VERBİS Kaydı Zorunlu mu? 2026 Yeni Eşikleri ve Muafiyetler

Yazarlar: Av. Mert Güneş & Av. Melis Güneş — Güneş Partners kurucu ortakları Son güncelleme: Mayıs 2026

TL;DR — Bu Yazının Özeti

• VERBİS kaydı kural olarak zorunludur; ancak Kurul kararlarıyla belirli eşikler altındaki veri sorumluları muaf tutulmuştur.
• 2025/1572 sayılı Kurul Kararı (1 Ekim 2025'te yürürlük) ile muafiyet kapsamı genişledi: ana faaliyet konusu özel nitelikli veri işleme olan küçük işletmeler (10'dan az çalışan + 10 milyon TL altı bilanço) artık muaf.
• Genel muafiyet eşiği değişmedi: 50'den az çalışan + 100 milyon TL altı bilanço (özel nitelikli veri işlemeyenler için).
• VERBİS'ten muaf olmak, KVKK'nın diğer yükümlülüklerini kaldırmaz; aydınlatma, veri güvenliği ve saklama-imha yükümlülükleri devam eder.
• Kayıt yükümlülüğü doğduğunda 30 gün içinde kayıt tamamlanmalıdır; aksi halde 341.809 TL ile 17.092.242 TL arasında ceza riski vardır.
• Yıllık çalışan sayısı hesabında Muhtasar ve Prim Hizmet Beyannamesi'nde bildirilen sayının 12 ayın en az 7'sinde eşiği aşması ölçüt alınır.

VERBİS Nedir?

VERBİS (Veri Sorumluları Sicil Bilgi Sistemi), KVKK kapsamında kişisel veri işleyen kuruluşların Kişisel Verileri Koruma Kurumu'na kayıt yaptırdığı ulusal sicildir. KVKK'nın 16. maddesi bu sicili düzenler ve kural olarak tüm veri sorumlularının veri işlemeye başlamadan önce VERBİS'e kayıt yaptırmasını zorunlu kılar.

VERBİS nedir? Kişisel veri işleyen gerçek ve tüzel kişilerin Kişisel Verileri Koruma Kurumu'na kayıt olmak zorunda olduğu ulusal sicil sistemidir. verbis.kvkk.gov.tr üzerinden çevrimiçi erişilir.

Ancak kanunun aynı maddesi Kurul'a istisna belirleme yetkisi vermiştir. Kurul bu yetkisini 2018'den itibaren çeşitli kararlarla kullanarak belirli eşikler altındaki veri sorumlularını muaf tutmuştur.

2026'da VERBİS Kaydı Kime Zorunlu, Kime Değil?

Kurul'un 2025/1572 sayılı kararıyla güncellenen muafiyet yapısı, iki ana gruba göre işler.

Grup 1: Genel Veri Sorumluları (Ana Faaliyeti Özel Nitelikli Veri İşleme Olmayanlar)

Bu grupta muafiyet eşiği 2018'den bu yana yapısal olarak aynıdır; yalnızca bilanço sınırı 2023'te güncellendi.

Dikkat edilmesi gereken nokta: iki kriterden birinin aşılması yeterlidir. 15 çalışanınız var ama bilançonuz 120 milyon TL'yi aştıysa kayıt zorunludur. Ya da bilançonuz 30 milyon TL ama çalışan sayınız 55 ise yine kayıt zorunludur.

Grup 2: Ana Faaliyeti Özel Nitelikli Kişisel Veri İşleme Olan Veri Sorumluları

İşte 2025/1572 sayılı kararın getirdiği asıl yenilik bu gruptadır.

Değişiklik öncesi: Ana faaliyet konusu özel nitelikli veri işleme olan veri sorumluları (eczaneler, muayenehaneler, laboratuvarlar, psikologlar, diyetisyenler vb.) çalışan sayısı ve bilanço büyüklüğüne bakılmaksızın VERBİS'e kayıt olmak zorundaydı.

Değişiklik sonrası (1 Ekim 2025 itibarıyla):

Bu değişiklikle birlikte, küçük ölçekli muayenehaneler, tek başına çalışan eczacılar, bağımsız psikologlar ve diyetisyenler VERBİS kayıt yükümlülüğünden istisna tutuldu.

"Ana Faaliyet Konusu Özel Nitelikli Veri İşleme" Ne Demek?

Bu ifadenin kanunda net bir tanımı yoktur. Kurul uygulaması ve sektördeki genel kabule göre, bir işletmenin varlık sebebi ve temel hizmet sunumunun doğası gereği özel nitelikli kişisel verilerin işlenmesine dayanması halinde bu koşul sağlanmış kabul edilir.

