2026 VERBİS Kayıt Zorunluluğu Kimleri Kapsar?
2026'da yıllık çalışan sayısı 50'yi veya mali bilanço toplamı 100 milyon TL'yi aşan veri sorumluları ile ana faaliyeti özel nitelikli veri işlemek olan kuruluşlar VERBİS'e kayıt olmak zorundadır.
2026 yılı itibarıyla VERBİS kayıt zorunluluğu dört grubu kapsar. Yıllık çalışan sayısı 50'den fazla olan veya yıllık mali bilanço toplamı 100 milyon TL'yi aşan veri sorumluları kayıt olmak zorundadır. Ana faaliyeti özel nitelikli kişisel veri işlemek olan kuruluşlar (sağlık kuruluşları dahil), yurt dışında yerleşik veri sorumluları ve kamu kurum ve kuruluşları ise bu eşiklerden bağımsız olarak her durumda kayıt yapar. Bu grupların dışında kalan veri sorumluları sicile kayıttan muaftır. Veri sorumluluğunuzu belirlemek ve KVKK uyum sürecini tamamlamak için aşağıdaki detayları inceleyebilirsiniz.
VERBİS Kayıt Zorunluluğu 2026 Nedir ve Kime Uygulanır?
VERBİS Kayıt Zorunluluğu 2026, Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında Veri Sorumluları Sicili'ne (VERBİS) kayıt olma yükümlülüğünün güncel eşik değerlerini ifade eder. 2026 yılı için geçerli kriterlere göre yıllık çalışan sayısı 50'yi aşan veya yıllık mali bilanço toplamı 100 milyon TL'yi geçen gerçek ve tüzel kişiler, veri sorumlusu sıfatıyla kayıt olmak zorundadır. Bu eşikler, KVKK'nın 16. maddesine dayanan Veri Sorumluları Sicili Hakkında Yönetmelik ve Kişisel Verileri Koruma Kurulu kararları ile belirlenir.
Kayıt süreci; veri sorumlusunun kimlik bilgileri, veri işleme amaçları, işlenen veri kategorileri, aktarım yapılan alıcı grupları, saklama süreleri ve alınan güvenlik tedbirleri gibi bilgilerin VERBİS'e elektronik ortamda bildirilmesini gerektirir. 2026 yılında bu eşiklerin üzerinde yer alan ancak henüz kayıt olmamış kuruluşlar mevzuat uyumsuzluğu riski altındadır ve idari para cezasıyla karşılaşabilir.
Kayıt yükümlülüğü tek seferlik bir işlem değil, veri işleme faaliyetine göre güncel tutulması gereken bir süreçtir. Bu nedenle çalışan sayısı veya bilanço toplamı yıl içinde eşiği aştığında, yükümlülüğün doğduğu tarihten itibaren 30 gün içinde başvuru yapılmalıdır.
50 Çalışan ve 100 Milyon TL Eşiği Nasıl Hesaplanır?
Çalışan sayısı ve mali bilanço eşikleri, VERBİS kayıt zorunluluğunun belirlenmesinde temel kriterlerdir. İki ölçüt şöyle hesaplanır:
- Çalışan sayısı: Kurum'un uygulamasına göre bir önceki yılın 12 aylık döneminin en az 7 ayında SGK'ya bildirilen çalışan sayısının 50'den fazla olması aranır.
- Mali bilanço toplamı: Bir önceki yıl için verilen gelir veya kurumlar vergisi beyannamesi ekindeki bilançonun aktif toplamının 100 milyon TL'yi aşması aranır.
Her iki kriterden birinin gerçekleşmesi kayıt yükümlülüğünü başlatmak için yeterlidir; ikisinin aynı anda sağlanması şart değildir. Örneğin:
- 40 çalışanı olan ancak 120 milyon TL bilanço toplamı bulunan bir şirket kayıt olmak zorundadır.
- 60 çalışanı olan ancak 80 milyon TL bilanço toplamı bulunan bir şirket de aynı şekilde kayıt olmak zorundadır.
