Kişisel Verileri Koruma Kurumu, resmi gazetenin yürürlüğe girmesinin ardından kişisel verileri işleyen ve aktaran kuruluşlara, şirketlere ve şahıs firmalarına yönelik bazı kanuni yükümlülükler getirmiştir. Bu yükümlülüklerin başında ise VERBİS yani Veri Sorumluları Sicil Bilgi Sistemi gelir. Kişisel Verileri Koruma Kanunu’na göre kişisel verileri işleyen kurum ve kuruluşların, kişisel verileri işlemeye başlamadan önce VERBİS’e başvuru yapması kanuni bir zorunluluktur.
Bu kapsamda, ilgili gerçek ve tüzel kişilerin veri işleme konularıyla ilgili bilgileri alan bazında VERBİS sistemine beyan etme zorunluluğu bulunur. Veri Sorumluları Sicil Bilgi SİSTEMİ, gerçek ve tüzel kişilerin veri sorumlularının kimler olduğunu açıklamanın akabinde kişisel verilerin korunması amacıyla nasıl bir yol haritası izleneceğini ve hangi yöntemlerin kullanılacağını sisteme tanımlar.
İçindekiler
VERBİS Sistemi Nedir?
6698 sayılı Kişisel Verilerin Korunması Kanununun 16. maddesinde belirtildiği üzere; kişisel veri işleyen veri sorumluları, veri işlemeye başlamadan önce VERBİS’e yani Veri Sorumluları Sicil Bilgi Sistemi’ne kayıt olmalıdır.
Bu kapsamda VERBİS sistemi; kişisel verileri işleyen gerçek ve tüzel kişilerin, kişisel verileri işlemeye başlamadan önce kayıt olması gereken ve işledikleri kişisel verilerle ilgili kategorik bazda bilgi girişi yaptıkları kayıt sistemi olarak tanımlanabilir.
VERBİS Kayıt Zorunluluğu Süresi
6698 sayılı Kişisel Verilerin Korunması Kanunu’na (KVKK) 2023 yılı verilerine göre belirlenen şartları taşıyan kuruluşların, veri sorumlularının VERBİS kayıt süresi 30.05.2024 tarihinde sona ermiştir. 2023 verilerine göre VERBİS kayıt şartları şu şekilde sıralanabilir:
- 2023 yılı 12 ayının 7 ayında çalışan sayısının 50’den fazla olması hâlinde 30.01.2024 tarihinde,
- 2023 yılı mali bilanço toplamı 100 milyon TL’nin üzerinde olan işletmelerle yurt dışında yerleşik gerçek ve tüzel kişi veri sorumlularının kayıt yükümlülüğü 30.05.2024 tarihinde dolmuştur.
Çalışan Sayısının Tespiti
- Yıllık çalışan sayısının hesaplanması için öncelikle tamamlanmış 1 sene olması ve tamamlanmış olan yıl içindeki 12 aydan en az 7’sinin her birinde veri sorumlusu tarafından yetkili kamu kurum ve kuruluşlarına aylık verilen Muhtasar ve Prim Hizmet Beyannamesinde bildirilmiş çalışan sayısının göz önünde bulundurulması gerekir.
- Söz konusu 7 ayın, aynı sene içinde olmak kaydıyla ardışık olması zorunlu olmamaktadır.
- Dernek, vakıf ya da sendikaya ait iktisadi işletmenin sicile kayıt şartlarından biri olan yıllık 50 çalışan sayısının tespiti aşamasında tamamlanmış olan bir önceki yılın kayıtları temel alınır. Yeni kurulan iktisadi işletmelerin yıllık çalışan sayısını tespit etmek için ise o yılın bitmesi ve biten yılın rakamlarına göre işlem yapılması söz konusudur.
- Bir veri sorulmuş 2023 yılı içinde SGK’ya verdiği Muhtasar ve Prim Hizmet Beyannamelerinin en az 7’sinin her birinde 50’den fazla personel sayısı beyan ettiği takdirde kayıt yükümlülüğü 31.01.2024 tarihinde başlar.
