VERBİS Kayıt Süreci 2026 — Sıfırdan Adım Adım Rehber

Türkiye’de kişisel veri işleyen pek çok şirketin yapması gereken ama çoğunun atladığı bir yükümlülük var: VERBİS — Veri Sorumluları Sicil Bilgi Sistemi. KVKK Madde 16 gereği zorunlu olan bu kayıt, atlandığında 2026 itibarıyla 188.000 ile 9.464.000 TL arasında idari para cezasına yol açıyor. 2024’te sadece VERBİS eksikliğinden 38 firma ceza aldı — ortalama tutar 350.000 TL.

Bu rehber, KOBİ ölçeğinde bir firmanın VERBİS kaydını sıfırdan, üçüncü parti danışmana muhtaç kalmadan tamamlayabilmesi için adım adım yol gösteriyor.

VERBİS nedir, neden zorunlu?

VERBİS, 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 16. maddesine dayanan bir sicildir. Kanun metninin özü:

Kişisel verileri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce Veri Sorumluları Siciline kaydolmak zorundadır.

Sicil, KVKK Kurulu tarafından kvkk.gov.tr/verbis adresinden online olarak tutulur. Amacı:

• Türkiye’de kim hangi tür kişisel veriyi işliyor, kayıt altına almak
• Veri sorumlularını “Kurul radarına” sokmak (denetim, şikâyet için)
• İlgili kişilerin “benim verim hangi firmada var?” sorgulamasını kolaylaştırmak (kamuya açık alan)

VERBİS kaydının üç önemli sonucu:

1. Yasal mecburiyet — kayıt olmamak Madde 18 kapsamında ceza gerekçesi
2. Saydamlık — sicil kayıtları kamuya açık (kvkk.gov.tr’den sorgulanabilir)
3. İrtibat kişisi atama — Kurul’la iletişim için resmi temsilci belirleme zorunluluğu

Kimler VERBİS’e kaydolmak zorunda?

Kurul, 2018-2019 döneminde VERBİS kayıt yükümlülüğünü tüm veri sorumlularına yaymak yerine eşik değer yaklaşımı benimsedi. 2024 güncel hâlinde aşağıdaki kategoriler kayıt yapmak zorunda:

Veri sorumlusu kategorisi	VERBİS yükümlülüğü
Yıllık çalışan sayısı > 50 VE yıllık mali bilanço > 100 milyon TL	Zorunlu
Yurt dışında yerleşik veri sorumlusu	Zorunlu (eşik fark etmez)
Kamu kurum ve kuruluşları	Zorunlu
Özel nitelikli kişisel veri işleyen firmalar (sağlık, biyometrik, vb.)	Zorunlu
Diğer KOBİ’ler (eşik altı)	İsteğe bağlı

2024 önemli değişiklik: Yıllık mali bilanço eşiği 25 milyon TL’den 100 milyon TL’ye çıkarıldı. Bu, KOBİ’leri rahatlattı ama “muafiyet” demek değil — eşik altı firmalar Madde 12 ve diğer yükümlülüklere tabidir, sadece VERBİS kayıt yükümlülüğü gevşedi.

Eşik kontrolü pratiği:

• Çalışan sayısı: SGK bildirim sayısı dikkate alınır (yıllık ortalama)
• Mali bilanço: bağımsız denetim raporundaki son tarihli bilanço
• “Ve” bağlacı — her iki şart birlikte gerek; tek başına çalışan veya ciro yetmez (özel nitelikli veri işleyenler dışında)

Eşik altı kalan KOBİ’ler için: VERBİS kaydı isteğe bağlıdır. Yine de “kurumsal kalite imzası” amacıyla yapılması mümkün ve önerilir.

Kayıt için ön hazırlık: Kişisel Veri Envanteri

VERBİS kaydının en zor kısmı değil, en uzun kısmı envanter hazırlığıdır. Çünkü siciline kayıtta girilecek tüm bilgi bu envanterden çıkar. Envantersiz formu açtığınız anda saatlerce sorguya dönersiniz.

Kişisel veri envanteri şu sütunları içermelidir:

• Veri kategorisi — kimlik bilgileri, iletişim, finans, sağlık, vb.
• Veri konusu kişi grubu — müşteri, çalışan, tedarikçi, ziyaretçi
• İşleme amacı — sözleşme, yasal yükümlülük, pazarlama, vb.
• Hukuki sebep (KVKK Madde 5) — açık rıza, sözleşme, yasal sorumluluk
• Saklama süresi — 1 yıl, 5 yıl, 10 yıl…
• İmha yöntemi — silme, yok etme, anonimleştirme
• Veri aktarımı — yurt içi/yurt dışı kime aktarılıyor
• Teknik ve idari tedbirler — şifreleme, yetki, audit log

Pratik tavsiye: bu envanteri Excel olarak başlatın. 50-80 satır arasında bir tablo çıkar. Departman departman gidin (İK, satış, muhasebe, IT) — her bölüm hangi verileri tuttuğunu liste etsin.

