VERBİS’E KAYIT OLMAK KVKK’YA UYUMLU OLMAK MIDIR?

Anasayfa / Blog

Veri Sorumluları Sicil Bilgi Sistemi Nedir?

VERBİS, kişisel verileri işleyen gerçek ve tüzel kişilerin, kişisel veri işlemeye başlamadan önce kaydolmaları gereken ve işlemekte oldukları kişisel verilerle ilgili kategorik bazda bilgi girişi yapacakları bir kayıt sistemidir. Veri Sorumluları Sicil Bilgi Sistemi olarak isimlendirilmektedir.

6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 16. maddesine göre kişisel veri işleyen “gerçek ve tüzel” kişi veri sorumlularının kişisel veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolması gerekmektedir. Bu kapsamda kurul tarafından hazırlanan sisteme yani VERBİS’e veri sorumlularının kayıt olması gerekmektedir.

Kayıt yükümlülüğü olan veri sorumluları

Yurtiçinde Yerleşik Gerçek / Tüzel Kişi
Yurtdışında Yerleşik Gerçek / Tüzel Kişi
Kamu Kurum ve Kuruluşlar

Bu kapsamda VERBİS ekranları aracılığıyla gerçekleştirilecek işlemler

Veri sorumlusunca yönetici girişi yapılması
Veri sorumlusu temsilcisi bildirimi işlemlerinin yürütülmesi
Bilgi girişi yapmasına ve başvuru formu oluşturma işlemleri
Başvuru formunun Kuruma ulaşması üzerine, sistem üzerinden “kullanıcı adı ve parola” oluşturularak veri sorumlusuna iletilmesi
Kullanıcı adı ve parola kullanılarak sisteme giriş yapılması
İrtibat kişisi belirleme atama işlemlerinin yürütülmesi

İrtibat kişisinin sistemde yürütebileceği faaliyetler

Kişisel verilerin yürütülmesi için kurul bir irtibat kişisinin belirlenmesini uygun görmüştür. Veri sorumlusunun irtibat kişisi olabileceği gibi bünyesinde yer alan kişilerden de irtibat kişisi belirleyebilme imkanı sunmuştur. İrtibat kişisi ise VERBİS’te bazı alanların düzenlenmelerinden ve faaliyetleri takip etmektedir. İrtibat kişisinin sistemde yürütebileceği faaliyetleri şu şekilde sıralayabiliriz.

Kişisel verilerin veri kategorileri;

Kişisel verilerin işleme amaçları ve saklama süreleri
Alınması gereken/ alınan teknik ve idari tedbirler
Kişisel verilerin aktarılabileceği alıcı veya alıcı grupları
Yabancı ülkelere aktarımı öngörülen kişisel veriler
Veri konusu kişi gruplarına ait kategorik bazda bilgi girişi yapmak

Yurtiçinde Yerleşik Tüzel ve Gerçek Kişi için VERBİS Kaydı

Gerçek Kişinin VERBİS Kayıt İşlemleri

Yurtiçinde yerleşik gerçek kişi veri sorumlularınca VERBİS ana sayfada yer alan “Veri Sorumlusu Yönetici Girişi” butonu aracılığıyla giriş yapılır.
İlgili alanlar doldurularak PDF formatında başvuru formu sistemden oluşturulur. Oluşturulan formun çıktısı alınarak ıslak imzalı belge şeklinde Kurumun posta adresine posta yoluyla iletilir veya varsa kayıtlı elektronik posta (KEP) adresi üzerinden PDF formatındaki dosya eklenerek Kurumun KEP adresine iletilir.
Kurum tarafından yapılan değerlendirme sonucunda, başvuru formunda belirtilen (veri sorumlusunun belirlediği) elektronik posta adresine “kullanıcı adı” ve “parola” gönderilir.
Veri sorumlusu olan gerçek kişi tarafından “Veri Sorumlusu Yönetici Girişi” butonu aracılığıyla giriş yapıldıktan sonra (Türkiye’de yerleşik ve Türkiye Cumhuriyeti) vatandaşı bir gerçek kişi “irtibat kişisi” olarak atanır. (veri sorumlusu, irtibat kişisi olarak kendisini atayabileceği gibi bir başka kişiyi de atayabilir.)
Atanan irtibat kişisi VERBİS ana sayfada yer alan “Sicile Kayıt” butonu aracılığıyla sisteme giriş yapabilir. Gelen ekranlara bilgi girişi yapılarak Sicile kayıt işlemlerini tamamlar.

Tüzel Kişinin VERBİS Kayıt İşlemleri

Yurtiçinde yerleşik tüzel kişi veri sorumlularınca VERBİS ana sayfada yer alan “Veri Sorumlusu Yönetici Girişi” butonu aracılığıyla giriş yapılır.
İlgili alanlar doldurularak PDF formatında başvuru formu sistemden oluşturulur.
Oluşturulan formun çıktısı alınır ve ıslak imzalı belge şeklinde (Kurumun posta adresine) posta yoluyla iletilir veya varsa kayıtlı elektronik posta (KEP) adresi üzerinden PDF formatındaki dosya eklenerek Kurumun KEP adresine iletilir.
Kurum tarafından yapılan değerlendirme sonucunda, başvuru formunda belirtilen elektronik posta adresine “kullanıcı adı” ve “parola” gönderilir.
Veri sorumlusu olan tüzel kişi tarafından “Veri Sorumlusu Yönetici Girişi” butonu aracılığıyla giriş yapıldıktan sonra (Türkiye’de yerleşik ve Türkiye Cumhuriyeti vatandaşı) bir gerçek kişi “irtibat kişisi” olarak atanır.
Veri sorumlusu, irtibat kişisi olarak tüzel kişilik bünyesinde çalışan bir kişiyi atayabileceği gibi tüzel kişilik bünyesi dışından da bir kişiyi de atayabilecektir.
Atanan irtibat kişisi VERBİS ana sayfada yer alan “Sicile Kayıt” butonu aracılığıyla sisteme giriş yapabilir. Gelen ekranlara bilgi girişi yapılarak Sicile kayıt işlemlerini tamamlar.

