VERBİS Kaydı Kimler İçin Zorunlu?

VERBİS kaydı, kural olarak kişisel veri işleyen gerçek ve tüzel kişi veri sorumlularının yerine getirmesi gereken bir yükümlülüktür. Kişisel Verileri Koruma Kurulunun belirlediği istisna kriterlerinin altında kalan veri sorumluları ise Sicile kayıttan muaftır. Güncel kritere göre yıllık çalışan sayısı 50’den az, yıllık mali bilanço toplamı 100 milyon TL’den az olan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan veri sorumluları istisna kapsamındadır. Ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlularında ise eşik, yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’den az olmaktır.

Bu yazıda VERBİS kayıt zorunluluğunun yasal dayanağını, muafiyet kriterlerinin nasıl okunacağını, bilanço hesabında defter tutma usulünün etkisini, eşiği sonradan aşan işletmeler için işleyen süreyi ve kayıt yapılmadığında karşılaşılabilecek yaptırımı ele alıyoruz. İçerik genel bilgilendirme amaçlıdır. Somut bir işletmenin durumu, çalışan sayısı, bilanço verisi ve faaliyet konusu birlikte incelenmeden kesin biçimde değerlendirilemez.

VERBİS ve Veri Sorumluları Sicili Nedir?

6698 sayılı Kişisel Verilerin Korunması Kanunu m.16/1 uyarınca Kurulun gözetiminde, Kişisel Verileri Koruma Kurumu Başkanlığı tarafından kamuya açık bir Veri Sorumluları Sicili tutulur. VERBİS, bu Sicilin işletildiği Sicil Bilgi Sistemidir. Kişisel veri işleyen gerçek ve tüzel kişi veri sorumlularının bu sisteme kayıt yükümlülüğü bulunur. Bu çerçeve, KVKK’nın kamuoyu duyurusunda da aynı şekilde ifade edilmektedir.

Sicil kayıt yükümlülüğünün düzenlendiği temel metinler Kanun ile Veri Sorumluları Sicili Hakkında Yönetmeliktir. Yönetmelik 30.12.2017 tarihli ve 30286 sayılı Resmî Gazete’de yayımlanmıştır. Kurul kararları ise bu yönetmeliğin verdiği yetkiye dayanarak istisna kriterlerini belirler.

VERBİS Kayıt Zorunluluğunun Yasal Dayanağı

Kayıt zorunluluğunun genel kuralı şudur: Kişisel veri işleyen veri sorumlusu Sicile kaydolmalıdır. Kanunun 16. maddesi uyarınca kayıt, veri işlemeye başlamadan önce yapılır. Bu husus KVKK’nın Veri Sorumluları Sicili hakkındaki duyurusunda yer almaktadır.

Kanunun 16. maddesi aynı zamanda Kurula bir yetki tanır. Kurul, objektif kriterlere göre Sicile kayıt zorunluluğuna istisna getirebilir. Kanunda bu kriterler şöyle sayılmıştır:

• Kişisel verinin niteliği,
• Kişisel verinin sayısı,
• Veri işlemenin kanundan kaynaklanması,
• Verilerin üçüncü kişilere aktarılması.

Bu çerçevede "VERBİS muafiyeti" kavramı, kendiliğinden doğan bir hak değil, Kurulun belirlediği kriterlerin sağlanmasına bağlı bir durumdur. Kriterler değiştiğinde muafiyetin kapsamı da değişir. Bu nedenle "önceden muaftık" ya da "geçen yıl kayıt gerekmiyordu" yaklaşımı yeterli bir değerlendirme sayılmaz.

Kayıt Yükümlüsü Kim? Tüzel Kişilik, Yurt Dışı Yerleşik ve Kamu Kurumları

Tüzel kişilikte veri sorumlusu, çalışan veya yönetici değil, tüzel kişiliğin kendisidir. Bu nedenle kayıt yükümlülüğü de tüzel kişiliktedir ve başvuru tüzel kişiliğin vergi kimlik numarası ve unvanıyla yapılır. Bir şirketin müdürünün ya da insan kaynakları çalışanının ayrıca kayıt yaptırması söz konusu değildir. Bu açıklama KVKK’nın VERBİS’e yapılan kayıt başvurularına ilişkin duyurusunda yer almaktadır.

