Kişisel verilerin işlenmesinde şeffaflık ve hesap verebilirlik standartlarını güvence altına alan Veri Sorumluları Sicil Bilgi Sistemi (VERBİS), veri sorumlularının beyanda bulunduğu kamusal bir platformdur. 6698 sayılı Kişisel Verilerin Korunması Kanunu uyarınca hayata geçirilen bu elektronik sicil, Kişisel Verileri Koruma Kurulu denetiminde işletilmekte olup herkesin incelemesine açıktır. Sistem, bireylere kendi verilerinin hangi amaçlarla, kimler tarafından ve ne kadar süreyle işlendiğini izleme olanağı tanır. Bu yönüyle VERBİS, veri işleme süreçlerini disipline eden kritik bir yasal bildirim aracıdır.

Sistemin işleyişine ilişkin esaslar, ilgili mevzuat ve yönetmelik hükümlerinde ayrıntılı şekilde düzenlenmiştir. Bu kapsamda veri sorumlularının; veri kategorileri, veri işleme amaçları, aktarım yapılan alıcı grupları, yurt dışına aktarım durumları ve veri güvenliğini sağlamak amacıyla aldıkları teknik ve idari tedbirleri sisteme beyan etmesi zorunludur.

Sisteme bireysel kimlik bilgileri gibi somut veriler değil, yalnızca kategorik tanımlamalar girilmektedir.

VERBİS Kayıt Yükümlülüğü Nedir?

Kişisel veri işleyen gerçek ve tüzel kişilerin, veri işleme faaliyetlerine başlamadan önce sisteme kaydolması gerekmektedir. Bu prosedür, verilerin işleniş süreçlerinde kamusal denetimi ve açıklığı sağlamayı hedefler. Yasal düzenlemelere göre, sisteme kayıt ve bildirim yükümlülüğünün yerine getirilmemesi durumunda idari yaptırımlarla karşılaşılmaktadır. Bu sebeple kayıt süreçlerinin, kurum içi veri envanteriyle tam uyumlu ve gerçeğe uygun şekilde yürütülmesi önem arz eder.

Yasal Dayanak ve Kurul Yetkisi

Sistemin temel dayanağı 6698 sayılı Kişisel Verilerin Korunması Kanunu'dur.

Kanun, veri işleyen gerçek ve tüzel kişilerin sicile kayıt olmasını kural olarak belirlemiştir. Bununla birlikte Kurul, veri sorumlularının çalışan sayısı, yıllık mali bilanço toplamı veya faaliyet alanı gibi kriterleri dikkate alarak bazı muafiyetler belirleme yetkisine sahiptir. Bu doğrultuda idari işlemlerin tesisi ve denetim süreçleri, idari prosedürler çerçevesinde yürütülmektedir.

Kimler İçin Kayıt Zorunludur?

Mevcut kriterlere göre Türkiye'de yerleşik olup şu şartlardan en az birini karşılayan veri sorumluları için kayıt zorunludur:

• Yıllık çalışan sayısı 50'yi aşan işletmeler,
• Yıllık mali bilanço toplamı belirlenen sınırı (100 milyon TL) geride bırakan gerçek veya tüzel kişiler,
• Çalışan sayısı ve cirodan bağımsız olarak, ana faaliyet konusu özel nitelikli kişisel veri işlemek olanlar (sağlık kuruluşları vb.).

Kamu kurumları ve meslek kuruluşları da herhangi bir mali limite tabi olmaksızın kayıt yaptırmakla yükümlüdür. Yurt dışındaki ilgili kişilerin verilerini işleyen kuruluşlar ise ülkede bir temsilci görevlendirerek bu yükümlülüğü yerine getirmek zorundadır.

Veri Sorumlusu ve Veri İşleyen Arasındaki Fark

Veri sorumlusu, kişisel verilerin işleme amaçlarını ve yöntemlerini belirleyen, veri kayıt sisteminin yönetiminden sorumlu olan gerçek veya tüzel kişidir.

