VERBİS Kaydı Kimler İçin Zorunlu, Kimler Muaf? (2026)

Kural: kayıt, veri işlemeden önce yapılır

Md. 16/2: “Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.” Aynı fıkranın ikinci cümlesi, işlenen verinin niteliği, sayısı, veri işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarılma durumu gibi objektif kriterlere göre Kurul'un istisna getirebileceğini söyler. Md. 16/3 bildirimin içeriğini (kimlik ve adres, amaçlar, kişi grupları ve veri kategorileri, alıcılar, yurt dışına aktarılacak veriler, güvenlik tedbirleri, azami saklama süresi) sayar.

Sicil Yönetmeliği md. 16/1, Kurul'un istisna getirirken bakacağı kriterleri sıralar; (ğ) bendi 2019 değişikliğiyle “veri sorumlusunun yıllık çalışan sayısı veya yıllık mali bilanço toplamı bilgisi” kriterini ekler. Yönetmelik rakam vermez; md. 16/2 bu yetkiyi Kurul'a bırakır. Rakamlar aşağıdaki kararlardan gelir.

Muafiyet eşikleri: kararların tarihçesi

Kurum'un 12 Ocak 2026 tarihli duyurusuna göre yürürlükteki ifade, 2025/1572 sayılı Kararla değişik 2018/87 sayılı Karardadır. Bugün geçerli eşikleri şöyle özetleyebiliriz:

Bilanço ve çalışan sayısı nasıl okunur?

Kurum'un 12 Ocak 2026 duyurusu, Sorularla VERBİS Rehberi'ne atıfla “yıllık mali bilanço toplamı” için bilanço usulüne göre defter tutanların yıllık gelir veya kurumlar vergisi beyannamesi ekindeki bilançonun aktif ya da pasif toplamının esas alınacağını belirtir. Aynı duyuruya göre 25.12.2025 tarihli ve 2025/2393 sayılı Kararla:

• Bilanço esasına göre defter tutanlar (örneğin çoğu limited ve anonim şirket) için hem çalışan sayısı hem bilanço toplamı birlikte değerlendirilir; ikisinin de sınırın altında kalması gerekir.
• Bilanço esasına göre defter tutmayanlar (örneğin işletme hesabı esasına göre defter tutan şahıs işletmeleri) için bilanço bilgisi bulunmadığından yalnızca yıllık çalışan sayısı esas alınır.

Meslek ve faaliyet bazlı istisnalar

Eşiklerden bağımsız olarak bazı faaliyetler ve meslekler de kayıttan muaftır:

• Kanun md. 28/2 ve Sicil Yönetmeliği md. 15: Suçun önlenmesi veya soruşturması için gerekli işleme, ilgili kişinin kendisinin alenileştirdiği verilerin işlenmesi, kamu kurumlarının denetim ve disiplin işleri, Devletin mali çıkarlarının korunması. Bunlar faaliyet bazlıdır; veri sorumlusunu toptan muaf kılmaz.
• 2018/32 sayılı Kurul kararı (2020/315 sayılı Karar metninde aktarıldığı şekliyle): Herhangi bir veri kayıt sisteminin parçası olmak kaydıyla yalnızca otomatik olmayan yollarla veri işleyenler, noterler, siyasi partiler, avukatlar, serbest muhasebeci mali müşavirler ve yeminli mali müşavirler.
• Dernek, vakıf ve sendikalar: 2020/315 ve 2021/571 sayılı Kararlarla, mevzuat ve amaçlarına uygun, faaliyet alanlarıyla sınırlı veri işleyen ve kendisine bağlı iktisadi işletmesi bulunmayan Türkiye'de yerleşik dernek, vakıf ve sendikalar muaftır. İktisadi işletmesi olanlar kayıt olur ve yalnızca iktisadi işletme faaliyetlerine ilişkin bilgi girer.

Bir web sitesi işletmek tek başına bu istisnalardan birine girmez. Siteniz üzerinden form, üyelik veya sipariş verisi topluyorsanız değerlendirme yukarıdaki eşiklere göre yapılır.

Süreler

Kurum'un 14 Mayıs 2026 tarihli duyurusu bu kuralın nasıl işlediğine iyi bir örnektir: 2025 yılı bilanço toplamı eşiği aştığı için yükümlü hâle gelen kurumlar vergisi mükellefi tüzel kişiler için süre, beyanname son günü olan 30.04.2026'yı müteakip 30 gün olarak hesaplanmış; Kurul'un 13.05.2026 tarihli ve 2026/1026 sayılı Kararıyla son gün 05.06.2026'ya uzatılmıştır. Bu bir defalık bir uzatmadır; sonraki yıllar için Kurum'un güncel duyurusuna bakın.

Kayıt nasıl yapılır?

Sicil Yönetmeliği, kaydın teknik adımlarını değil, içeriğini ve sırasını düzenler. Portal ekranları değişebileceği için adım adım ekran anlatımı vermiyoruz; Kurum'un VERBİS sitesindeki VERBİS Kılavuzu'nu izleyin. Yönetmelikten çıkan sıra şöyledir:

