Kişisel verileri koruma mevzuatına uyum denince birçok işverenin aklına ilk gelen konu VERBİS kaydı olur. Veri Sorumluları Sicil Bilgi Sistemi'nin kısaltması olan VERBİS, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 16. maddesine dayanan ve Kişisel Verileri Koruma Kurumu tarafından tutulan kamuya açık bir sicildir. Kayıt yükümlülüğü bulunan şirketler, hangi kişisel verileri hangi amaçla işlediklerini, kimlere aktardıklarını ve ne kadar süre sakladıklarını bu sicilde beyan eder.
Pratikte VERBİS, şirketin veri işleme faaliyetlerini dışarıya gösteren bir aynadır. Sicile girilen bilgiler, şirketin içeride tuttuğu kişisel veri işleme envanteriyle tutarlı olmak zorundadır. Bu yüzden kaydı "bir kere doldurup unutulan form" gibi görmek, ileride hem denetimde hem de çalışan şikâyetlerinde sorun yaratır.
Bu yazıda kimin kayıt olması gerektiğini nasıl değerlendireceğinizi, kayıt sırasında İK'nın hangi bilgileri hazırlaması gerektiğini ve kaydın nasıl güncel tutulacağını ele alıyoruz.
VERBİS Kaydı Kimler İçin Zorunlu?
Kanun, kural olarak veri sorumlularının sicile kayıt olmasını öngörür; ancak Kurul, objektif kriterler belirleyerek bazı veri sorumlularını bu yükümlülükten istisna tutabilir. Kurul bu kriterleri yıllık çalışan sayısı, yıllık mali bilanço toplamı ve ana faaliyet konusunun özel nitelikli kişisel veri işlemek olup olmadığı gibi ölçütlere bağlamıştır.
Bu eşiklerin rakamsal değerleri Kurul kararlarıyla belirlenir ve zaman içinde değişebilir. Bu nedenle kesin rakamı ezberden kullanmak yerine Kişisel Verileri Koruma Kurumu'nun güncel kararlarını ve duyurularını esas almanız gerekir. Değerlendirmede şu noktalara dikkat edin:
- Çalışan sayısı ve bilanço bilgisi, şirketin resmi kayıtlarındaki verilerle hesaplanmalıdır.
- Ana faaliyet konusu özel nitelikli veri işlemek olan veri sorumluları (ör. sağlık hizmeti veren bazı işletmeler), çalışan sayısı düşük olsa da kayıt yükümlülüğü kapsamında olabilir.
- Yurt dışında yerleşik olup Türkiye'de veri işleyen şirketler için ayrı kurallar vardır; bu şirketlerin veri sorumlusu temsilcisi atama yükümlülüğü bulunur.
- İstisna kapsamında olmak, KVKK'nın diğer yükümlülüklerinden muaf olmak anlamına gelmez. Aydınlatma, veri güvenliği ve ilgili kişi başvurularını yanıtlama yükümlülükleri herkes için geçerlidir.
Kayıt Öncesi Hazırlık: Envanter Olmadan Sicil Olmaz
VERBİS'e giriş yapmadan önce şirket içinde bir kişisel veri işleme envanteri hazırlanmalıdır. Sicil formu, envanterin özetidir. İK açısından envanterde genellikle şu süreçler yer alır:
| Süreç | Örnek veri kategorileri | Örnek amaç |
|---|---|---|
| İşe alım | Kimlik, iletişim, mesleki deneyim | Aday değerlendirme |
| Özlük yönetimi | Kimlik, özlük, finans | İş sözleşmesinin ifası |
| Bordro ve SGK | Finans, kimlik, aile bilgisi | Yasal yükümlülükler |
| İSG | Sağlık verisi | İş sağlığı ve güvenliği |
| Fiziksel güvenlik | Görsel kayıt, giriş-çıkış | Tesis güvenliği |
Her süreç için veri kategorisi, ilgili kişi grubu (çalışan, aday, stajyer, ziyaretçi), işleme amacı, hukuki sebep, alıcı grupları (SGK, vergi dairesi, banka, işyeri hekimi, yazılım sağlayıcısı), yurt dışına aktarım durumu, saklama süresi ve alınan güvenlik tedbirleri belirlenir.
Adım Adım VERBİS Kayıt Süreci
- Yetkili kişileri belirleyin: Veri sorumlusu adına irtibat kişisi atanır. İrtibat kişisi, Kurum ile iletişimi sağlayan kişidir; şirketi hukuken temsil etmez ama sicil bilgilerinin doğruluğundan sorumlu ekip içinde yer alır.