Yurt dışında yerleşik veri sorumluları da kapsamdadır. Aynı duyuruda yurt dışı yerleşik veri sorumluları için kayıt yükümlülüğü başlangıcı 01.10.2018 olarak belirtilmiştir. Kamu kurumları da Kanun kapsamında kayıt yükümlüsüdür. Kamu kurumları için başlangıç tarihi 01.04.2019 olarak duyurulmuştur. Kamu kurumları bakımından Yönetmelik m.17 ayrıca, kayıt yükümlülüğünü ihlal eden kamu kurumlarında ilgili kamu görevlileri hakkında disiplin hükümlerinin uygulanacağını öngörür.

Güncel VERBİS Muafiyet Kriterleri

Güncel istisna kriteri, Kurulun 04.09.2025 tarihli ve 2025/1572 sayılı Kararıyla değişik 19.07.2018 tarihli ve 2018/87 sayılı Kararıdır. Kararın uygulama esasları KVKK’nın 2025/1572 sayılı Karar hakkındaki duyurusunda açıklanmıştır. Sorularla VERBİS rehberindeki tabloda bu karar için 04.09.2025 karar tarihi ve 01.10.2025 Resmî Gazete yayım tarihi gösterilmiştir. Karar metninin ayrıntıları için Sorularla VERBİS rehberine bakılabilir.

Bu kararla iki grup Sicile kayıt yükümlülüğünden istisna tutulmuştur.

Birinci grup: Ana faaliyeti özel nitelikli veri işleme olmayanlar

Yıllık çalışan sayısı 50’den az, yıllık mali bilanço toplamı 100 milyon TL’den az olan ve ana faaliyet konusu özel nitelikli kişisel veri işleme olmayan gerçek veya tüzel kişi veri sorumluları istisna kapsamındadır. Burada iki koşul birlikte aranır. Çalışan sayısı eşiğin altında ama bilanço eşiğin üzerindeyse ya da tersi söz konusuysa, bilanço esasına göre defter tutan veri sorumlusu istisnadan yararlanamaz.

İkinci grup: Ana faaliyeti özel nitelikli veri işleme olanlar

Ana faaliyet konusu özel nitelikli kişisel veri işleme olmakla birlikte yıllık çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’den az olan veri sorumluları da istisna kapsamındadır. Bu grup ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumlularına ilişkin KVKK duyurusunda ele alınmıştır. 2025/1572 sayılı Karar ile bu küçük veri sorumluları için ayrı bir istisna eşiği oluşmuştur.

"Ana faaliyet konusu" ifadesi neden önemlidir?

İki grup arasındaki fark, ana faaliyet konusunun özel nitelikli kişisel veri işleme olup olmamasıdır. Bir işletme tesadüfen ya da arızi biçimde özel nitelikli veri işliyor olabilir. Ancak istisna kriterleri bakımından belirleyici olan, ana faaliyet konusunun bu nitelikte olup olmadığıdır. Bu değerlendirme işletmenin gerçek faaliyetine göre yapılmalıdır. Sınırda kalan durumlarda Sorularla VERBİS rehberindeki açıklamalara bakmak ve gerekirse hukuki değerlendirme almak yerinde olur.

Defter Tutma Usulü Eşik Hesabını Nasıl Etkiler?

KVKK’nın 12 Ocak 2026 tarihli duyurusunda, eşiklerin hesabında defter tutma usulüne göre bir ayrım yapılmaktadır. Duyuruya göre:

• Bilanço esasına göre defter tutanlarda hem yıllık çalışan sayısı hem yıllık mali bilanço toplamı kriteri birlikte, yani kümülatif olarak esas alınır.
• Bilanço esasına göre defter tutmayanlarda yalnızca yıllık çalışan sayısı kriteri esas alınır.

Bilanço esasına göre defter tutmayanlara örnek olarak işletme hesabı esasına göre defter tutanlar düşünülebilir. Bu işletmelerde bilanço toplamı olmadığı için mali bilanço eşiği uygulanmaz ve yalnızca çalışan sayısına bakılır. İlgili açıklamalar 2025/1572 sayılı Karar’ın uygulama esaslarına ilişkin duyuruda yer almaktadır.