Veri işleyen ise veri sorumlusunun verdiği yetkiye dayanarak onun adına teknik süreçleri yürüten ayrı bir kişidir. Yasal aydınlatma ve idari tedbir yükümlülükleri doğrudan veri sorumlusuna aittir. Veri sızıntısı durumlarında veri işleyenin de ortak sorumlulukları bulunmakla birlikte, sisteme bildirim yükümlülüğü tamamen veri sorumlusunun üzerindedir.

Kayıt Süreci Nasıl Yürütülür?

Sürecin ilk adımı, kurum adına işlemleri yönetecek bir irtibat kişisinin sisteme tanımlanmasıdır. Yurt dışı merkezli yapılarda ise Türkiye'de bir veri sorumlusu temsilcisi belirlenir.

Ardından hazırlanan güncel veri işleme envanteri temel alınarak sisteme giriş yapılır. Sisteme girilmesi gereken başlıca kategoriler şunlardır:

• Veri sorumlusuna dair kimlik ve iletişim bilgileri,
• İşlenen veri kategorileri ve ilgili kişi grupları,
• Verilerin işlenme amaçları ve aktarıldığı alıcı grupları,
• Yurt dışına veri aktarımı yapılıp yapılmadığı,
• Alınan teknik ve idari güvenlik önlemleri,
• Veri saklama ve imha süreleri.

İrtibat Kişisinin Rolü ve Önemi

İrtibat kişisi, kurum ile Kişisel Verileri Koruma Kurumu arasındaki iletişimi sağlayan köprüdür. Bu görevlinin atanmış olması, veri sorumlusunun yasal sorumluluklarını ortadan kaldırmaz. İrtibat kişisi yalnızca sistemdeki beyanların girişini ve tebligat süreçlerini takip eder.

Bilgilerin güncel tutulmaması durumunda idari yaptırımlarla karşılaşılabilir.

Bilgilerin Güncellenmesi ve Saklama Süreleri

Sistemdeki verilerin her zaman güncel tutulması yasal bir zorunluluktur. Kayıtlı bilgilerde meydana gelen herhangi bir değişikliğin, değişikliği takip eden 7 gün içerisinde sisteme bildirilmesi gerekir. Ayrıca her bir veri kategorisi için mevzuata uygun makul saklama süreleri belirlenmeli ve bu sürelerin sonunda veriler imha edilmelidir.

Yurt Dışına Veri Aktarımı

Kişisel verilerin yurt dışına çıkarılması halinde bu durumun sisteme doğru şekilde yansıtılması gerekir. Bulut tabanlı servisler veya yabancı yazılımlar kullanan kurumların da bu durumu beyan etmesi ve standart sözleşme gibi yasal güvenceleri sağlamış olması şarttır.

Kayıt Yükümlülüğüne Aykırılık ve Cezalar

Kayıt yaptırmama veya yanıltıcı bilgi girişi gibi ihlaller durumunda Kurul tarafından yüksek tutarlarda idari para cezaları uygulanmaktadır.

Kamu kurumlarında ise disiplin hükümleri işletilerek sorumlular hakkında işlem başlatılmaktadır.

Sıkça Sorulan Sorular

Şahıs işletmeleri kayıt yaptırmak zorunda mı?

Şahıs veya sermaye şirketi ayrımı olmaksızın, belirlenen çalışan sayısı ve ciro sınırlarını aşan ya da ana faaliyeti özel nitelikli veri işleme olan tüm işletmeler sisteme kayıt olmak zorundadır.

Kayıt işlemi mevzuata tam uyum sağlar mı?

Sadece sisteme kayıt yaptırmak tam uyum anlamına gelmez. Uyum süreci; aydınlatma metinleri, rıza süreçleri, teknik güvenlik altyapısı ve imha politikalarını da içeren kapsamlı bir disiplindir.

İrtibat kişisi kimlerden seçilebilir?

Kurum içerisinde idari süreçlere hakim, tebligatları takip edebilecek yetkin bir gerçek kişi irtibat görevlisi olarak belirlenebilir.