VERBİS'e Kimler Kayıt Olmak Zorunda? 2026 Eşikler, Süreç ve Cezalar

VERBİS'e kayıt, yıllık çalışan sayısı 50'den fazla olan veya mali bilanço toplamı 100 milyon TL'yi aşan veri sorumluları için zorunludur; özel nitelikli kişisel veri (sağlık, biyometrik, genetik) işleyen tüm kuruluşlar ise büyüklükten bağımsız olarak kaydolmak zorundadır. Kayıt yükümlülüğüne aykırılık halinde KVKK Madde 18 kapsamında 2026 itibarıyla 85.437 TL ile 17.092.242 TL arasında idari para cezası uygulanabilir.

İlgili rehberler: Genel KVKK çerçevesi için KVKK Nedir 2026 Kapsamlı Rehber · KVKK çözümü için /cozumler/kvkk-uyumluluk/ · Olası ceza hesabı için KVKK Ceza Hesaplayıcı.

VERBİS (Veri Sorumluları Sicili Bilgi Sistemi), Türkiye'de kişisel veri işleyen şirketlerin operasyonel uyumunu somut bir kayda dönüştüren araçtır. Bir veri sorumlusu, hangi veri kategorilerini işlediğini, neden işlediğini, kiminle paylaştığını ve nasıl koruduğunu VERBİS üzerinden Kişisel Verileri Koruma Kurumu'na (KVKK) bildirir. Kayıt olmamak veya eksik/yanlış bildirim yapmak idari para cezası riskidir.

Bu rehber, VERBİS kayıt yükümlülüğünün kim için, ne zaman, nasıl geçerli olduğunu, kayıt süreci adımlarını, veri kategori bildirimlerinin pratiğini ve 2026 cari ceza rakamlarını anlatır. Hedef kitle: DPO, uyum sorumlusu, BT yöneticisi ve şirket sahipleri.

1. VERBİS Nedir, Hangi Kanun Düzenler?

VERBİS, 6698 sayılı Kişisel Verilerin Korunması Kanunu Madde 16 kapsamında kurulmuş bir sicildir. Kişisel veri işleyen veri sorumluları, faaliyetlerine başlamadan önce kayıt olmak ve bilgilerini güncel tutmak zorundadır.

Sicil iki amaca hizmet eder:

1. Şeffaflık: Veri sahipleri (ilgili kişiler), kendi verisinin hangi kurum tarafından hangi amaçla işlendiğini öğrenebilir.
2. Denetim: KVKK Kurumu, kayıt kapsamındaki veri sorumlularının uyum durumunu izleyebilir; eksik bildirim veya gerçekle uyumsuz beyan tespit edilirse re'sen denetim başlatılır.

VERBİS bir "tek seferlik form" değil, sürekli güncel tutulması gereken bir kayıt sistemidir.

2. Kim Kayıt Zorunlu? — 2026 Eşikleri

VERBİS kayıt zorunluluğu üç kriterden en az birini karşılayan veri sorumlusu için geçerlidir:

2.1 Çalışan Sayısı Eşiği — 50+

Yıllık ortalama çalışan sayısı 50'den fazla olan veri sorumluları. "Çalışan" kavramı SGK kayıtlı işçi, memur, sözleşmeli personeli kapsar. Geçici işçi, stajyer ve serbest meslek erbabı sayım kuralına dahil değildir.

2.2 Mali Bilanço Eşiği — 100M TL

Yıllık mali bilanço toplamı 100 milyon TL'den fazla olan veri sorumluları. Bu eşik kâr veya ciro değil, bilanço aktif toplamıdır.

2.3 Yurt Dışında Yerleşik Veri Sorumluları

Türkiye'deki kişilerin verilerini işleyen yurt dışındaki tüm şirketler — çalışan sayısı ve bilanço büyüklüğüne bakılmaksızın. Bu, uluslararası SaaS sağlayıcılarını, e-ticaret platformlarını, dijital reklam ağlarını doğrudan kapsar.