"Yıllık mali bilanço toplamı", Sorularla VERBİS Rehberine atıfla, yıllık gelir veya kurumlar vergisi beyannamesi ekindeki bilançoda yer alan aktif ya da pasif toplam rakamıdır. Yani kendiliğinden hesaplanan bir ara değer değil, beyanname ekindeki bilançoda görünen toplamdır. Muhasebe tarafıyla birlikte bu rakamın hangi dönem bilançosundan alındığını netleştirmek gerekir.

Muafiyet Eşiklerinin Tarihçesi

Eşikler zaman içinde değişmiştir ve eski kaynaklarda farklı rakamlarla karşılaşmak mümkündür. Tarihçe şöyledir:

• Kurulun 19.07.2018 tarihli ve 2018/87 sayılı Kararı ilk halinde 50 çalışan ve 25 milyon TL eşiklerini içeriyordu. Karar metni KVKK’nın internet sitesinde yer almaktadır. Kararın 18.08.2018 tarihli Resmî Gazete’de yayımlandığı belirtilmiştir.
• 06.07.2023 tarihli ve 2023/1154 sayılı Kurul kararıyla bilanço eşiği 25 milyon TL’den 100 milyon TL’ye çıkarılmıştır. Bu değişiklik KVKK’nın istisna kriterinde değişiklik yapılmasına ilişkin duyurusunda açıklanmıştır.
• 2025/1572 sayılı Karar ile özel nitelikli veri işlemeyi ana faaliyet olarak yürüten küçük veri sorumlularına yeni bir istisna getirilmiştir.

Bu nedenle internette eski tarihli bir içerikte 25 milyon TL eşiğini görürseniz, bunun güncel kriteri yansıtmadığını dikkate almalısınız.

Yönetmelik m.15: Kayıt ve Bildirimi Gerekmeyen Veri İşleme Faaliyetleri

Muafiyet kriterleri veri sorumlusunun niteliğine bakar. Buna karşılık Veri Sorumluları Sicili Hakkında Yönetmelik m.15 ise bazı veri işleme faaliyetlerinin Sicile kayıt ve bildiriminin gerekmediğini düzenler. Yönetmeliğin ilgili maddesinde yer alan örneklerden bazıları şunlardır:

• Suç işlenmesinin önlenmesi veya suç soruşturması için gerekli olan veri işleme,
• İlgili kişinin kendisi tarafından alenileştirilmiş kişisel verilerin işlenmesi.

Bu istisna, veri sorumlusunun tamamen kayıttan muaf olması anlamına gelmez. İlgili faaliyetin kayıt ve bildirime konu edilmemesi anlamına gelir. Maddenin tam listesi ve her bendin sınırları için Yönetmeliğin metnine bakılmalıdır. Yönetmeliğin 16. maddesinin "İstisna Kriterleri" başlığını taşıdığı ise 2018/87 sayılı Kararın metninde belirtilmiştir.

Diğer İstisna Grupları

Sorularla VERBİS rehberinin istisna listesinde, çalışan ve bilanço kriterlerine bakılmaksızın sayılan başka veri sorumluları da bulunmaktadır. Örneğin köy kamu tüzel kişilikleri bu listede yer almaktadır. Listenin tamamı, bentleriyle birlikte Sorularla VERBİS rehberinde incelenmelidir. Bu yazı, rehberin tam istisna listesini yeniden üretmeyi amaçlamamaktadır. Kendi durumunuzun bu gruplardan birine girip girmediğini rehberin güncel metninden kontrol etmeniz gerekir.

Eşiğin Altında Olup Sonradan Yükümlü Hale Gelmek

Muafiyet kalıcı bir statü değildir. İstisna kapsamında olup sonradan yükümlü hale gelen veri sorumluları, Veri Sorumluları Sicili Hakkında Yönetmelik m.8 uyarınca yükümlülük altına girmelerinden sonraki 30 gün içinde kaydolmak zorundadır. Bu süre, KVKK Faaliyet Raporu 2025‘te de belirtilmektedir.