Bu hesaplama, kuruluşun ticaret sicilindeki türüne (şahıs işletmesi, limited, anonim) göre değişmez. Noterler, avukatlar, serbest muhasebeci mali müşavirler ve yeminli mali müşavirler, gümrük müşavirleri ve arabulucular ise Kurul kararıyla sicile kayıttan muaf tutulmuştur. Kuruluşlar bu eşikleri takip etmek için muhasebe ve insan kaynakları verilerini yıl başında gözden geçirmeli; eşik aşıldığında yükümlülüğün doğduğu tarihten itibaren 30 gün içinde VERBİS'e kayıt olunmalıdır.
Ana Faaliyeti Özel Nitelikli Veri İşlemek Olmayan Kuruluşlar İçin İstisnalar Nelerdir?
2026 VERBİS kayıt istisnaları, ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan veri sorumluları için geçerlidir. KVKK'nın 6. maddesinde tanımlanan özel nitelikli kişisel veriler şunlardır:
- Irk ve etnik köken
- Siyasi düşünce, felsefi inanç, din, mezhep veya diğer inançlar
- Kılık ve kıyafet
- Dernek, vakıf veya sendika üyeliği
- Sağlık ve cinsel hayat
- Ceza mahkûmiyeti ve güvenlik tedbirleri
- Biyometrik ve genetik veriler
Bir kuruluşun ana faaliyet alanı bu veri kategorilerini sistematik olarak işlemiyorsa (perakende satış, yazılım geliştirme, lojistik, imalat, danışmanlık gibi sektörler), 50 çalışan ve 100 milyon TL eşikleri aranır. Bu kuruluşlar her iki eşiğin de altında kalırsa VERBİS kayıt yükümlülüğünden muaf tutulur.
Ancak "ana faaliyet" kavramı Kurul tarafından dar yorumlanmaktadır ve sınırı her zaman net değildir; çalışan sağlık verileri veya biyometrik giriş sistemleri gibi yan faaliyetlerde işlenen özel nitelikli veriler, kuruluşun kapsam değerlendirmesinde mutlaka dikkate alınmalıdır. Bu nedenle kuruluşlar veri envanteri çıkarıp hangi veri kategorilerini işlediklerini tespit etmeli ve "ana faaliyet" değerlendirmesini hukuki danışmanlıkla netleştirmelidir.
Veri envanterinin "işleme ortamı" ve "teknik tedbir" alanları için önce hangi bilgisayarda hangi yazılımın çalıştığını ve cihazın kimde olduğunu bilmek gerekir. Arin Agent bu cihaz envanterini Excel yerine otomatik toplar ve panelden dışa aktarır; ayrıntılar için bilgisayar envanter programı sayfasına göz atabilirsiniz.
Sağlık Kuruluşları ve Eşikten Bağımsız Kayıt Zorunlu Olan Kurumlar Hangileridir?
Sağlık kuruluşları, çalışan sayısı ve mali bilanço eşiklerinden tamamen bağımsız olarak 2026 yılında da VERBİS'e kayıt olmak zorundadır. Bu kapsamda hastaneler, tıp merkezleri, diş klinikleri, laboratuvarlar, eczaneler, kan merkezleri, ilaç depoları, sağlık sigortası işleten kurumlar ve sağlık verisi işleyen tüm özel ve kamu kuruluşları yer alır. KVKK'da sağlık verisi özel nitelikli veri olarak sınıflandırıldığı için, bu veriyi ana faaliyet olarak işleyen her veri sorumlusu eşik değerlerine bakılmaksızın kayıt yükümlülüğü altındadır.
Eşikten bağımsız kayıt zorunlu olan diğer gruplar şunlardır:
- Yurt dışında yerleşik veri sorumluları (Türkiye'de bir veri sorumlusu temsilcisi atayarak kayıt olur)
- Kamu kurum ve kuruluşları
Bankalar, telekomünikasyon şirketleri veya ana faaliyeti sağlık verisi işlemek olmayan sigorta şirketleri ise sektörel bir kural nedeniyle değil, çalışan sayısı ve bilanço eşiklerini aştıkları için kayıt olur. Bu nedenle sağlık kuruluşları, yurt dışında yerleşik veri sorumluları ve kamu kurumları eşik hesaplaması yapmadan doğrudan kayıt sürecini başlatmalı ve veri işleme faaliyetlerini VERBİS'e bildirmelidir; diğer kuruluşlar ise önce eşik değerlendirmesini tamamlamalıdır.
VERBİS Kayıt Süreci ve Gerekli Belgeler Nelerdir?