2.4 Sektör Bazlı Zorunluluk

KVKK Kurulu bazı sektörler için eşik aramaksızın kayıt zorunluluğu getirmiştir. Bu listede halen yer alanlar:

• Avukatlar (Avukatlık Kanunu kapsamında faaliyet gösteren)
• Gümrük müşavirleri
• Serbest Muhasebeci Mali Müşavirler (SMMM) ve Yeminli Mali Müşavirler (YMM)
• Bağımsız denetçiler

2.5 Özel Nitelikli Veri İşleme

Eşik analizinden bağımsız olarak, Madde 6'da sayılan özel nitelikli kişisel verileri (sağlık, biyometrik, genetik, etnik köken, din, ceza mahkûmiyeti, üye olunan dernekler) işleyen her veri sorumlusu kayıt yapmak zorundadır. Bu özellikle aşağıdaki sektörler için kritiktir:

• Hastane, klinik, eczane, laboratuvar
• Özel okul, kreş, dershane
• Sigorta şirketleri (sağlık sigortası kapsamı varsa)
• Spor kulüpleri, dernek, vakıflar

3. Kayıt Süreci — Adım Adım

VERBİS kaydı tamamen çevrimiçi yapılır. Süreç tahmini olarak 6-12 hafta alır; hazırlık aşaması (veri envanteri çıkarma) en uzun süren bölümdür.

Aşama 1 — Veri Envanteri (4-8 hafta)

Şirketin tüm birimlerinden (İK, Satış, Pazarlama, Müşteri Hizmetleri, BT, Hukuk) hangi kişisel veriler işleniyor sorusu sorulur. Her veri akışı için:

• Hangi kategoride veri? (kimlik, iletişim, finansal, sağlık vb.)
• Hangi amaçla işleniyor? (sözleşme ifası, pazarlama, yasal yükümlülük vb.)
• Hangi hukuki sebebe dayanıyor? (rıza, sözleşme, meşru menfaat, yasal yükümlülük)
• Kimlerle paylaşılıyor? (yurt içi/yurt dışı alıcı grupları)
• Ne kadar saklanıyor?
• Hangi güvenlik tedbirleri var?

Çıktı: Veri Envanteri Belgesi (DPIA ve VERBİS için temel kaynak).

Aşama 2 — Çevrimiçi Başvuru (1-2 hafta)

1. Giriş: verbis.kvkk.gov.tr → e-Devlet veya nitelikli elektronik imza ile giriş.
2. Veri Sorumlusu Temsilcisi atama: Yurt dışında yerleşik veri sorumluları için zorunlu. Türkiye'de mukim, Kurum ile iletişimde olan kişi.
3. İrtibat Kişisi atama: Tüm veri sorumluları için zorunlu. İlgili kişi başvurularını ve Kurum iletişimini yöneten kişi.
4. Veri kategorileri bildirimi: Standart kategori listesinden seçilerek hangi veri tiplerinin işlendiği bildirilir.
5. İşleme amaçları: Veri işleme amaçları (pazarlama, sözleşme ifası vb.) seçilir.
6. Alıcı grupları: Verinin paylaşıldığı taraflar (tedarikçiler, kamu kurumları, yurt dışı alıcılar) bildirilir.
7. Yurt dışı transferler: Hangi ülkelere, hangi mekanizmayla (rıza, yeterli koruma kararı, BCR, sözleşme) transfer yapıldığı.
8. Güvenlik tedbirleri: Teknik (şifreleme, erişim kontrolü, log) ve idari (politika, eğitim, gizlilik sözleşmesi) tedbirler.
9. Saklama süreleri: Her veri kategorisi için saklama süresi (yasal asgari + meşru ihtiyaç).
10. Onay: Bildirim önizlenir, imzalanır ve gönderilir.

Aşama 3 — Sicil Numarası ve Yayım

Başvuru onaylandıktan sonra VERBİS sicil numarası verilir. Bu numara veri sorumlusunun web sitesinde ve aydınlatma metinlerinde paylaşılabilir.