Bu durum özellikle büyüyen işletmeler açısından önemlidir. Çalışan sayısı ya da bilanço toplamı eşiği aşıldığında, 30 günlük süre işlemeye başlar. İşletmelerin her yıl bilanço kesinleştikten sonra, çalışan sayısı ve bilanço toplamını muafiyet kriterleriyle karşılaştırması bu nedenle yararlı bir iç kontrol adımıdır.

2025 yılı bilançosu nedeniyle yeni yükümlü olanlar

Kurumlar vergisi mükellefi tüzel kişilerde 2025 yılı mali bilanço toplamı nedeniyle yeni yükümlü olanlar için KVKK özel bir süre açıklamıştır. İlgili kamuoyu duyurusuna göre son kayıt ve bildirim tarihi 05.06.2026 Cuma gününe uzatılmıştır. Bu grup, 100 milyon TL ve üzeri bilançolu ve özel nitelikli veri işlemeyen veri sorumluları ile özel nitelikli veri işleyip 10 milyon TL ve üzeri bilançolu veri sorumlularından oluşmaktadır. Bu tarih geçmiş olduğundan, hâlâ kayıt yaptırmamış bir veri sorumlusu bakımından sürenin sonuçlarının ayrıca değerlendirilmesi gerekir.

VERBİS Kaydı Ne Zaman Yapılır?

Genel kural, kaydın veri işlemeye başlamadan önce yapılmasıdır. Sonradan yükümlü hale gelenler için ise yukarıda anlatılan 30 günlük süre işler. Kayıt başvurusunda dikkat edilmesi gereken bir nokta, tüzel kişilerde başvurunun tüzel kişiliğin vergi kimlik numarası ve unvanıyla yapılmasıdır. KVKK, hatalı kayıtlara ilişkin duyurusunda bu noktaya özellikle yer vermiştir.

Kayıt Takvimi: Yalnızca Tarihçe Bilgisi

VERBİS’e kayıtlar kademeli olarak başlamıştır. KVKK’nın kayıtların başladığına ilişkin duyurusuna göre yüksek hacimli veri sorumluları ile yurt dışı yerleşikler için başlangıç 01.10.2018’dir. Küçük ama özel nitelikli veri işlemeyi ana faaliyet olarak yürütenler için başlangıç 01.01.2019, kamu kurumları için ise 01.04.2019’dur.

Bu süreler sonradan uzatılmıştır. Kurulun 2021/238 sayılı Kararı (11.03.2021) ile tüm gruplar için süre 31.12.2021’e uzatılmıştır. Bu bilgi KVKK’nın kayıt sürelerinin uzatılmasına ilişkin duyurusunda yer almaktadır. Bu takvim günümüz için bir son tarih değildir, yalnızca sürecin tarihçesidir. Bugün için belirleyici olan, muafiyet kriterlerinin karşılanıp karşılanmadığı ve sonradan yükümlü olma durumunda 30 günlük süredir.

VERBİS Kaydı Yapılmazsa Ne Olur?

KVKK m.18/1-ç uyarınca VERBİS’e kayıt ve bildirim yükümlülüğüne aykırı hareket edenler hakkında idari para cezası verilir. KVKK’nın idari para cezalarının tebliğine ilişkin duyurusunda kanun metnindeki aralık 20.000 TL ile 1.000.000 TL arasında gösterilmiştir. Bu tutarlar Kabahatler Kanunu m.17/7 uyarınca her yıl yeniden değerleme oranında güncellenir. Dolayısıyla güncel tutar için KVKK’nın idari para cezası tutarları sayfasındaki tabloya bakılmalıdır. Bu yazıda yıllık güncellenmiş tutar verilmemiştir.

Kamu kurumlarında durum farklıdır. Yönetmelik m.17 uyarınca kayıt yükümlülüğünü ihlal eden kamu kurumlarında ilgili kamu görevlileri hakkında disiplin hükümleri uygulanır.

Cezalar nasıl tebliğ edilir?