Özel nitelikli veri işleme ana faaliyeti olan sektörler: hastaneler, klinikler, muayenehaneler, eczaneler, tıbbi laboratuvarlar, psikologlar ve psikyatristler, diyetisyenler ve beslenme uzmanları, genetik analiz şirketleri, biyometrik güvenlik firmaları.

Ana faaliyeti özel nitelikli veri işleme olmayan sektörler: perakende mağazalar (çalışan sağlık verisi işlemek ana faaliyet değildir), yazılım şirketleri, inşaat firmaları, lojistik şirketleri, eğitim kurumları (sınırlı sağlık verisi tutsa da ana faaliyeti eğitimdir).

Çalışan Sayısı ve Bilanço Nasıl Hesaplanır?

Kurul'un 2025/2393 sayılı kararıyla (25 Aralık 2025) bu hesaplama yöntemi netleştirildi.

Yıllık Çalışan Sayısı

Muhtasar ve Prim Hizmet Beyannamesi'nde bildirilen çalışan sayısı esas alınır. Tamamlanmış bir yılda 12 ayın en az 7'sinde ilgili eşiğin (50 veya 10) aşılıp aşılmadığına bakılır.

Yani bir ayda 52 çalışanınız olup sonraki aylarda 48'e düşmesi, tek başına kayıt yükümlülüğü doğurmaz. Ancak yılın 7 veya daha fazla ayında 50'nin üzerinde çalışan bildirdiyseniz yükümlüsünüz.

Yıllık Mali Bilanço Toplamı

Bilanço usulüne göre defter tutanlar: Gelir veya kurumlar vergisi beyannamesi ekindeki bilançoda yer alan aktif toplam (toplam varlıklar) dikkate alınır. Ciro veya geçici vergi dönemleri değil, yıl sonu bilançosu esas alınır.

Bilanço usulüne göre defter tutmayanlar: İşletme hesabı esasına göre defter tutan veri sorumluları (örneğin serbest meslek erbapları, küçük esnaflar) bilanço bilgisine sahip değildir. Kurul'un 2025/2393 sayılı kararına göre bu grup için yalnızca çalışan sayısı kriteri uygulanır.

Bu ayrım pratikte şu sonucu doğurur: işletme hesabı esasına göre defter tutan bir eczacının çalışan sayısı 10'dan azsa, bilançosuna bakılmaksızın VERBİS'ten muaftır.

Kayıt Süreci Nasıl İşler?

VERBİS kaydı tamamen çevrimiçi olarak verbis.kvkk.gov.tr üzerinden yapılır. Süreç şöyle ilerler.

Adım 1: İrtibat Kişisi Atanması

Her veri sorumlusu, VERBİS üzerinden Kurul ile iletişimi sağlayacak bir irtibat kişisi atamak zorundadır. Tüzel kişilerde irtibat kişisi şirket çalışanı veya yetkilisi olmalıdır; bizzat şirketin kendisi irtibat kişisi olamaz. Gerçek kişi veri sorumlularında ise kendisi irtibat kişisi olarak atanabilir.

Adım 2: Sisteme Giriş ve Bilgi Girişi

e-Devlet kimlik doğrulaması veya e-imza ile sisteme giriş yapılır. Ardından şu bilgiler girilir: veri sorumlusunun kimlik ve iletişim bilgileri, veri işleme amaçları (hangi kategoride, hangi amaçla veri işlendiği), işlenen kişisel veri kategorileri (müşteri verileri, çalışan verileri vb.), verilerin aktarıldığı alıcı grupları, yurt dışı aktarım yapılıp yapılmadığı, veri saklama süreleri ve alınan teknik ve idari güvenlik tedbirleri.

Adım 3: Beyan ve Onay

Girilen bilgiler gözden geçirilir ve beyan edilir. VERBİS kaydı ücretsizdir; herhangi bir harç veya ücret ödenmez.

Adım 4: Güncelleme Yükümlülüğü

VERBİS'e girilen bilgilerde değişiklik olduğunda 7 gün içinde sistem güncellenmek zorundadır. Yeni bir veri kategorisi işlemeye başlamak, yeni bir alıcı grubuna aktarım yapmak veya saklama sürelerini değiştirmek güncelleme gerektiren durumlar arasındadır.

Kayıt Süresini Kaçırırsam Ne Olur?

Kayıt yükümlülüğünün doğduğu tarihten (örneğin bilanço eşiğini aşan kurumlar vergisi beyannamesinin verilmesinden) itibaren 30 gün içinde kayıt tamamlanmalıdır.