4. Veri Kategorileri Bildirimi — Pratik Örnekler

VERBİS, standart bir veri kategori listesi kullanır. Doğru kategori seçimi ileride re'sen denetimde sorgulanır.

Pratik öneri: Her iş süreci için ayrı bir satır oluştur, kategori seçimini doğru yap. Sonradan ek bir iş süreci başladığında 30 gün içinde bildirim güncellenmelidir.

5. Güncelleme Zorunluluğu

KVKK Madde 16 kapsamında VERBİS bildirimlerinde herhangi bir değişiklik olduğunda, değişikliğin gerçekleşmesinden itibaren 30 gün içinde güncelleme yapılmalıdır. İhmal halinde idari para cezası uygulanabilir.

Güncelleme Gerektiren Tipik Durumlar

• Yeni iş süreci başlatılması (yeni veri kategorisi veya işleme amacı)
• Yeni alıcı grubu eklenmesi (yeni tedarikçi, yeni iş ortağı)
• Yurt dışı transfer değişiklikleri (yeni ülke, yeni mekanizma)
• İrtibat Kişisi veya Veri Sorumlusu Temsilcisi değişikliği
• Güvenlik tedbirlerinde önemli değişiklik (örn. veri merkezi taşınması, şifreleme algoritmasının değişmesi)
• Saklama sürelerinin değişmesi
• Şirket yapı değişikliği (birleşme, devir, tasfiye)

En İyi Uygulama

Yıllık olarak en az bir kez genel gözden geçirme yapılması — değişiklik bildirimi unutulmuş bir konuyu yakalamak için faydalıdır. Bazı şirketler bunu KVKK iç denetimi ile birleştirir.

6. 2026 Cari Cezalar ve Risk

KVKK Madde 18 idari para cezaları her yıl yeniden değerleme oranı (2026: %25,49) ile güncellenir. VERBİS yükümlülüğüne aykırılık için cari ceza bandı:

Kurul, ceza belirlerken şu kriterleri değerlendirir:

• İhlalin niteliği ve ağırlığı
• Etkilenen ilgili kişi sayısı
• İhlal süresi
• Veri sorumlusunun ekonomik durumu
• Tekrarlanma durumu
• İşbirliği ve iyi niyet

Yüksek tutarlı cezalar genelde tekrar eden ihlal + büyük veri sorumlusu + uzun süreli aykırılık kombinasyonunda görülür. Küçük ölçekli ve ilk ihlal genelde alt banda yakın değerlendirilir, ancak garanti değildir.

Olası ceza tutarınızı hesaplamak için: KVKK Ceza Hesaplayıcı

7. Sıkça Yapılan Hatalar

VERBİS bildirimlerinde Kurum tarafından sıkça eleştirilen hatalar:

1. "Genel" veri kategorisi seçimi: Standart kategori listesinde spesifik seçenek varken (örn. "müşteri işlem") "diğer" seçilmek; eksik bildirim olarak değerlendirilebilir.

2. Hukuki sebep yanlış: Aslında açık rıza gereken bir işleme için "meşru menfaat" işaretlemek. İnceleme halinde gerçek hukuki sebep yokluğu doğrudan ceza nedenidir.

3. Yurt dışı transferin eksik bildirimi: AWS, Google Workspace, Salesforce gibi uluslararası SaaS kullanımı pek çok şirkette var ama VERBİS'te yurt dışı transfer bildirimi yapılmamış oluyor.

4. Saklama süresi belirsiz: "Mevzuatta öngörülen süre kadar" gibi belirsiz ifadeler. Kurul, her kategori için sayısal yıl/ay bekler.