VERBİS’e Kayıt Olmak KVKK’ya Uyumlu Olmak mıdır?

Veri sorumluları bilgi sicil sistemi, “kişisel verileri işleyen gerçek ve tüzel kişilerin, kişisel veri işlemeye başlamadan önce kaydolmaları gereken ve işlemekte oldukları kişisel verilerle ilgili kategorik bazda bilgi girişi yapacakları bir kayıt sistemidir.” Tanımdan da anlaşıldığı üzere veri sorumlusunun işledikleri kişisel verileri kategorilerine göre ayrıntılarına yer vermeden kayıtlarını oluşturduğu sistemdir. Bu sistem halka açık olarak incelebilmektedir. Örneğin, VERBİS sorgu ekranından X firmasının VERBİS’e kaydının olup olmadığını ve hangi kişisel verileri işlediklerini kategori bazında inceleyebilen bir sistemdir. Bu sistemde veri sorumlusu ile birlikte bir de irtibat kişisi atanmaktadır. İrtibat kişisinin VERBİS de bazı sorumlulukları vardır. Bunlardan bazıları, “Veri Saklama ve İmha Politikası” ve “Envanter Kaydı” oluşturmaktır.

Veri sorumluları sisteme kayıtlarını tamamlayıp, VERBİS'de ki yükümlülüklerini yerine getirmesi yasal görevidir. Fakat bu sürecin tamamlanması KVKK sürecinin tamamlandığı anlamına gelmemektedir. Kişisel Verilerin Korunması Kanunu 33 maddeden oluşmaktadır. VERBİS, Kişisel Verilerin Korunması Kanunu’nun da sadece madde 16'da yer alan ve bazı veri sorumlularını kapsamaktadır. Kişisel veri işleyen herkes bu kanuna tabidir. Özetle, VERBİS’e kayıt yükümlülüğü veri sorumlularının yükümlülüklerinden sadece bir tanesidir.

Doğru bilinen yanlışların başında şu cümleler yer almaktadır.

VERBİS kayıt yükümlülüğüm yok o zaman KVKK’ya da uyumlu olmak zorunda değilim.
VERBİS kaydımı tamamladım KVKK’ya da uyumluyum ve KVKK ile işim bitti.
Personelim yok veya küçük bir işletmeyim KVKK benim için zorunlu değil.

Bilgi çöplüğü sebebiyle günümüzde birçok veri sorumlusu 2016’dan bu yana yapması gereken işlemleri aksatmış ve yükümlülüklerini yerine getirmedikleri için kurul tarafından cezai yükümlülükler uygulanmıştır. VERBİS kayıt zorunluluğu yerine getirilse dahi, KVKK’nın diğer yükümlülüklerini yerine getirmek zorundadır. VERBİS kaydı dışında veri sorumlusunun bazı yükümlülükleri/sorumlulukları vardır. Aydınlatma yükümlülüğü, veri güvenliğine ilişkin yükümlülükler, sicile kayıt (VERBİS), başvuruları yanıtlama, ilke kararlarına uyma, kurul taleplerini yerine getirme veri sorumlusunun yükümlülüklerindendir. Mevzuatın üçüncü bölümünde yer alan haklar ve yükümlükler kısmında veri sorumlusunun yükümlülüklerine yer verilmiştir. VERBİS de olduğu gibi diğer yükümlülüklerin yerine getirilmemesi durumunda da cezalar uygulanmaktadır. Kurulun yayınladığı karar özetlerinden de anlaşılacağı üzere VERBİS dışında da cezai işlemler uygulamaktadır. Bunları aşağıda yer alan maddeler ile özetleyebiliriz.

▸Kişisel veri güvenliği ihlalinin geç bildirimi

▸Açık rızanın hizmet şartına bağlanması

▸İşleme amacının gerektiğinden fazla veri işlenmesi ve aktarılması

▸Veri sorumlusu tarafından kanunda belirtilen süre içerisinde

▸İlgili kişinin verilerinin silinmesi talebinin yerine getirilmemesi

▸Kişisel verilerin güvenliğinin sağlanması amacıyla uygun güvenlik düzeyini temin etmeye yönelik gerekli idari ve teknik tedbirin alınmaması

▸Kanunda yer alan ilklere aykırı kişisel veri işlenmesi

▸Kanuna aykırı şekilde kişisel verilerin işlenmesi

Sonuç olarak, VERBİS kayıt yükümlülüğünün yerine getirilmesi kanunun sadece bir maddesinin uygulanmasıdır. Veri sorumlusu, VERBİS'e kayıt olduktan sonra da Kanun’da yer alan tüm yükümlülüklerini yerine getirmek zorunludur. Veri sorumlusunun VERBİS kayıt zorunluğunu bulunmayabilir. Kayıt yükümlülüğü bulunmayan veri sorumluları da kanunda yer alan diğer yükümlülükleri yerine getirmesi zorunludur. Veri sorumlusu, yani kişisel veri işleyen gerçek ve tüzel kişiler KVKK uyumlu hareket etmek zorundadır. Kanunda yer alan maddeleri yerine getirmekle mükelleftir. Veri sorumlusu personeli olmasa dahi müşterilerinin, tedarikçilerinin ve ziyaretçilerinin kişisel veri kaydını tutmaktadır. Bu sebeple kişisel veri işleyen herkes Kişisel Verileri Koruma Kanuna uygun şekilde hareket etmelidir.