Bu süre içinde kayıt yapılmaması halinde KVKK m. 18/1-ç uyarınca idari para cezası uygulanır.

Kurul, ceza miktarını belirlerken şirketin mali bilanço büyüklüğünü esas alan bir algoritma tablosu kullanmaktadır. Bilançosu büyük olan şirketlere üst sınıra yakın cezalar uygulanırken, küçük ölçekli şirketlere alt sınıra yakın tutarlar belirlenmektedir.

VERBİS Kaydında En Sık Yapılan 5 Hata

Hata 1: "Muafız, Bir Şey Yapmamıza Gerek Yok"

VERBİS muafiyetini KVKK'nın tamamından muafiyet olarak algılamak en yaygın ve en tehlikeli hatadır. Muafiyet yalnızca sicile kayıt ve bildirim yükümlülüğünü kapsar. Aydınlatma metni hazırlamak, veri güvenliği tedbirleri almak, veri ihlalini bildirmek ve ilgili kişi başvurularını cevaplamak gibi yükümlülükler VERBİS'ten bağımsız olarak tüm veri sorumlularını bağlar.

Hata 2: Kayıt Yaptırıp Güncellememek

Pek çok şirket ilk kaydı yaptırır ama sonrasında bilgileri güncellemez. Yeni bir yazılım almak, yeni bir veri kategorisi işlemeye başlamak veya yurt dışı aktarım yapmak güncelleme gerektirir. 7 gün içinde güncelleme yapılmaması ayrı bir ihlal kategorisidir.

Hata 3: Eşikleri Yanlış Hesaplamak

Çalışan sayısında stajyerler, yarı zamanlı çalışanlar veya taşeron çalışanlar konusunda tereddütler yaşanır. Kurul uygulamasına göre SGK'ya bildirilen tüm çalışanlar sayıya dahildir. Taşeron çalışanlar ise taşeron şirketin çalışanı sayılır; ancak bu konuda dikkatli analiz gerekir.

Hata 4: İrtibat Kişisini Atamamak veya Güncel Tutmamak

İrtibat kişisi bilgileri güncel değilse Kurul'un tebligatları şirkete ulaşmaz; bu durum savunma hakkının kaybına yol açabilir. İrtibat kişisi ayrılan çalışansa derhal güncelleme yapılmalıdır.

Hata 5: VERBİS Kaydını DPA Yerine Saymak

VERBİS kaydı, veri işleyenlerle yapılması gereken veri işleme sözleşmesinin (DPA) yerini tutmaz. İki yükümlülük birbirinden bağımsızdır. VERBİS kaydınız eksiksiz olsa bile üçüncü taraf yazılım ve hizmet sağlayıcılarıyla ayrı ayrı sözleşme yapmanız gerekir.

Sonuç

VERBİS kaydı, KVKK uyumunun en somut ve en görünür adımlarından biridir. 2025/1572 sayılı Kurul Kararı ile muafiyet kapsamı genişlemiş olsa da bu genişleme yalnızca küçük ölçekli özel nitelikli veri işleyenleri ilgilendirmektedir. Genel veri sorumluları için eşikler (50 çalışan / 100 milyon TL bilanço) aynı kalmaya devam etmektedir.

En kritik nokta şudur: VERBİS muafiyeti, KVKK'nın bütünü için kalkan değildir. Aydınlatma yükümlülüğü, veri güvenliği tedbirleri, saklama-imha politikaları ve ilgili kişi başvurularına cevap verme yükümlülüğü, VERBİS kaydından tamamen bağımsız olarak tüm veri sorumlularını bağlar.

Güneş Partners olarak VERBİS kayıt süreçlerinde, muafiyet analizinde ve KVKK uyumunun tüm aşamalarında şirketlere hukuki destek sağlıyoruz. Kayıt yükümlülüğünüzü değerlendirmek için bizimle iletişime geçebilirsiniz.

Bu İçerik Hakkında

Bu içerik, Güneş Partners kurucu ortakları Av. Mert Güneş ve Av. Melis Güneş tarafından, 6698 sayılı Kişisel Verilerin Korunması Kanunu m. 16, Kişisel Verileri Koruma Kurulu'nun 2018/87, 2023/1154, 2025/1572 ve 2025/2393 sayılı kararları ve KVKK Kurumu resmi kamuoyu duyuruları temelinde hazırlanmıştır. VERBİS ve KVKK uyum süreçlerinde profesyonel destek için gunespartners.com adresini ziyaret edebilirsiniz.