VERBİS KAYIT YÜKÜMLÜLÜĞÜNÜ YERİNE GETİRMEYEN ŞİRKETLERİ HANGİ YAPTIRIMLAR BEKLİYOR?

Kişisel verilerin korunması, dijitalleşmenin hız kazanmasıyla birlikte şirketlerin en önemli hukuki sorumluluk alanlarından biri haline gelmiştir. Günümüzde hemen her işletme; çalışanlarına, müşterilerine, tedarikçilerine veya iş ortaklarına ait kişisel verileri işlemektedir. Bu nedenle yalnızca kişisel verilerin güvenli şekilde saklanması değil, veri işleme faaliyetlerinin hukuka uygun biçimde yürütülmesi de büyük önem taşımaktadır. Türkiye'de bu alandaki temel düzenleme olan 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) kapsamında belirli şartları taşıyan veri sorumlularının Veri Sorumluları Sicil Bilgi Sistemi (VERBİS)'e kayıt yaptırması zorunludur. VERBİS yükümlülüğü yalnızca idari bir formalite olarak değerlendirilmemelidir. Sicile kayıt yapılmaması veya eksik ya da gerçeğe aykırı kayıt oluşturulması, şirketlerin ciddi idari para cezalarıyla karşılaşmasına neden olabileceği gibi, KVKK denetimleri sırasında başka ihlallerin de tespit edilmesine yol açabilir. Özellikle son yıllarda Kişisel Verileri Koruma Kurulu'nun denetim faaliyetlerini artırmasıyla birlikte, VERBİS yükümlülüğünün şirketler açısından önemi daha da artmıştır.

VERBİS, kişisel veri işleyen veri sorumlularının veri işleme faaliyetlerini kayıt altına aldığı ve kamu otoritesi tarafından yönetilen resmi kayıt sistemidir. Amaç, hangi şirketlerin hangi kişisel verileri işlediğinin, bu verilerin hangi amaçlarla kullanıldığının, kimlere aktarılabildiğinin ve ne kadar süre saklandığının şeffaf şekilde kayıt altına alınmasını sağlamaktır. VERBİS'e kayıt sırasında yalnızca şirket bilgileri değil, aynı zamanda veri kategorileri, veri işleme amaçları, hukuki işleme sebepleri, alıcı grupları, veri güvenliği tedbirleri, yurt dışına veri aktarımı ve saklama süreleri gibi birçok bilgi de sisteme girilmektedir. Bu nedenle VERBİS kaydı, şirketlerin kişisel veri envanterini oluşturmasını da zorunlu hale getiren önemli bir uyum sürecidir.

VERBİS'e Kayıt Zorunluluğu

KVKK ve Kişisel Verileri Koruma Kurulu kararları uyarınca her şirket otomatik olarak VERBİS'e kayıt yaptırmak zorunda değildir. Kayıt yükümlülüğü, şirketin faaliyet alanı, çalışan sayısı, yıllık mali bilançosu ve kişisel veri işleme faaliyetlerinin niteliği dikkate alınarak belirlenmektedir.

Örneğin çok sayıda müşteriye hizmet veren e-ticaret şirketleri, özel hastaneler, eğitim kurumları, çağrı merkezleri, teknoloji şirketleri, finans kuruluşları ve geniş kapsamlı insan kaynakları süreçleri yürüten işletmeler bakımından VERBİS yükümlülüğü sıklıkla gündeme gelmektedir. Bununla birlikte istisna kapsamında bulunan bazı veri sorumluları için Kurul tarafından farklı değerlendirmeler yapılabilmektedir. Bu nedenle her şirketin kendi faaliyet yapısı dikkate alınarak yükümlülüğünün ayrıca değerlendirilmesi gerekir.

VERBİS Kaydının Önemi

Birçok şirket VERBİS kaydını yalnızca sisteme birkaç bilgi girilmesinden ibaret teknik bir işlem olarak değerlendirmektedir. Oysa kayıt işlemi, şirketin kişisel veri yönetim sisteminin hukuka uygun şekilde oluşturulduğunu gösteren önemli unsurlardan biridir.

VERBİS kaydı hazırlanırken şirketin hangi kişisel verileri topladığı, bu verilerin hangi hukuki sebebe dayanılarak işlendiği, ne kadar süre saklandığı, kimlere aktarıldığı ve hangi teknik-idari güvenlik tedbirlerinin uygulandığı ayrıntılı şekilde analiz edilmektedir. Bu süreç aynı zamanda şirketin KVKK uyum seviyesinin de ortaya çıkmasını sağlamaktadır.