VERBİS kayıt süreci; veri sorumlusunun kimlik doğrulaması, irtibat kişisi ataması, veri envanterinin hazırlanması ve sistem üzerinden bildirim adımlarından oluşur. Süreç sırasıyla şöyle ilerler:
- Yönetici girişi başvurusu: Veri sorumlusu, VERBİS üzerinden "Veri Sorumlusu Yönetici Girişi" başvurusu yapar.
- Kullanıcı bilgileriyle giriş: Kurum'un ilettiği kullanıcı adı ve parola ile sisteme giriş yapılır.
- İrtibat kişisi atanması: Kurum ile iletişimi sağlayacak irtibat kişisi (Türkiye'de yerleşik bir gerçek kişi) sistem üzerinden atanır.
- Bildirimin girilmesi: İrtibat kişisi e-Devlet ile VERBİS'e girerek işlenen veri kategorilerini, işleme amaçlarını, alıcı gruplarını, saklama sürelerini ve alınan teknik ve idari tedbirleri bildirir.
Bildirimin dayanağı, kuruluşun işlediği tüm kişisel veri kategorilerini, işleme amaçlarını, hukuki dayanakları, ilgili kişi gruplarını, aktarım alıcılarını, saklama sürelerini ve tedbirleri içeren kişisel veri işleme envanteridir. Bu envanter, KVKK'nın 12. maddesi uyarınca veri güvenliği politikası, veri ihlali müdahale prosedürü ile saklama ve imha politikası belgeleriyle desteklenmelidir. VERBİS'e dosya yüklenmez; bildirim, sistemdeki web formları üzerinden girilir. Kayıt tamamlandığında veri sorumlusunun sicil bilgileri VERBİS'in kamuya açık sorgu ekranından doğrulanabilir; müşteriler ve iş ortakları kaydı bu ekrandan görebilir.
Sicildeki bilgilerde değişiklik olduğunda (yeni veri kategorisi, yeni alıcı grubu, tedbir güncellemesi, irtibat kişisi değişimi) değişiklik 7 gün içinde VERBİS'e bildirilmelidir. Envanterin cihaz ayağı (hangi cihaz kimde, hangi yazılımlar yüklü, hangi USB ve yazıcı politikası yürürlükte) merkezi bir cihaz yönetimi panelinde otomatik güncel tutulduğunda, VERBİS bildirimindeki teknik tedbir alanı tahmine değil kayda dayanır.
Kayıt Olmaması Halinde Uygulanacak Cezalar ve Yaptırımlar Nelerdir?
2026 yılında VERBİS kayıt zorunluluğu olduğu halde kayıt olmayan veri sorumluları, KVKK'nın 18. maddesi çerçevesinde idari para cezasına tabi tutulur. Sicile kayıt ve bildirim yükümlülüğüne aykırılık için m.18/1-ç uyarınca öngörülen ceza her yıl yeniden değerleme oranıyla güncellenir ve üst sınırı milyonlarca TL'ye ulaşır; güncel tutar için Kurum'un yıl başında yayımladığı duyuru esas alınmalıdır. Ceza; işlenen verinin niteliğine (özel nitelikli/genel), ihlalin süresine ve ağırlığına göre Kurul tarafından takdir edilir. Kamu kurum ve kuruluşlarına idari para cezası uygulanmaz; sorumlu personel hakkında disiplin hükümleri işler (m.18/3).
Kurul, kayıt yükümlülüğünü yerine getirmeyen veri sorumlusuna ihlali gidermesi için süre verebilir; bu süre içinde de kayıt yapılmazsa ceza kesinleşir. İdari para cezasının ödenmemesi halinde icra takibi ve gecikme zammı devreye girer. Kurumsal itibar kaybı, kamu ihalelerinde elenme riski ve müşteri güveninin sarsılması da dolaylı sonuçlar arasındadır.
Bu riskleri önlemek için kuruluşlar yıl başında eşik kontrolü yapmalı ve yükümlülük doğduğu tarihten itibaren 30 gün içinde kayıt olmalıdır. Denetimde "hangi cihazda hangi tedbir vardı" sorusuna Arin Agent'ın cihaz envanteri ve uyum raporlarıyla belgeyle cevap verilir.
VERBİS Eşikleri Son Yıllarda Değişti mi?