- Sisteme giriş bilgilerini tamamlayın: Şirketin tüzel kişilik bilgileri ve yetkili kişilerin bilgileri sisteme girilir.
- Veri kategorilerini işaretleyin: Envanterdeki her veri kategorisi için ilgili kişi grubunu, işleme amacını ve alıcı grubunu eşleştirin.
- Saklama sürelerini yazın: Her veri kategorisi için azami saklama süresi beyan edilir. Bu sürelerin kişisel veri saklama ve imha politikanızla birebir uyumlu olması gerekir.
- Güvenlik tedbirlerini seçin: İdari ve teknik tedbirler listeden işaretlenir. Yalnızca gerçekten uyguladığınız tedbirleri işaretleyin.
- Yurt dışı aktarımı beyan edin: Bulut hizmetleri, grup şirketleri veya yazılım sağlayıcıları üzerinden yurt dışına aktarım varsa bu beyan edilmelidir.
- Kaydı tamamlayıp belgeleyin: Kayıt sonrası ekran çıktılarını ve envanter sürümünü dosyalayın.
Sık Yapılan Hatalar
- Envanterle uyumsuz beyan: Sicilde olmayan bir amaçla veri işlemek ya da beyan edilen saklama süresini aşmak, denetimde ilk tespit edilen tutarsızlıklardandır.
- Her tedbiri işaretlemek: Uygulanmayan tedbirleri işaretlemek, olası bir veri ihlali incelemesinde şirketin aleyhine döner.
- Güncellememek: Yeni bir İK yazılımına geçiş, yeni bir yan hak sağlayıcısı veya yeni bir lokasyon sicilin güncellenmesini gerektirebilir.
- İrtibat kişisinin ayrılması: İrtibat kişisi şirketten ayrıldığında bilgiler güncellenmezse Kurum yazışmaları yanlış kişiye gider.
- "Kayıt oldum, uyum tamam" yanılgısı: VERBİS, uyum sürecinin yalnızca bir parçasıdır.
Bir diğer kritik nokta, sicil ile aydınlatma metinleri arasındaki tutarlılıktır. Çalışan aydınlatma metninde "verileriniz yurt dışına aktarılmaz" yazarken sicilde yurt dışı aktarım beyan etmek ya da tam tersi, çalışanın başvurusu veya bir Kurul incelemesi sırasında hemen fark edilir. Sicil, envanter, aydınlatma metni ve saklama-imha politikası aynı kaynaktan beslenen dört belge olarak düşünülmelidir. Birinde yapılan değişiklik, diğer üçünün de kontrol edilmesini gerektirir.
Kaydı Güncel Tutmak İçin Pratik Bir Takvim
Sicil bilgilerinde değişiklik olduğunda güncelleme yapılması gerekir. Değişikliğin bildirim süresi için Kurum'un güncel yönetmelik ve duyurularını esas alın. Pratikte şu yöntem işe yarar:
- Envanteri yılda en az bir kez gözden geçirin.
- İK, BT ve satın alma birimlerinden "yeni veri işleme faaliyeti" bildirimi alan basit bir değişiklik formu oluşturun.
- Periyodik imha dönemlerinizi sicil kontrolüyle birleştirin. Periyodik imha süresi KVKK ikincil mevzuatına göre 6 ayı geçemez; bu dönemleri sicil kontrol takvimi olarak da kullanabilirsiniz.
Saklama sürelerini nasıl belirleyeceğinize dair ayrıntılar için KVKK kapsamında çalışan verilerinin saklanması ve imhası yazımıza göz atabilirsiniz.
VERBİS Sürecinde Profesyonel Destek
VERBİS kaydı teknik olarak birkaç saatte tamamlanabilir; zor olan, arkasındaki envanteri doğru çıkarmak ve şirket büyüdükçe güncel tutmaktır. İK Partner olarak işe alımdan ayrılışa kadar İK süreçlerinizdeki veri akışlarını haritalıyor, envanter ve sicil kaydınızı birlikte yapılandırıyoruz. İş hukuku ve mevzuat uyumu hizmetimiz kapsamında mevcut kaydınızı ücretsiz ilk görüşmede birlikte değerlendirebiliriz.
Not: Bu içerik genel bilgilendirme amaçlıdır; mevzuat ve Kurul kararları değişebilir. Somut durumunuz için hukuk danışmanınıza başvurmanızı öneririz.