5. Güncelleme gecikmesi: Yeni bir tedarikçi eklendikten 30 gün sonra hâlâ VERBİS güncellenmemiş — bu doğrudan ihlal.

6. İrtibat Kişisi'nin yetkinliği: İrtibat Kişisi olarak BT yöneticisi atanması ama bu kişinin KVKK eğitimi/yetkinliği olmaması. Kurul, gerektiğinde İrtibat Kişisi üzerinden yazılı bilgi talep eder; yanıt verme kapasitesi olmayan atama riskli.

8. Multidisipliner Çalışma — Kim Ne Yapar?

VERBİS bildirimi tek bir kişinin altından kalkabileceği iş değildir. Etkili bir kayıt için multidisipliner ekip:

DPO veya uyum sorumlusu, her birimden gelen bilgileri konsolide edip Kurul standardına uygun olarak VERBİS'e işler. Tek başına BT veya hukuk ekip ile bildirim yapmak eksik sonuç verir.

9. Sıkça Sorulan Sorular

Şirketim küçük ama büyüyor — eşik ne zaman gerçekleşir? Eşik yıl ortalaması üzerinden hesaplanır. Yıl sonunda 50 çalışana ulaşmışsanız, bir sonraki yılın başında VERBİS kayıt zorunluluğu doğmuş demektir. Pratik olarak şirketler 40-45 çalışana ulaştığında kayıt hazırlığını başlatmalıdır.

E-Ticaret sitemim küçük ama özel nitelikli veri toplamıyorum, kayıt gerekli mi? Çalışan ve bilanço eşiklerinin altındaysanız ve özel nitelikli veri işlemiyorsanız zorunlu değilsiniz. Ancak isteğe bağlı kayıt mümkündür. Büyüme sinyalleri varsa erken kayıt avantajlıdır (müşteri güveni, B2B sözleşmelerinde uyum kanıtı).

Birden fazla şirketim var — her biri ayrı kayıt mı? Evet. Her tüzel kişilik ayrı veri sorumlusudur ve ayrı VERBİS kaydı yapar. Holding yapılarında ayrı kayıt + grup içi veri paylaşımı için sözleşmesel altyapı (Veri İşleme Sözleşmesi) kurulmalıdır.

Bireysel olarak (gerçek kişi) faaliyet gösteriyorum, kayıt zorunlu mu? Gerçek kişi tacir veya serbest meslek erbabı olarak kişisel veri işliyorsanız (örn. müşteri listesi tutuyorsanız), aynı eşikler ve özel nitelikli veri kuralı geçerlidir. Avukat, SMMM, gümrük müşaviri gibi belirli mesleklerde sektör bazlı zorunluluk uygulanır.

Veri Sorumlusu Temsilcisi kim olabilir? Yurt dışında yerleşik veri sorumluları için zorunlu. Türkiye'de mukim, kişisel veri işlemleri konusunda yetkin, KVKK ile yazılı iletişim kurabilecek bir gerçek veya tüzel kişidir. Genellikle bir hukuk bürosu, danışmanlık şirketi veya yerel kuruluşun bir çalışanı olur.

10. Operasyonel Yol Haritası

VERBİS kayıt sürecini yönetmek için 4 aşamalı plan:

1. Eşik Analizi (1 hafta) — Çalışan sayısı, bilanço, sektör, özel nitelikli veri durumunuzu kontrol edin. Zorunlu mu, isteğe bağlı mı netleştirin.
2. Veri Envanteri (4-8 hafta) — Tüm birimlerden veri akışlarını toplayın. İş süreçleri × veri kategorisi matrisi çıkarın.
3. Çevrimiçi Başvuru (1-2 hafta) — verbis.kvkk.gov.tr üzerinden formu doldurun, Temsilci ve İrtibat Kişisi atayın, onay alın.
4. Sürekli Bakım (devamlı) — 30 günlük güncelleme zorunluluğunu izleyin, yıllık genel gözden geçirme yapın, KVKK iç denetimine VERBİS'i dahil edin.

KVKK Çözümü → · KVKK Ceza Hesaplayıcı → · KVKK 2026 Kapsamlı Rehber → · SaaS/Yazılım Şirketi Uyumluluk Rehberi →