Sicil 2018'de 50 çalışan ve 25 milyon TL mali bilanço eşiğiyle başladı. Mali bilanço eşiği, Kurul'un 06.07.2023 tarihli ve 2023/1154 sayılı kararıyla 100 milyon TL'ye çıkarıldı; çalışan sayısı eşiği ise 50 olarak korundu. 2026 yılı için de çalışan eşiği 50, bilanço eşiği 100 milyon TL olarak geçerliliğini korumaktadır; 2026'ya özgü yeni bir eşik değişikliği bulunmamaktadır.
Eşik altına düşen veri sorumlusunun kayıt yükümlülüğü sona erer; bu durumda Kurul'a başvurarak sicilden silinme talep edilebilir. Kuruluşlar her yıl başında bir önceki yılın çalışan sayısını ve bilanço toplamını güncel eşiklerle karşılaştırmalı ve Kurum duyurularını kontrol etmelidir.
VERBİS Kaydı Sonrası Süreklilik ve Güncelleme Yükümlülükleri Nelerdir?
VERBİS kaydı tek seferlik bir işlem değildir; veri sorumlusu kayıt yaptıktan sonra da sürekli güncelleme yükümlülüğü altındadır. Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca sicildeki bilgilerde değişiklik olduğunda güncelleme 7 gün içinde VERBİS üzerinden bildirilir. Güncelleme gerektiren başlıca durumlar şunlardır:
- Veri işleme faaliyetlerinde değişiklik (yeni uygulama, yeni veri kategorisi, yeni alıcı grubu)
- Güvenlik tedbirlerinde güncelleme (şifreleme standardı değişimi, erişim kontrolü revizyonu)
- İrtibat kişisi veya iletişim bilgilerinde değişiklik
Yıllık mali bilanço ve çalışan sayısı değiştiğinde eşik durumu yeniden değerlendirilir; eşik altına düşüldüğünde yükümlülük sona erer ve sicilden silinme talep edilebilir. Veri ihlali gerçekleştiğinde, ihlalin öğrenildiği andan itibaren 72 saat içinde Kurul'a, ilgili kişilere ise makul en kısa sürede bildirim yapılır; güncel bir envantere sahip veri sorumluları için bu süreç çok daha yönetilebilirdir.
Kuruluşlar yılın belirli dönemlerinde (örneğin Ocak ve Temmuz) iç denetim yaparak VERBİS bilgilerinin güncelliğini kontrol etmeli, veri envanteri ile fiili işleme faaliyetlerinin uyumunu test etmelidir. Arin Agent, cihaz bazlı politika dağıtımı ve uyum raporlamasıyla bu periyodik denetimleri kolaylaştırır; böylece veri sorumlusu her an "denetime hazır" durumda kalır. Aydınlatma metni, saklama süresi yönetimi ve ihlal müdahale akışı için KVKK & 5651 uyumu özelliğine göz atabilirsiniz.
Sık sorulan sorular
Yıllık çalışan sayısı 50'yi veya mali bilanço toplamı 100 milyon TL'yi aşan veri sorumluları ile ana faaliyeti özel nitelikli veri işlemek olanlar, yurt dışında yerleşik veri sorumluları ve kamu kurumları kayıt olmak zorundadır. Noterler, avukatlar, mali müşavirler, gümrük müşavirleri ve arabulucular ise Kurul kararıyla muaftır.
Evet. Sağlık verisi özel nitelikli veri olduğundan, bu veriyi ana faaliyet olarak işleyen hastane, klinik, laboratuvar ve eczane gibi kuruluşlar çalışan ve bilanço eşiğinden bağımsız olarak kayıt yapmalıdır.
Kimlik ve irtibat kişisi bilgileri, veri işleme amaçları, veri kategorileri, ilgili kişi ve alıcı grupları, saklama süreleri ve alınan teknik-idari tedbirler VERBİS web formları üzerinden bildirilir. Sicildeki bilgiler değişirse değişiklik 7 gün içinde bildirilmelidir; ilk kayıt için süre yükümlülüğün doğduğu tarihten itibaren 30 gündür.
İlgili yazılar
Arin Agent'ı canlı görmek ister misiniz?
KVKK ve 5651 uyumlu kurumsal cihaz yönetimi için ücretsiz demo talep edin. 15 dakikada cihazlarınızı keşfedin.
Demo Talep Et