• Önce envanter: Md. 5/1-(ç), kayıt yükümlüsü veri sorumlularının Kişisel Veri İşleme Envanteri hazırlamasını ve Sicile açıklanacak bilgilerin bu envantere dayanmasını ister.
• İrtibat kişisi: Md. 11/4'e göre Türkiye'de yerleşik veri sorumluları kayıt sırasında irtibat kişisi bilgilerini Sicile işler. İrtibat kişisi veri sorumlusunu temsile yetkili değildir.
• Bildirilecek bilgiler: Md. 9/1; amaçlar, kişi grupları ve veri kategorileri, alıcı grupları, yurt dışına aktarılacak veriler, güvenlik tedbirleri ve azami saklama süreleri. VERBİS başlıkları yetmezse md. 9/6 uyarınca “Diğer” bölümleri kullanılır.
• Kanal: Md. 5/1-(g) ve md. 10; Sicile ilişkin işlemler VERBİS üzerinden yapılır ve bilgiler VERBİS'e yüklendiğinde kayıt yükümlülüğü yerine getirilmiş sayılır.
• Yurt dışında yerleşik veri sorumlusu: Md. 5/1-(b) ve md. 11/2; kayıt Türkiye'de yerleşik veri sorumlusu temsilcisi aracılığıyla yapılır.
• Saklama ve imha politikası: Silme Yönetmeliği md. 5/1, kayıt yükümlülerinin envantere uygun bir saklama ve imha politikası hazırlamasını ister; md. 11/2'ye göre periyodik imha aralığı altı ayı geçemez.

Sicildeki bilgilerin bir kısmı md. 7/2 uyarınca kamuya açıktır. Ayrıca Aydınlatma Tebliği md. 5/1-(ç), kayıt yükümlülüğü varsa aydınlatma metnindeki bilgilerin Sicile açıklanan bilgilerle uyumlu olmasını ister; sitenizdeki aydınlatma metnini VERBİS bildirimiyle birlikte güncelleyin.

Sadece web sitesi olan küçük bir işletme ne yapmalı?

Birkaç çalışanı olan, ana faaliyeti özel nitelikli veri işleme olmayan ve bilanço toplamı 100 milyon TL'nin altında kalan bir işletme, güncel Kurul kararına göre genellikle VERBİS kaydından muaftır. Ama Sicil Yönetmeliği md. 5/1-(f) açıktır: Kurul'un kayıttan istisna tutması “bu veri sorumlularının Kanun kapsamındaki yükümlülüklerini ortadan kaldırmaz.” Yani kayıt olmasanız da şunlar devam eder:

• Formlar, üyelik ve çerezler için aydınlatma (md. 10).
• Doğru işleme şartına dayanmak ve gerekiyorsa açık rıza almak (md. 5).
• HTTPS, erişim yetkileri ve yedekleme gibi güvenlik tedbirleri (md. 12).
• Başvurulara 30 gün içinde cevap (md. 13).
• Gereksiz verileri silmek (md. 7); Silme Yönetmeliği md. 11/3'e göre politika hazırlama yükümlülüğü olmayanlar silme yükümlülüğünün doğduğu tarihten itibaren üç ay içinde siler.
• Yurt dışındaki hizmetlere aktarım için md. 9 şartları.

Bu yükümlülüklerin tamamını tek listede web sitesi KVKK uyum kontrol listesinde topladık.

Kayıt yükümlülüğüne aykırılığın yaptırımı

Md. 18/1-(ç), Sicile kayıt ve bildirim yükümlülüğüne aykırılık için idari para cezası öngörür; Sicil Yönetmeliği md. 17 de bu bende atıf yapar. Kanun metnindeki nominal tutar 20.000 TL ile 1.000.000 TL arasıdır; Kurum'un yeniden değerleme tablosuna göre 2026 yılı için bu aralık 341.809 TL ile 17.092.242 TL arasıdır. Md. 18/2 uyarınca bu ceza veri sorumlusuna uygulanır; md. 18/3'e göre idare mahkemesinde dava açılabilir.

Sık Sorulan Sorular

Muafsam ama daha önce kayıt olmuştum. Ne yapmalıyım?

Sicil Yönetmeliği md. 14, sicil kaydının silinmesi için VERBİS üzerinden Kuruma başvurulacağını ve kayıt yükümlülüğünü gerektiren faaliyet sona erer ya da ortadan kalkarsa kaydın silineceğini söyler. Kaydı korumayı seçerseniz md. 13 uyarınca değişiklikleri 7 gün içinde bildirmeniz gerekir. Hangi yolun sizin için uygun olduğunu Kurum'un güncel duyurularından teyit edin.

Şahıs şirketiyim, bilançom yok. Hangi kritere bakılır?

2025/2393 sayılı Kurul Kararına göre bilanço esasına göre defter tutmayan veri sorumlularında yalnızca yıllık çalışan sayısı kriteri esas alınır. Ana faaliyetiniz özel nitelikli veri işleme değilse sınır 50, özel nitelikli veri işleme ise 10 çalışandır.

Yurt dışında kurulu şirketim Türkiye'ye satış yapıyor. VERBİS gerekir mi?

Sicil Yönetmeliği md. 5/1-(b), Türkiye'de yerleşik olmayan veri sorumlularının kayıt yükümlülüğünü veri sorumlusu temsilcisi aracılığıyla yerine getireceğini düzenler. Eşik istisnalarının yurt dışında yerleşik veri sorumlularına nasıl uygulanacağını bu yazıda doğrulamadık; Kurul'un güncel kararına bakın ve bir avukata danışın.

VERBİS'e kayıtlı olmak KVKK'ya uyduğum anlamına gelir mi?

Hayır. Sicil Yönetmeliği md. 5/1-(e), Sicile kaydolmanın Kanun kapsamındaki diğer yükümlülükleri ortadan kaldırmadığını açıkça söyler. Kayıt, uyumun sadece bir parçasıdır.

Adı geçen yazılım ve hizmet adları sahiplerine aittir. Bu yazı bağımsız bir rehberdir; Kişisel Verileri Koruma Kurumu veya adı geçen şirketlerle bir bağı bulunmaz.

İlgili içerikler: Web sitesi KVKK uyum kontrol listesi · Web sitesi aydınlatma metni · Yurt dışı sunucu ve KVKK · İlgili kişi başvurusuna cevap · Haber sitesi VERBİS kaydı · Kişisel veri ihlali bildirimi