VERBİS’ten Muaf Şirket KVKK’ya Tabi mi?

VERBİS kayıt yükümlülüğünden muaf olmak, işletmenin bütün KVKK yükümlülüklerinden muaf olduğu anlamına gelmez. Sicil istisnası, belirli koşullarda kayıt ve bildirim yükümlülüğüne ilişkindir. Kişisel veriyi hukuka uygun işleme, aydınlatma, gerekli güvenlik tedbirlerini alma ve ilgili kişinin başvurusunu cevaplama gibi yükümlülükler ayrıca devam edebilir. “Çalışan sayımız az, KVKK bizi bağlamıyor” açıklaması tek başına doğru değildir.

Sicil ile veri işlemenin hukuki dayanağı farklıdır

VERBİS, veri sorumlularının kayıt ve bildirim yaptığı sistemdir. Kayıt, işletmenin her veri işleminin önceden onaylandığı bir izin belgesi değildir. Aynı şekilde kayıttan istisna tutulmak da müşterilerin telefonlarını, çalışanların dosyalarını veya kamera görüntülerini sınırsız kullanma yetkisi vermez. Veri işleme faaliyeti kendi amacı, şartları ve sınırları içinde değerlendirilir.

Veri Sorumluları Sicili Hakkında Yönetmeliğin 5. maddesi bu ayrımı açıkça kurar. Kanunun 28. maddesindeki durumlar saklı olmak üzere, objektif kriterlerle sicile kayıttan istisna tutulma Kanun kapsamındaki diğer yükümlülükleri kaldırmaz. Dolayısıyla gerçek bir sicil istisnası bulunması ile belirli veri işleminin bütünüyle veya kısmen Kanun dışında kalması aynı hukuki değerlendirme değildir.

Küçük işletme için hangi eşikler önem taşıyor?

Ana faaliyet konusu özel nitelikli kişisel veri işleme olmayanlar bakımından yıllık çalışan sayısının elliden az ve yıllık mali bilanço toplamının yüz milyon Türk lirasından az olması, ilgili Kurul kararındaki kayıt istisnası açısından birlikte değerlendirilir. Bilanço toplamıyla satış hasılatı aynı kavram değildir. Yalnız günlük çalışan sayısına bakılarak kesin sonuç kurulması da doğru olmaz.

4 Eylül 2025 tarihli 2025/1572 sayılı kararla, ana faaliyet konusu özel nitelikli veri işleme olan bazı küçük veri sorumluları için de istisna tanınmıştır. Bu grupta yıllık çalışan sayısının ondan az ve yıllık mali bilanço toplamının on milyon Türk lirasından az olması birlikte aranır. Bu değişiklikten önce hazırlanmış listeler güncel durumu yansıtmayabilir; işletmenin hangi kategoriye girdiği belgeleriyle incelenmelidir.

Müşterinin başvurusu reddedilebilir mi?

Sırf VERBİS muafiyeti ileri sürülerek müşterinin kendi verisine ilişkin talebi yok sayılamaz. Hangi verilerin tutulduğu, işleme amacı veya yanlış kaydın düzeltilmesi gibi talepler usulüne uygun başvuru kapsamında ele alınır. KVKK başvurusunun cevaplanması için öngörülen çerçeve, sicilde görünmeyen veri sorumlusunu da koşulları içinde ilgilendirir.

Örneğin müşteri, numarasının başka işletmeye aktarılıp aktarılmadığını soruyorsa cevap yalnız muafiyet belgesinden ibaret bırakılamaz. Önce başvurunun kişiye ve işlenen veriye ilişkin olup olmadığı değerlendirilir. Kabul veya ret gerekçesi uygun yöntemle bildirilir. Sicil yükümlülüğünün olmaması, somut sorunun cevabının bulunmadığı anlamına gelmez.

Güvenlik ve silme yükümlülükleri ne olur?

Küçük işletmede de veriye kimlerin erişebileceği belirlenmeli, yetkisiz erişime karşı uygun teknik ve idari tedbirler alınmalıdır. Her çalışanın tüm müşteri dosyasına erişmesi veya eski hesapların açık tutulması, personel sayısının azlığıyla kendiliğinden haklı hâle gelmez. Tedbirlerin kapsamı faaliyet ve riskle ilişkili olarak belirlenir.

Saklama için hukuki sebep veya ihtiyaç sona erdiğinde silme, yok etme ya da anonimleştirme kuralları değerlendirilir. Bununla birlikte bazı kayıtların başka mevzuat uyarınca tutulması gerekebilir. Veri ihlali yaşanırsa kişisel veri ihlalinde bildirim ve gerekli müdahale konusu ayrıca incelenir. Sicil muafiyeti, yaşanan olayı görmezden gelme gerekçesi yapılamaz.

Muafiyet iddiası nasıl belgelenmeli?

İşletmenin ana faaliyeti, ilgili yıllık çalışan ve bilanço verileri, kullanılan istisna kararı ve değerlendirme tarihi kaydedilebilir. Faaliyet veya mali durum değiştiğinde eski sonuca sürekli güvenilmemelidir. Yurt dışında yerleşiklik, özel faaliyet türü veya farklı bir istisna söz konusuysa kendi kuralları ayrıca kontrol edilir; tek eşik bütün işletmelere genellenmez.

Varsayımsal örnek: Bir küçük mağaza kayıt istisnasından yararlanıyor olsun. Müşteri telefonlarının personelin kişisel cihazına aktarılması ve reklamlarda kullanılması ayrıca hukuki dayanak gerektirir. Mağazanın sicile kayıt zorunluluğu bulunmaması, bu aktarımın gerekli, ölçülü ve hukuka uygun olduğunu tek başına kanıtlamaz.

Hukuki kaynaklar

• Veri Sorumluları Sicili Hakkında Yönetmelik — m.5/1-f,15–16.
• KVKK güncel sicil istisnası duyurusu — 2023/1154 ve 04.09.2025 tarihli 2025/1572; sicil kayıt eşikleri.
• 6698 sayılı Kanun — Kurumun resmî İngilizce çevirisi — m.4–7,10–13,16,28; Türkçe metin esas alınır.