VERBİS Kaydının Yapılmaması

VERBİS'e kayıt yükümlülüğü bulunan bir şirketin bu yükümlülüğü yerine getirmemesi halinde 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18. maddesi kapsamında idari para cezası uygulanabilmektedir. İdari para cezaları her yıl yeniden değerleme oranına göre güncellendiğinden, ihlalin gerçekleştiği yıl itibarıyla uygulanacak tutarlar değişiklik gösterebilmektedir. İdari para cezasının yanında Kişisel Verileri Koruma Kurulu, eksikliğin giderilmesi yönünde talimat verebilir, veri işleme faaliyetlerini inceleyebilir ve şirket hakkında kapsamlı denetim başlatabilir. Denetim sırasında yalnızca VERBİS kaydı değil; aydınlatma metinleri, açık rıza süreçleri, saklama-imha politikaları, veri güvenliği tedbirleri ve diğer KVKK yükümlülükleri de incelenebilir. Bu nedenle başlangıçta yalnızca kayıt eksikliği olarak görülen bir durum, daha geniş kapsamlı hukuki sonuçlar doğurabilir.

Eksik veya Hatalı VERBİS Kaydı da Risk Oluşturur

Şirketlerin yaptığı en önemli hatalardan biri, yalnızca sisteme kayıt oluşturmanın yeterli olduğunu düşünmeleridir. Oysa VERBİS'te yer alan bilgilerin güncel, doğru ve şirketin gerçek veri işleme faaliyetleriyle uyumlu olması gerekmektedir. Örneğin şirket müşteri verilerini yurt dışındaki bulut sistemlerinde saklamasına rağmen VERBİS kayıtlarında yurt dışına veri aktarımı bulunmadığını beyan etmişse veya çalışan verilerini on yıl sakladığı halde sistemde farklı bir saklama süresi belirtilmişse, bu durum denetimlerde şirket aleyhine değerlendirilebilir. Aynı şekilde yeni veri işleme faaliyetleri başlamasına rağmen VERBİS kayıtlarının güncellenmemesi de hukuki risk oluşturabilir.

Şirketlerin Alması Gereken Önlemler

VERBİS yükümlülüğü yalnızca bilgi işlem departmanının veya dış danışmanın sorumluluğunda yürütülecek teknik bir süreç değildir. İnsan kaynakları, satış, pazarlama, muhasebe, bilgi teknolojileri ve hukuk birimlerinin birlikte çalışması gereken kurumsal bir uyum sürecidir. Şirketlerin öncelikle kişisel veri envanterlerini hazırlaması, hangi verileri hangi amaçlarla işlediklerini belirlemesi, saklama sürelerini gözden geçirmesi ve VERBİS kayıtlarını bu bilgiler doğrultusunda oluşturması gerekir. Bunun yanında aydınlatma metinlerinin güncellenmesi, veri saklama ve imha politikalarının hazırlanması, çalışan eğitimlerinin gerçekleştirilmesi ve veri güvenliği tedbirlerinin düzenli olarak gözden geçirilmesi de KVKK uyum sürecinin önemli parçalarıdır.

Güncel Kurul Kararlarının Önemi

KVKK uygulamaları yalnızca kanun metniyle sınırlı değildir. Kişisel Verileri Koruma Kurulu tarafından verilen ilke kararları ve idari yaptırım kararları, uygulamanın yönünü belirleyen en önemli kaynaklar arasında yer almaktadır. Kurul kararlarında hangi ihlallerin ağır kusur olarak değerlendirildiği, hangi teknik ve idari tedbirlerin yeterli kabul edildiği, veri güvenliği ihlallerinde şirketlerin hangi sorumlulukları taşıdığı ve VERBİS yükümlülüğünün nasıl yorumlandığı sürekli gelişmektedir. Bu nedenle şirketlerin yalnızca kanunu değil, güncel Kurul kararlarını da düzenli olarak takip etmesi gerekmektedir.

LegalMind ile KVKK ve VERBİS Araştırmalarını Daha Hızlı Yönetin

KVKK alanındaki düzenlemeler ve Kişisel Verileri Koruma Kurulu kararları sürekli gelişmektedir. Bu nedenle yalnızca kanun metnine ulaşmak çoğu zaman yeterli olmaz. Aynı konuda verilmiş Kurul kararlarının, yüksek yargı içtihatlarının ve akademik değerlendirmelerin birlikte incelenmesi gerekir.

LegalMind, yapay zeka destekli hukuk araştırma altyapısıyla KVKK, VERBİS, kişisel veri işleme süreçleri ve veri güvenliği konularına ilişkin güncel mevzuatı, yüksek yargı kararlarını, Kurul kararlarını, Resmi Gazete düzenlemelerini ve akademik hukuk kaynaklarını tek platformda bir araya getirir. Briefi Yapay Zeka Hukuk Asistanı sayesinde kullanıcılar "VERBİS kayıt yükümlülüğü", "KVKK idari para cezası", "Kişisel Verileri Koruma Kurulu kararları", "VERBİS güncelleme yükümlülüğü" veya "kişisel veri envanteri" gibi doğal dil sorgularıyla kapsamlı araştırmalar yapabilir. Böylece hukuk büroları, şirketlerin hukuk departmanları ve KVKK uyum ekipleri güncel hukuki gelişmeleri daha hızlı takip edebilir, benzer kararları analiz edebilir ve veri koruma süreçlerini daha güvenilir şekilde yönetebilir.