VERBİS Kaydı ve Veri Envanteri: Uygulama Rehberi

1. VERBİS Kaydı Yükümlülüğünün Kapsamı

6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) uyarınca, kişisel verileri işleyen gerçek ve tüzel kişilerin büyük ölçüde VERBİS'e kayıt olması zorunludur. VERBİS (Veri Sorumluları Bilgi Sistemi), Kişisel Verileri Koruma Kurulu tarafından işletilen elektronik kayıt sistemidir.

• Kayıt zorunluluğu: Yıllık çalışan sayısı 50'den fazla olan ve yıllık mali bilanço toplamı 100 milyon TL'nin üzerinde olan özel hukuk tüzel kişileri ile kamu kurumları kayıt yükümlüdür.
• İstisnalar: KVKK m. 46 uyarınca bazı veri sorumluları (örneğin, belirli küçük ölçekli işletmeler) Kurul kararıyla muaf tutulabilir.
• Süre: Kayıt yükümlülüğü başlangıç tarihinden itibaren belirlenen süre içinde VERBİS kaydının tamamlanması gerekir.

2. Veri Envanterinin Hazırlanması

Veri envanteri, bir kuruluşun hangi kişisel verileri, hangi amaçla, hangi hukuki sebeple, kimden, nasıl ve ne süreyle işlediğini sistematik olarak gösteren temel uyum aracıdır.

• Veri kategorileri: Kimlik, iletişim, finans, sağlık, özel nitelikli veriler, çalışan verileri, müşteri verileri gibi gruplandırma yapılır.
• İşleme amaçları: Her veri kategorisi için açık ve meşru amaçlar tanımlanır (örn. sözleşme yönetimi, hukuki yükümlülük, pazarlama).
• Hukuki sebepler: KVKK m. 5 ve m. 6'da sayılan hukuki sebeplerden (açık rıza, sözleşme, hukuki yükümlülük, meşru menfaat vb.) uygun olan seçilir.
• Veri akış haritası: Verilerin kuruluş içi ve kuruluş dışı paylaşım alıcıları, yurt dışı aktarımları ve saklama süreleri belirlenir.

3. VERBİS Kayıt Süreci

Kayıt işlemleri VERBİS portalı üzerinden elektronik olarak yürütülür. Kayıt aşamaları şunlardır:

• Yetkilendirme: Veri sorumlusu adına işlem yapacak gerçek kişiler VERBİS'te yetkilendirilir.
• Kayıt bilgileri: Veri sorumlusunun kimlik/ticari bilgileri, temsilci bilgileri ve iletişim adresleri girilir.
• Veri işleme envanteri: İşlenen veri grupları, amaçlar, hukuki sebepler, alıcı grupları ve yurt dışı aktarım bilgileri bildirilir.
• Güncelleme: Kayıtlı bilgilerde değişiklik olması halinde güncelleme yapılması gerekir.

4. Uyum Riskleri ve Yaptırımlar

KVKK uyarınca VERBİS kaydı ve veri envanteri eksiklikleri idari para cezasına yol açabilir. Ayrıca, veri ihlali durumunda envanterin eksik veya güncel olmaması savunma kabiliyetini zayıflatır.

• İdari para cezası: VERBİS kaydı ve güncellemelerine ilişkin yükümlülüklerin yerine getirilmemesi Kurul tarafından cezalandırılabilir.
• İspet güçlüğü: Veri işleme faaliyetlerinin hukuki dayanağını gösteren dokümantasyon eksikliği, uyuşmazlıklarda dezavantaj yaratır.
• Reputasyon riski: Veri koruma uyumunun zayıf olması müşteri ve iş ortakları güvenini olumsuz etkiler.

Sonuç

VERBİS kaydı ve veri envanteri, KVKK uyumunun yapı taşlarındandır. Doğru bir envanter, aydınlatma metinlerinin hazırlanması, açık rıza yönetimi ve veri ihlali süreçlerinin de sağlıklı yürütülmesini sağlar. Kuruluşların envanterlerini periyodik olarak gözden geçirmeleri ve güncellemeleri önerilir.