İleri seviye için: envanteri YAML veya JSON formatında, ileride DPIA (Veri Koruma Etki Değerlendirmesi) çalışmalarında tekrar kullanılabilir hâle getirin. VeritaDLP gibi DLP çözümleri endpoint’te tespit edilen veri tiplerini otomatik raporlayarak envanteri canlı tutar.

Adım adım VERBİS kayıt: 5 aşama

Envanter hazırsa kayıt 1-2 saat içinde tamamlanır. Süreç:

Adım 1: verbis.kvkk.gov.tr’ye giriş

• Tarayıcıdan verbis.kvkk.gov.tr açın
• Sağ üstte “Sicile Kayıt” linkine tıklayın
• “Veri Sorumlusu Yönetici Girişi” seçeneğini seçin
• e-Devlet üzerinden T.C. Kimlik No / şifre veya elektronik imza ile giriş

Önemli: Giriş yapan kişi şirket adına işlem yapma yetkisine sahip olmalı. Şirket yetkilisi değilseniz veya yetkiniz yoksa kayıt işleminiz reddedilir.

Adım 2: Veri Sorumlusu kaydı

İlk giriş sırasında “Yeni Veri Sorumlusu Kaydı” yapılır:

• Tüzel kişi mi, gerçek kişi mi? — şirket için tüzel kişi
• Unvan/MERSİS — Ticaret Sicil Gazetesi’ndeki tam unvan
• Vergi kimlik no — 10 haneli
• Adres — merkez adresi (şube ayrıca eklenebilir)
• İrtibat kişisi — Kurul’la iletişimin yürüteceği yetkili (genellikle KVKK Sorumlusu veya DPO)

İrtibat kişisi seçimi kritik — bu kişi tebligatları alacak ve Kurul’un sorularına cevap verecek. Boş bir e-posta veya genel info@ adresi seçmeyin. Gerçek bir kişinin e-postası ve telefonu olmalı.

Adım 3: Sicil bildirimini doldurma — ana form

Asıl iş bu adımda. Form 8 ana sekmeye bölünmüş:

Sekme 1: Veri Sorumlusu Bilgileri

• Faaliyet konusu (NACE kodu)
• Çalışan sayısı (yıllık ortalama SGK)
• Yıllık mali bilanço (TL)

Sekme 2: İrtibat Kişisi Bilgileri

• Ad, soyad, TC kimlik
• Görev, e-posta, telefon
• Yedek irtibat kişisi (önerilir)

Sekme 3: Kişisel Veri İşleme Amaçları

Listeden seçim — Kurul’un önceden tanımladığı 200+ amaç var:

• Müşteri ilişkileri yönetimi
• İnsan kaynakları süreçleri
• Sözleşme süreçlerinin yürütülmesi
• Mal/hizmet satış süreçlerinin yürütülmesi
• Faaliyetlerin mevzuata uygun yürütülmesi
• Pazarlama analiz çalışmalarının yürütülmesi
• (Diğer amaçlar listede aranabilir)

Kendi envanterinizdeki her amaç, listeden uygun olanla eşleştirilir.

Sekme 4: Veri Konusu Kişi Grupları

• Çalışan adayları
• Çalışanlar
• Müşteriler
• Potansiyel müşteriler
• Ziyaretçiler
• Tedarikçi yetkilileri
• (vb.)

Sekme 5: Kişisel Veri Kategorileri

Bu en uzun sekme — Kurul’un veri kategori kataloğundan seçim:

• Kimlik (ad, soyad, TC, doğum tarihi)
• İletişim (telefon, e-posta, adres)
• Lokasyon
• Özlük (sicil no, işe giriş)
• Hukuki işlem
• Müşteri işlem (sipariş, talep)
• Fiziksel mekân güvenliği (CCTV)
• İşlem güvenliği (IP, login)
• Risk yönetimi
• Finans (banka hesap, IBAN, kart)
• Mesleki deneyim
• Pazarlama (alışkanlık, anket)
• Görsel/işitsel (fotoğraf, ses, video)
• Özel nitelikli: sağlık, cinsel hayat, ceza mahkumiyeti, biyometrik, genetik, din, mezhep, dernek/sendika üyeliği, vakıf üyeliği, felsefi/siyasi görüş, ırk/etnik köken

Sekme 6: Alıcı/Alıcı Grupları

Kişisel veri kimlere aktarılıyor?