Mali Bilanço Toplamının Tespiti
- Yıllık mali bilanço toplamının hesaplanması için öncelikle tamamlanmış bir sene olmalı, tamamlanmış sene içinde veri sorumlusunun yetkili kamu kurumuna senelik olarak verdiği gelir ya da kurumlar vergisi beyannamesi ekindeki mali tablolarda bulunan mali bilanço bilgisinin dikkate alınması gerekir.
- Buna bağlı olarak 2023 yılı veri sorumlusunun beyannamesi ekindeki bilançoda bulunan “Akitf” bölümündeki toplam rakam 100 milyon TLWnin üzerindeyse 30.05.2023 tarihine kadar VERBİS’e kayıt zorunluluğu vardır.
VERBİS’e Kayıt Zorunluluğu ve Şekli
- 30.12.2017 tarih ve 30286 sayılı Resmi Gazete’de yayımlanarak yürürlüğe giren Veri Sorumluları Sicili Hakkında Yönetmeliğin 8. maddesi gereği veri sorumlularının, kişisel veri işlemeye başlamadan önce Sicile kayıt yükümlülüğünü yerine getirmesi zorunluluğu vardır.
- Önceki hâl ve durumuna göre kayıt yükümlülüğü altında olmayan ancak sonradan kayıt yükümlüsü hâline gelen veri sorumlularının yükümlülük altına girmesini takip eden 30 gün içinde Sicile kayıt zorunluluğu vardır.
- Kayıt yükümlülüğü altındaki veri sorumluları; herhangi bir fiil, teknik ya da hukuki imkânsızlık dolayısıyla kayıt yükümlülüklerinin yerine getirilememesi durumunda bu imkânsızlığın ortaya çıktığı tarihi takip eden en geç 7 iş günü içinde Kuruma yazılı olarak başvurabilir ve gerekçesini belirtmek kaydıyla kayıt yükümlülüklerini yerine getirmek üzere Kurumdan ek süre talep edebilir.
- Kişisel Verileri Koruma Kurumu bahse konu talep sahiplerine bir defaya mahsus olmak ve her durumda 30 günü aşmamak suretiyle ek süre sunabilir.
VERBİS Kaydı Sırasında Hangi Bilgiler Talep Edilir?
KVK Kanunu ve VERBİS için gerçek ve tüzel kişilerden talep edilen bilgiler aşağıda sıralanmıştır:
- İşletmelerin ve varsa temsilcilerinin kimlik ve adres bilgileri
- Kişisel verilerin hangi amaçlarla işleneceğine ilişkin bilgi
- Kişisel verilerin konusu, kişi grubu ve gruplarıyla bu şahıslara ait veri kategorilerine ilişkin açıklamalar
- Kişisel verilerin aktarılacağı alıcılar ya da alıcı grupları
- Yabancı ülkelere aktarımı gerçekleştirilen kişisel veriler
- Kişisel veri güvenliğine dair alınan teknik tedbirler
- Kişisel verilerin işlenme amacı ve gerekli olan maksimum süre
VERBİS’e Kayıt Zorunluluğu İstisnaları Nelerdir?
- Kişisel verilerin, üçüncü kişilere verilmemek ve veri güvenliği ile ilgili sorumluluklara uymak koşuluyla gerçek kişiler tarafından tamamen kendisiyle ya da aynı hanede ikamet eden aile bireyleriyle ilgili faaliyetler kapsamında işlenmesi
- Kişisel verilerin resmi bir istatistik ile anonim hale getirilip araştırma, planlama ve istatistik gibi amaçlarla işlenmesi
- Kişisel verilerin milli güvenliği, milli savunmayı, kamu düzenini, kamu güvenliğini, özel hayatın gizliliğini, ekonomik güvenliği veya kişilik haklarına zarar vermemek ya da suç oluşturmamak şartıyla; sanat, edebiyat, tarih ya da bilimsel amaçlarla veya ifade özgürlüğü kapsamında işlenmesi
- Kişisel verilerin kovuşturma, soruşturma, yargılama ve infaz işlemleriyle ilgili olarak yargı ya da infaz mercileri tarafından işlenmesi
- Kişisel veri işlemenin suç işlenmesinin önlenmesi veya soruşturması için gerekli olması
- İlgili kişi tarafından alenileştirilmiş olan kişisel verilerin işlenmesi.