2026 VERBİS Kayıt Zorunluluğu ve İşletmeler İçin KVKK Uyumu
2026'da VERBİS kaydı kimler için zorunlu? Güncel istisna eşiği (50 çalışan / 100 milyon TL bilanço), 7 günlük güncelleme süresi, güncel idari para cezası ve kayıt adımları.
VERBİS nedir?
VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun (KVKK) 16. maddesi uyarınca kurulan ve Kişisel Verileri Koruma Kurumu (Kurum) tarafından işletilen kamuya açık sicildir. Veri sorumluları kişisel veri işlemeye başlamadan önce bu sicile kaydolur ve işleme faaliyetlerine ilişkin temel bilgileri beyan eder. Amaç, veri işlemeyi şeffaf hale getirmek ve Kurul'un denetim mekanizmasını güçlendirmektir.
Türkiye'de yerleşik veri sorumluları ile Türkiye'de yerleşik olmadığı halde Türkiye'deki kişilerin verilerini işleyen gerçek ve tüzel kişiler, Kurul kararlarıyla belirlenen istisnalar dışında VERBİS'e kayıt olmak zorundadır. VERBİS kaydı, veri sorumlusunun yasal yükümlülüklerini yerine getirdiğini gösteren resmi kayıttır.
VERBİS bildirimi, işletmenin hangi veriyi hangi amaçla, hangi cihaz ve sistemlerde işlediğini bilmesine dayanır; bu yüzden güncel bir cihaz ve varlık envanteri VERBİS'in ön koşuludur.
2026 yılında VERBİS kayıt zorunluluğu kimleri kapsar?
2026 yılında VERBİS için yeni bir yükümlülük veya son tarih yoktur; genel kayıt süreleri 31 Aralık 2021'de dolmuştur. Belirleyici soru, işletmenizin güncel eşiklere göre kapsamda olup olmadığıdır.
Güncel eşik, Kurul'un 2023/1154 sayılı kararıyla belirlenmiştir; bu kararla yıllık mali bilanço eşiği 25 milyon TL'den 100 milyon TL'ye yükseltilmiş, böylece kapsam genişlememiş, daralmıştır. Çalışan sayısı ve bilanço eşiğinin her ikisinin de altında kalan işletmeler, ana faaliyet konusu özel nitelikli kişisel veri işleme değilse kayıttan muaftır. Eşiği aşan veya istisna şartını kaybeden işletme, bu durumun oluştuğu tarihten itibaren 30 gün içinde kayıt yaptırmalıdır.
Kurul kararlarıyla noterler, avukatlar, SMMM ve YMM'ler, gümrük müşavirleri, arabulucular, siyasi partiler ile kanuni faaliyetleri kapsamında veri işleyen dernek, vakıf ve sendikalar kayıttan muaftır. Özetle, 2026'da VERBİS kaydı şu veri sorumluları için zorunludur:
- Yıllık çalışan sayısı 50 ve üzeri olanlar
- Yıllık mali bilanço toplamı 100 milyon TL'nin üzerinde olanlar
- Büyüklüğünden bağımsız olarak ana faaliyet konusu özel nitelikli kişisel veri (sağlık, biyometrik, ceza mahkûmiyeti vb.) işleme olanlar
- Yurt dışında yerleşik olup Türkiye'deki kişilerin verilerini işleyenler (Türkiye'de yerleşik bir veri sorumlusu temsilcisi aracılığıyla)
- Kamu kurum ve kuruluşları
VERBİS kayıt yükümlülükleri nelerdir?
VERBİS'e kayıt tek seferlik bir form değildir; şu yükümlülükleri birlikte içerir:
- Kişisel veri işleme envanteri hazırlamak. Veri Sorumluları Sicili Hakkında Yönetmelik uyarınca bildirim bu envantere dayanır; ikisi tutarlı olmalıdır.
- İrtibat kişisi atamak. Yurt içinde yerleşik veri sorumluları Kurum ile iletişimi sağlayacak bir irtibat kişisi, yurt dışında yerleşik olanlar Türkiye'de yerleşik bir veri sorumlusu temsilcisi belirler.
- Değişiklikleri 7 gün içinde bildirmek. Yönetmelik md. 13 uyarınca sicildeki bilgilerde meydana gelen her değişiklik 7 gün içinde güncellenir.
Ayrıca veri sorumlusu, ilgili kişi başvurularını karşılayacak prosedürleri kurmalı ve aydınlatma metinlerini VERBİS bildirimiyle tutarlı tutmalıdır.