KVKK’nın duyurusuna göre idari para cezaları Hazine ve Maliye Bakanlığı Gelir İdaresi Başkanlığının e-Tebligat altyapısıyla tebliğ edilir. E-Tebligat’ta vergi mükellefiyet kaydı olmayan veya kaydı silinenlere ise 7201 sayılı Tebligat Kanunu’na göre tebligat yapılır. Bu nedenle tebligat adresi ve e-Tebligat durumunun güncel tutulması, tebliğ edilen cezanın fark edilmesi bakımından önem taşır.

Uygulamada ne kadar ceza verilmiştir?

KVKK’nın 01.08.2024 tarihli duyurusuna göre Sicile kayıt yükümlülüğü bulunan yaklaşık 130.600 veri sorumlusundan yaklaşık 16.350’si yükümlülüğünü yerine getirmemiştir. Bu veri sorumlularına toplam 503.935.000 TL idari para cezası düzenlenmiştir. Bu veri ilgili KVKK duyurusunda yer almaktadır. KVKK Faaliyet Raporu 2025’e göre ise 01.01.2025 ile 31.12.2025 arasında yükümlülüğünü süresinde yerine getirmeyen 594 veri sorumlusuna toplam 216.860.000 TL idari para cezası uygulanmıştır. Bu rakamlar denetim ve yaptırım uygulamasının süregeldiğini göstermektedir. Rakamlar yalnızca bilgi amaçlıdır ve belirli bir işletme için ceza beklentisi oluşturmaz.

Muafiyet Diğer Yükümlülükleri Ortadan Kaldırır mı?

Hayır. Muafiyet yalnızca Sicile kayıt ve bildirim yükümlülüğüyle ilgilidir. Yönetmelik kapsamında veri sorumlularının Sicile kaydolması, Kanun kapsamındaki diğer yükümlülüklerini ortadan kaldırmaz. Aynı şekilde muafiyet de aydınlatma ve veri güvenliği gibi yükümlülükleri ortadan kaldırmaz. Yani VERBİS’ten muaf bir işletme de kişisel veri işlediği sürece KVKK’nın genel hükümlerine tabidir.

Bu ayrım uygulamada sık karıştırılır. "Kayıt yaptırmak zorunda değiliz" sonucu, "KVKK bizi ilgilendirmiyor" anlamına gelmez. Muaf işletmenin de kişisel veri işleme süreçlerini, aydınlatma metinlerini ve veri güvenliği tedbirlerini Kanuna uygun yürütmesi gerekir.

Kendi Durumunuzu Değerlendirirken İzleyebileceğiniz Adımlar

Aşağıdaki adımlar genel bir kontrol listesidir. Hukuki görüş yerine geçmez ve her işletmenin özel koşulları ayrıca incelenmelidir.

1. Veri sorumlusunu belirleyin. Tüzel kişilikte veri sorumlusu tüzel kişiliğin kendisidir. Kayıt vergi kimlik numarası ve unvanla yapılır.
2. Ana faaliyet konusunu inceleyin. Ana faaliyetin özel nitelikli kişisel veri işleme olup olmadığı, hangi eşik grubunun uygulanacağını belirler.
3. Defter tutma usulünü kontrol edin. Bilanço esasına göre defter tutuyorsanız hem çalışan sayısı hem bilanço toplamı birlikte değerlendirilir. Tutmuyorsanız yalnızca çalışan sayısı esas alınır.
4. Yıllık çalışan sayısını ve bilanço toplamını eşiklerle karşılaştırın. Birinci grupta 50 çalışan ve 100 milyon TL, ikinci grupta 10 çalışan ve 10 milyon TL eşiği geçerlidir.
5. Diğer istisna gruplarına bakın. Sorularla VERBİS rehberindeki istisna listesini ve Yönetmelik m.15’teki faaliyet bazlı istisnaları kontrol edin.
6. Eşik aşımını izleyin. Eşiği sonradan aşarsanız yükümlülüğünüzün başlamasından itibaren 30 gün içinde kayıt gerekir.
7. Muaf olsanız da diğer yükümlülükleri sürdürün. Aydınlatma ve veri güvenliği yükümlülükleri devam eder.

