VERBİS, Veri Sorumluları Sicil Bilgi Sistemi'nin kısaltması. Kişisel Verileri Koruma Kurumu tarafından tutulan ve veri işleyen kuruluşların kendilerini kaydettirdiği bir sicil.
Kayıt, kişisel veri işleyen her kuruluş için değil, belirli eşikleri aşanlar için zorunlu. Bu eşikler ve istisnalar zaman zaman güncellendiği için güncel durumu kvkk.gov.tr adresinden kontrol etmek gerekir.
Bu yazı genel bilgilendirmedir; kendi durumunuz için hukuki değerlendirme gerekir.
VERBİS ne işe yarıyor?
Sicil, hangi kuruluşun hangi tür kişisel verileri, hangi amaçla işlediğini kamuya açık biçimde gösteriyor.
Kişiler, bir kuruluşun verilerini nasıl işlediğini buradan öğrenebiliyor. Kurum ise denetim ve şeffaflık amacıyla bu kaydı tutuyor.
Kayıt, veri işleme faaliyetinizin envanterini çıkarmanızı da gerektirdiği için, uyum çalışmasının doğal bir parçası oluyor.
Kimler kayıt yaptırmak zorunda?
Zorunluluk, çalışan sayısı, yıllık mali bilanço ve işlenen verinin niteliği gibi ölçütlere bağlı olarak belirleniyor.
Genel olarak belirli büyüklüğün üzerindeki kuruluşlar ile ana faaliyeti özel nitelikli veri işlemek olan kuruluşlar kapsama giriyor. Kamu kurumları için ayrı düzenlemeler var.
Bazı gruplar ise istisna tutulmuş durumda; küçük ölçekli ve sınırlı veri işleyen bazı kuruluşlar bu kapsamda.
Eşiklerin güncel değerleri ve istisna listesi değişebildiği için, kendi durumunuzu Kurumun sitesinden doğrulamanız gerekir. İnternette dolaşan eski rakamlara güvenmeyin.
Kayıt zorunluluğunuz yoksa
VERBİS kaydı zorunlu değilse, KVKK yükümlülüklerinizin ortadan kalktığı anlamına gelmiyor. Bu sık yapılan bir yanlış anlama.
Aydınlatma yükümlülüğü, veri güvenliği, saklama süresi belirleme ve ilgili kişi başvurularını yanıtlama gibi sorumluluklar, sicil kaydından bağımsız olarak devam ediyor.
Sicil yalnız bir kayıt sistemi; kanunun getirdiği yükümlülüklerin tamamı değil.
Kayıt süreci
Süreç kabaca şu adımlardan oluşuyor.
Veri envanteri hazırlama. Hangi verileri, kimden, hangi amaçla topluyorsunuz; kimlerle paylaşıyorsunuz; ne kadar süre saklıyorsunuz. Bu, sürecin en zaman alan ve en faydalı kısmı.
İrtibat kişisi belirleme. Kurum ile iletişimi yürütecek kişi. Bu kişi veri sorumlusunu temsil eder ancak hukuki sorumluluğu üstlenmez.
Sisteme giriş ve bildirim. Envanterdeki bilgiler sisteme girilir.
Güncelleme. Veri işleme faaliyetleriniz değiştiğinde kayıt güncellenmelidir.
Envanter çalışması, kayıt zorunluluğu olmayan kuruluşlar için de değerli; elinizde ne olduğunu bilmeden veriyi korumanız mümkün değil.
Envanter çıkarırken
Pratik bir yaklaşım, veriyi topladığınız noktalardan geriye doğru gitmek.
Müşteri kaydı, çalışan özlük dosyası, tedarikçi bilgileri, web sitesi formları, kamera kayıtları, telefon kayıtları, kartvizit koleksiyonu.
Her kalem için dört soruyu cevaplayın: ne topluyorum, neden topluyorum, kimlerle paylaşıyorum, ne kadar süre saklıyorum.
Çoğu kuruluş bu listeyi ilk kez çıkardığında, gerekçesi olmayan veri tuttuğunu fark eder. Bunları silmek, hem yükümlülüğü hem riski azaltır.
Sık yapılan hatalar
Kaydı yapıp unutmak. Faaliyetler değiştiğinde kayıt güncellenmeli.
Envanteri yüzeysel hazırlamak. Genel ifadelerle doldurulan bir envanter, denetimde işe yaramaz.
Kayıt zorunluluğu yok diye hiçbir şey yapmamak. Diğer yükümlülükler devam ediyor.
Fiziksel ortamları atlamak. Kağıt üzerinde tutulan kayıtlar da kişisel veridir.
Sık sorulanlar
Kayıt ücretli mi?
Sicile kayıt için Kuruma ödenen bir ücret bulunmuyor. Danışmanlık alırsanız o ayrı bir maliyet olur.
Kaydı kendim yapabilir miyim?
Basit yapıdaki kuruluşlar için mümkün. Karmaşık veri işleme faaliyetleri, yurt dışına aktarım ya da özel nitelikli veri söz konusuysa destek almak yerinde olur.
Kayıt yaptırmazsam ne olur?
Kanunda idari para cezaları öngörülmüş durumda; tutarlar her yıl güncelleniyor. Güncel tutarlar için Kurumun duyurularına bakmak gerekir.
Şirketim küçük, gerçekten kapsamda mıyım?
Eşikler değişebildiği için genel bir cevap vermek doğru olmaz. Kurumun sitesindeki güncel ölçütlere bakarak kendi durumunuzu değerlendirin.
Kanunun genel çerçevesi için KVKK rehberimize, aydınlatma yükümlülüğü için aydınlatma metni nasıl hazırlanır yazımıza bakabilirsiniz.
Envanteri güncel tutmak
Sicil kaydı bir kez yapılıp bırakılacak bir şey değil.
Yeni bir yazılım kullanmaya başladığınızda, yeni bir hizmet sağlayıcıya veri aktardığınızda ya da yeni bir veri türü toplamaya başladığınızda envanter ve kayıt güncellenmeli.
Pratik bir rutin: yılda bir kez envanteri gözden geçirmek ve değişiklikleri işlemek. Bu, hem kaydı güncel tutar hem gereksiz biriken veriyi fark etmenizi sağlar.
Değişikliği zamanında bildirmemek de yükümlülük ihlali sayılabilir.
İrtibat kişisi seçimi
İrtibat kişisi, Kurum ile iletişimi yürüten kişidir ve hukuki sorumluluğu üstlenmez; sorumluluk veri sorumlusundadır.
Yine de bu kişinin veri işleme süreçlerini bilen biri olması işe yarar. Tamamen ilgisiz bir çalışanı atamak, gelen taleplere yanıt verilememesine yol açar.
Kişi değiştiğinde kaydın güncellenmesi gerekir; bu da sık atlanan bir adımdır.