Envanterin cihaz ayağı çoğu kurumda güncellenmeyen bir Excel listesidir; bildirim ile fiili durum tam burada ayrışır. Arin Agent, ağdaki Windows bilgisayarların donanım ve yazılım envanterini ve cihaz–kullanıcı (zimmet) eşleşmesini otomatik toplar; VERBİS ve ISO 27001 için gereken cihaz ve varlık listesi panelden dışa aktarılır. Veri kategorilerini sınıflandırmak hukuk çalışmasıdır; yazılım bunun yerine geçmez, envanterin cihaz tarafını güncel tutar.
Kayıt yapılmaması durumunda hangi cezalar uygulanır?
VERBİS'e kayıt ve bildirim yükümlülüğüne aykırılık, KVKK'nın 18. maddesinin birinci fıkrasının (ç) bendi uyarınca idari para cezası gerektirir. Tutarlar her yıl yeniden değerleme oranında artar: 2025 üst sınırı 13.620.402 TL idi; 2026 üst sınırı bu tutarın güncellenmesiyle yaklaşık 17,09 milyon TL'dir. Kesin tutar için Kurum'un 2026 duyurusu esas alınmalıdır. Ceza, veri sorumlusu olan gerçek kişiler ile özel hukuk tüzel kişileri için aynı aralıkta uygulanır; kamu kurum ve kuruluşlarında ise idari para cezası yerine ilgili personel hakkında disiplin hükümleri işletilir.
İdari para cezası, şikâyet üzerine veya resen yapılan inceleme sonucunda Kurul kararıyla verilir. Kurul, KVKK md. 15 uyarınca hukuka aykırılığın giderilmesine de karar verebilir; bu karara uyulmaması md. 18 kapsamında ayrı bir idari para cezası sebebidir.
VERBİS kayıt eksikliği 5651 sayılı Kanun kapsamında erişim engelleme kararı sebebi sayılmaz; ancak KVKK uyumsuzluğu ayrı bir yaptırım riskidir. İstisna şartını kaybeden işletme 30 gün içinde kayıt olmalı, her değişikliği 7 gün içinde bildirmeli ve eşik kontrolünü her yıl bilanço kesinleştiğinde tekrarlamalıdır.
VERBİS kayıt süreci nasıl işler?
Kayıt, verbis.kvkk.gov.tr üzerinden şu adımlarla yürütülür:
- Veri sorumlusu yönetici başvurusu. "Veri Sorumlusu Yönetici Girişi" üzerinden veri sorumlusu türü (yurt içi, yurt dışı, kamu) seçilir; unvan, vergi numarası, adres ve KEP adresi girilir.
- Kullanıcı bilgilerinin iletilmesi. Kurum, kullanıcı adı ve parolayı işletmenin KEP adresine veya kayıtlı posta adresine gönderir.
- İrtibat kişisi ataması. Veri sorumlusu, yönetici girişiyle Türkiye'de yerleşik bir gerçek kişiyi irtibat kişisi olarak atar; yurt dışında yerleşik veri sorumluları veri sorumlusu temsilcisini bildirir.
- Bildirimin doldurulması. İrtibat kişisi e-Devlet ile sisteme girer ve şu alanları doldurur:
- İşlenen kişisel veri kategorileri (özel nitelikli veriler dahil) ve işleme amaçları
- Veri konusu kişi grupları ve alıcı grupları
- Yurt dışı aktarım durumu ve azami saklama süreleri
- Alınan teknik ve idari tedbirler
- Bildirimin onaylanması. Bildirim onaylanır ve kayıt sicilde kamuya açık hale gelir. Sonraki her değişiklik 7 gün içinde güncellenir.
Bildirimdeki "teknik tedbirler" ve "saklama süresi" alanları, cihazlarda fiilen uygulanan politikayla örtüşmelidir. Arin Agent'ın KVKK & 5651 modülü çalışan aydınlatma metnini cihazda otomatik gösterip onayı kaydeder, kayıt ve raporların saklama sürelerini merkezi politikayla yönetir ve ihlal müdahale akışını panelde tanımlar; beyan ettiğiniz tedbirin uygulandığını denetimde belgeyle gösterirsiniz.
KVKK ve 5651 sayılı Kanun uyumu nasıl sağlanır?
