik-idari tedbirler yürürlükte kalır.
Sıkça sorulan sorular
VERBİS kaydı, KVKK’nın diğer yükümlülüklerini kaldırır mı? Hayır. Yönetmeliğin 5 inci maddesi, kaydın Kanun kapsamındaki diğer yükümlülükleri ortadan kaldırmadığını açıkça belirtir. İstisna yalnızca Sicile kayıt ve bildirime ilişkindir.
Eşiklerin altında kalan her şirket kayıt yapmayabilir mi? Hayır. Eşik istisnası, ana faaliyetin özel nitelikli kişisel veri işleme olup olmadığına ve defter tutma usulüne göre farklı uygulanır. Yurt dışında yerleşik sorumlular ve Kurul’un ayrıca yükümlü tuttuğu durumlar ayrıca değerlendirilir. Eşikler Kurul kararıyla değişebilir.
Kayıtta bir değişiklik olursa ne kadar sürede bildirim yapılır? Kanun m.16/4, değişikliklerin derhâl bildirilmesini ister. Yönetmelik m.13, VERBİS üzerinden yedi gün içinde bildirim öngörür. Uygulamada bu iki hükmün birlikte okunması gerekir.
İrtibat kişisi veri sorumlusunu temsil eder mi? Etmez. Yönetmelik m.11/4 uyarınca irtibat kişisi temsile yetkili değildir; iletişim sağlar. Tüzel kişiliğin sorumluluğu devam eder.
Kayıt yapılmazsa yaptırım nedir? Kanun m.18/1-ç, kayıt ve bildirim yükümlülüğüne aykırılık için idari para cezası öngörür. Kanun metnindeki aralık 20.000–1.000.000 Türk lirasıdır; 2026 yılı için Kurum tablosunda bu aralık 341.809–17.092.242 Türk lirası olarak yer alır. Kamu kurumları yönünden disiplin yolu öngörülmüştür.