• Yetkili kamu kurumları
• Tedarikçiler
• İş ortakları
• Hissedarlar
• Topluluk şirketleri
• Çalışanlar
• (Yurt dışı varsa: ayrıca belirtilir)

Sekme 7: Yabancı Ülkelere Aktarma

KVKK Madde 9 kapsamında yurt dışına veri aktarımı varsa burada beyan edilir:

• Aktarılan ülke
• Hukuki sebep (açık rıza, Kurul izni, vb.)
• Aktarılan veri kategorisi

Bulut sağlayıcı kullanıyorsanız (AWS, Google Cloud, vb.), büyük ihtimalle veri yurt dışına aktarılıyor demektir — beyan etmek zorunlu.

Sekme 8: Veri Güvenliği Tedbirleri

KVKK Madde 12 kapsamında alınan teknik ve idari tedbirler. Listeden seçim:

• Şifreleme (at-rest, in-transit)
• Yetki matrisi
• 2FA
• Anti-virüs / EDR
• DLP — Veri Kaybı Önleme
• Pen-test
• Çalışan eğitimi
• Aydınlatma metni
• Yedekleme
• Audit log
• (vb. 40+ tedbir kategorisi)

Bu sekme önemli — boş bırakırsanız veya 2-3 tedbir işaretlerseniz Kurul’un radarına girersiniz. KVKK Madde 12 uyumu için teknik tedbir rehberimiz detayları sunar.

Adım 4: Form onayı ve gönderimi

Tüm sekmeler dolunca:

• “Önizleme” alın — yanlış varsa düzeltin
• “Onayla ve Gönder” tıklayın
• Sistem bir özet PDF üretir — saklayın

Kurul, başvurunuzu inceler. 30 gün içinde sicil numarası tahsis edilir. Sicil numarası kayıt onayını ifade eder.

Adım 5: Sicil numarası alma ve duyurma

Sicil numarası alındığında:

• VERBİS hesabınızda görüntülenir
• Kurul size resmi tebligat yapar
• Aydınlatma metinlerinizde “VERBİS Sicil No: XXXXXXXX” yer almalıdır
• Web sitesi alt bilgisinde duyurmak iyi pratik

Hangi tuzaklara dikkat?

VERBİS başvurusunda en sık yapılan hatalar:

1) Envanter olmadan forma girmek

Yukarıda anlattığım envanter olmadan formu açarsanız, “Veri Konusu Kişi Grupları” sekmesinde takılır kalırsınız. 2 saatlik iş 2 günlük iş olur.

2) Kategori seçimini eksik bırakmak

Form 200+ amaç ve 13+ kategori sunuyor. Sadece 1-2’sini işaretlemek yetersizdir. Müşteri verisi tutan her e-ticaret en az 5-7 kategoriyi işaretler. Kurul, eksik kategoriyi denetimde sorar.

3) Veri güvenliği tedbirlerini abartmak

“Sahip olmadığınız tedbirleri” işaretlemek tehlikeli. Denetimde “DLP var” diye işaretlemişsiniz, sahada yok — bu kasıtlı yanlış beyan sayılır, ek ceza riski.

4) İrtibat kişisini ihmal etmek

Atanan kişi şirketten ayrıldığında değiştirilmesi unutuluyor. Tebligat boşa gidiyor — Kurul’un tebligatı “tebliğ edildi” sayılıyor ama siz göremiyorsunuz. 30 gün ödeme süresini kaçırınca %25 indirim de gidiyor.

5) Yıllık güncellemeyi atlamak

VERBİS bir kerelik kayıt değil. Yıllık güncelleme zorunluluğu var (bkz. sonraki bölüm).

Kayıt sonrası: yıllık güncelleme ve değişiklik bildirimi

KVKK Madde 16/3’e göre, sicil bilgilerinde değişiklik olduğunda 7 gün içinde Kurul’a bildirim yapılmalıdır. Yıllık olarak da kaydın yenilenmesi/güncellenmesi gerekir.

Değişiklik bildirimi gereken durumlar:

• İrtibat kişisi değişimi
• Adres değişikliği
• Yeni veri kategorisi başlanması (örn. biyometrik tanımayla giriş başlandı)
• Yeni veri aktarımı (yeni bulut sağlayıcı, yeni tedarikçi)
• Faaliyet değişikliği
• Eşik altına düşme (kayıttan çekilme talebi)

Güncellemeler aynı verbis.kvkk.gov.tr üzerinden yapılır. İlk kayıttaki sekmeler düzenlenebilir hâle gelir.