KVKK ve 5651 sayılı Kanun farklı yükümlülükler getirir; ancak ikisi de aynı cihaz filosu üzerinden yönetilir. KVKK uyumu için kişisel veri işleme envanteri oluşturma, veri güvenliği risk analizi, aydınlatma metni hazırlama, açık rıza veya diğer hukuki sebebi belirleme, veri güvenliği politika ve prosedürleri, personel eğitimi, veri ihlali müdahale planı (ihlalin öğrenilmesinden itibaren 72 saat içinde Kurul'a bildirim) ve VERBİS kaydını güncel tutma süreçleri işletilmelidir.
5651 sayılı Kanun açısından çalışanlarına internet erişimi sağlayan işletmeler "toplu kullanım sağlayıcı" konumundadır; iç IP dağıtım kayıtlarını zaman damgalı ve bütünlüğü korunmuş biçimde tutmak ve mevzuatın öngördüğü süre boyunca saklamakla yükümlüdür. Yer ve erişim sağlayıcılar için ayrıca trafik bilgilerinin Kanun'daki süre (yer sağlayıcılar için 1 ila 2 yıl) boyunca saklanması, erişim engelleme kararlarının erişim sağlayıcı tarafından en geç 4 saat, içerik çıkarma kararlarının içerik ve yer sağlayıcı tarafından 24 saat içinde uygulanması ve mahkeme/BTK kararlarının icrası süreçleri gerekir. Arin Agent, toplu kullanım sağlayıcı kaydını ayrı bir log cihazı almadan, yönettiğiniz bilgisayarlar üzerinden üretir: 5651 loglama yazılımı.
5651'in saklama şartını erişim kaydı (loglama) karşılar. KVKK md. 12'deki "gerekli teknik ve idari tedbirler" yükümlülüğünün uç nokta ayağını ise güncel cihaz envanteri, USB ve yazıcı üzerinden veri çıkışının politikayla kontrolü ve merkezi uygulama/web engelleme kuralları oluşturur; her biri kayıt üretir ve kayıt, denetimde tedbirin kanıtıdır.
Arin Agent; cihaz envanteri ve zimmet, aydınlatma metni ve çalışan onayı kaydı, saklama süresi yönetimi, 5651 erişim kaydı ile USB/yazıcı ve politika kontrolünü tek panelde toplar; VERBİS bildiriminde beyan ettiğiniz tedbirlerin cihazda gerçekten uygulandığını denetimde tek ekrandan gösterirsiniz. Ayrıntı için KVKK & 5651 uyumu sayfasına bakabilir, demo talep edebilirsiniz.
Sık sorulan sorular
Yıllık çalışan sayısı 50 ve üzeri veya yıllık mali bilanço toplamı 100 milyon TL'nin üzerinde olan veri sorumluları ile büyüklüğünden bağımsız olarak ana faaliyet konusu özel nitelikli kişisel veri işleme olanlar ve yurt dışında yerleşik veri sorumluları VERBİS'e kayıt olmak zorundadır. 2026'da yeni bir yükümlülük veya son tarih yoktur; belirleyici olan bu eşiklerdir.
İstisna eşiği yıllık mali bilanço toplamı (bilanço aktif toplamı) üzerinden değerlendirilir; ciro veya satış hasılatı kriter değildir. 100 milyon TL eşiği Kurul'un 2023/1154 sayılı kararıyla belirlenmiştir ve eşiğin aşıldığı tarihten itibaren 30 gün içinde kayıt yaptırılmalıdır.
Kayıt ve bildirim yükümlülüğüne aykırılık KVKK md. 18 uyarınca idari para cezası gerektirir; üst sınır her yıl yeniden değerleme oranıyla artar (2025 için 13.620.402 TL). Kurul ayrıca hukuka aykırılığın giderilmesine karar verebilir; bu karara uyulmaması ayrı bir ceza sebebidir.
Evet. Türkiye'de yerleşik olmayan ancak Türkiye'deki kişilerin verilerini işleyen gerçek ve tüzel kişiler, çalışan sayısı ve bilanço eşiğinden bağımsız olarak, Türkiye'de yerleşik bir veri sorumlusu temsilcisi aracılığıyla VERBİS'e kayıt yaptırmakla yükümlüdür.
İlgili yazılar
Arin Agent'ı canlı görmek ister misiniz?
KVKK ve 5651 uyumlu kurumsal cihaz yönetimi için ücretsiz demo talep edin. 15 dakikada cihazlarınızı keşfedin.
Demo Talep Et