Sık Karıştırılan Noktalar

Uygulamada özellikle şu noktalarda hata yapılabilmektedir:

• Yalnızca çalışan sayısına bakmak. Bilanço esasına göre defter tutan bir işletmede çalışan sayısı düşük olsa bile bilanço toplamı eşiği aşıyorsa istisna uygulanmaz.
• Eski eşikleri esas almak. 25 milyon TL bilanço eşiği 2023’te 100 milyon TL’ye çıkarılmıştır. 2025/1572 sayılı Karar ile özel nitelikli veri işleyen küçük veri sorumluları için ayrı bir istisna da getirilmiştir.
• Yöneticiyi veri sorumlusu saymak. Kayıt yükümlülüğü tüzel kişiliğe aittir.
• Muafiyeti kalıcı saymak. Eşik aşıldığında 30 günlük süre işler.
• Muafiyeti tüm KVKK yükümlülüklerinden kurtulmak olarak anlamak. Aydınlatma ve veri güvenliği yükümlülükleri devam eder.

Sonuç

VERBİS kaydı, kişisel veri işleyen gerçek ve tüzel kişi veri sorumlularının kural olarak yerine getirmesi gereken bir yükümlülüktür. Muafiyet, Kurulun belirlediği kriterlere bağlıdır. Güncel haliyle, ana faaliyeti özel nitelikli veri işleme olmayan ve 50’den az çalışanı ile 100 milyon TL’den az bilançosu bulunan veri sorumluları ile, ana faaliyeti özel nitelikli veri işleme olan ve 10’dan az çalışanı ile 10 milyon TL’den az bilançosu bulunan veri sorumluları istisna kapsamındadır. Bilanço esasına göre defter tutmayanlarda yalnızca çalışan sayısı kriteri esas alınır.

Eşiklerin değiştiğini, eşiği aşan işletmeler için 30 günlük sürenin işlediğini ve muafiyetin diğer KVKK yükümlülüklerini kaldırmadığını unutmamak gerekir. Kriterler Kurul kararlarıyla değişebildiğinden, bir değerlendirme yapmadan önce KVKK’nın güncel duyurularını ve Sorularla VERBİS rehberinin son halini kontrol etmek yerinde olur.

Sık sorulan sorular

VERBİS kaydı zorunlu mudur?

Kural olarak kişisel veri işleyen gerçek ve tüzel kişi veri sorumluları Veri Sorumluları Sicili'ne kayıt yaptırmak zorundadır. Kurulun belirlediği istisna kriterlerinin altında kalan veri sorumluları ise kayıttan muaftır. Güncel eşikler, ana faaliyeti özel nitelikli veri işleme olmayanlar için 50'den az çalışan ve 100 milyon TL'den az bilanço, ana faaliyeti özel nitelikli veri işleme olanlar için 10'dan az çalışan ve 10 milyon TL'den az bilançodur.

Bilanço esasına göre defter tutmayan işletmeler için hangi kriter uygulanır?

KVKK'nın uygulama esaslarına ilişkin duyurusuna göre bilanço esasına göre defter tutmayanlarda yalnızca yıllık çalışan sayısı kriteri esas alınır. Bilanço esasına göre defter tutanlarda ise çalışan sayısı ve yıllık mali bilanço toplamı kriteri birlikte aranır.

Muaf iken eşiği aşarsam ne zaman kayıt yaptırmalıyım?

Veri Sorumluları Sicili Hakkında Yönetmelik m.8 uyarınca, istisna kapsamında olup sonradan yükümlü hale gelen veri sorumluları, yükümlülük altına girmelerinden sonraki 30 gün içinde kaydolmak zorundadır.

VERBİS kaydı yapmayana ne ceza verilir?

KVKK m.18/1-ç uyarınca kayıt ve bildirim yükümlülüğüne aykırı hareket edenlere idari para cezası verilir. Tutarlar her yıl yeniden değerleme oranında güncellenir. Güncel tutar için KVKK'nın idari para cezası tutarları tablosuna bakılmalıdır.

VERBİS'ten muaf olmak KVKK yükümlülüklerini ortadan kaldırır mı?

Hayır. Muafiyet yalnızca Sicile kayıt ve bildirim yükümlülüğünü kapsar. Aydınlatma ve veri güvenliği gibi Kanun kapsamındaki diğer yükümlülükler muaf veri sorumluları bakımından da devam eder.