VERBİS muafiyeti olan kurumlar

2024 değişikliği sonrası muafiyet eşiği yukarıda anlatıldı (50 çalışan

• 100 milyon TL bilanço). Ayrıca bazı özel kurumlar için Kurul muafiyetleri:

• Yıllık çalışan sayısı 50 altı ve yıllık mali bilanço 100 milyon TL altı KOBİ’ler (genel muafiyet)
• Avukat ortaklıkları (yalnızca müvekkil-vekil ilişkisi kapsamında)
• Noterler (yalnızca resmi işlemler kapsamında)
• Dernek, vakıf, sendika (üye kayıtları dışındaki işlemler için sınırlı)
• Siyasi partiler (KVKK Madde 28 muafiyeti)

Önemli not: Bu muafiyet sadece VERBİS kayıt yükümlülüğüne ilişkindir. Madde 12 veri güvenliği, Madde 4 ilkeler, Madde 5 hukuki sebep — bunlar muafiyet kapsamı dışında, herkes için geçerlidir.

VeritaDLP’nin VERBİS sürecindeki yeri

VERBİS başvurusunda Sekme 8 (Veri Güvenliği Tedbirleri) işaretlerken, DLP (Veri Kaybı Önleme) kategorisini işaretleyebilmek için fiilen bir DLP çözümü kullanmanız gerekir. Yanlış beyan, daha sonra denetimde ortaya çıkarsa ek ceza demek.

VeritaDLP bu noktada KOBİ’lere şunları sunar:

• 15 günlük ücretsiz deneme — VERBİS başvurusu öncesi test
• TC, VKN, IBAN, kredi kartı otomatik tanıma
• KVKK Madde 4 veri minimizasyonu prensibine uygun (orijinal içerik saklanmaz)
• VERBİS Sekme 8’de işaretleyebileceğiniz somut DLP kontrolü

Fiyatlandırma sayfasında PC başına maliyet hesaplaması mevcut.

Sıkça Sorulan Sorular

VERBİS kaydı kaç gün sürer?

Envanter hazırsa: 1-2 saat form doldurma, Kurul onayı 30 güne kadar sürebilir. Envanter yoksa: hazırlık 1-2 hafta, kayıt 1-2 gün, onay 30 gün. Toplam pratikte: 2-6 hafta arası.

VERBİS kaydını profesyonel danışmana mı yaptırmalıyım?

Şart değil. 50-200 çalışanlı orta ölçek bir KOBİ için iç ekip yapabilir. İK + IT + Hukuk birlikte çalışırsa 1-2 hafta envanter + 1 gün kayıt yeterli. Profesyonel danışman ücreti pazarda 25-100 bin TL bandında — büyük şirketlerde ve karmaşık veri işleme yapılarında mantıklı.

VERBİS başvurusu reddedilirse ne olur?

Form yanlış doldurulmuşsa Kurul “eksik bilgi tamamlanması” notu gönderir, başvuru reddedilmez. Tamamen anlamsız veya kötü niyetli başvurularda red gelir — bu durumda KVKK Madde 18 kapsamında ceza riski doğar. Pratikte ciddi/iyi niyetli her başvuru kabul edilir.

Yıllık VERBİS güncellemesi unutulursa?

KVKK Madde 16/3’e göre 7 gün içinde bildirim yapılmaması bir ihlal. Pratikte Kurul, küçük değişikliklerde uyarı verir. Sistematik güncelleme yokluğu varsa ceza yelpazesinde 188.000 — 9.464.000 TL arasında işlem.

VERBİS sicili kamuya açık mı?

Evet, bazı bilgiler kamuya açık: veri sorumlusu adı, vergi no, faaliyet konusu, irtibat kişisi (kısmi). Detaylı işleme bilgileri (envanter detayı, teknik tedbirler) kamuya açık değil. İlgili kişi “bu firma benim verimi işliyor mu?” sorgulamasını yapabilir.

KOBİ’yim, eşik altındayım — yine de kayıt yaptırayım mı?

Zorunlu değil, ama 3 sebepten önerilir: 1) “Veri yönetiminde kurumsallık” imajı — büyük müşterilere referans, 2) İç envanter disiplini — VERBİS hazırlığı operasyonu düzenler, 3) Eşiği geçtiğiniz gün hazırsınız (KOBİ’ler büyür, eşik geçince 30 gün içinde kayıt zorunluluğu doğar).

---

VERBİS başvurusu öncesi DLP altyapısını hazırlamak için: VeritaDLP’nin 15 günlük ücretsiz denemesi ile Sekme 8 (Veri Güvenliği Tedbirleri) doldurma sırasında “DLP var” diyebilirsiniz. Sorular için: mehmet@veritadlp.com.