VERBİS (İngilizce: Data Controllers' Registry Information System), Veri Sorumluları Sicil Bilgi Sistemi'nin kısaltması demektir. Kişisel Verileri Koruma Kurumu tarafından yönetilen bu çevrim içi sistem, kayıt yükümlülüğü bulunan veri sorumlularının hangi kişisel verileri, hangi amaçlarla işlediğini ve bunları ne kadar süre sakladığını kamuya açık biçimde beyan ettiği sicildir.
VERBİS, KVKK uyumunun en görünür adımlarından biridir; çünkü yapılan beyanlar herkesin erişebileceği bir sicilde yayımlanır. İşverenler için önemi, beyanların büyük bölümünün çalışan ve aday verileriyle ilgili olmasından kaynaklanır. Bu nedenle kavram; İK yöneticilerini, KVKK irtibat kişilerini, hukuk ve uyum ekiplerini ve şirket yöneticilerini doğrudan ilgilendirir.
VERBİS Nedir? Amacı ve Hukuki Dayanağı
VERBİS'in hukuki dayanağı, 6698 sayılı Kanun'un Veri Sorumluları Sicili'ni düzenleyen 16. maddesidir. Kanuna göre kişisel veri işleyen gerçek ve tüzel kişiler, veri işlemeye başlamadan önce bu sicile kaydolmak zorundadır; ancak Kurul, objektif ölçütlere göre bazı veri sorumlularını kayıt yükümlülüğünden muaf tutabilir. Muafiyet ölçütleri ve kayıt süreleri Kurul kararlarıyla belirlenir ve zaman içinde değişebilir; bu nedenle güncel eşikler için Kurum duyurularını takip etmek gerekir.
Sicilin üç temel amacı vardır:
- Şeffaflık: İlgili kişilerin, bir kurumun hangi verileri işlediğini kamuya açık bir kaynaktan görebilmesi.
- Hesap verebilirlik: Veri sorumlusunun kendi işleme faaliyetlerini sistematik olarak gözden geçirmesi.
- Denetim kolaylığı: Kurum'un veri sorumlularının beyanlarına tek bir yerden ulaşabilmesi.
Temel Kavramlar
VERBİS sürecinde karşılaşılan başlıca roller ve terimler şunlardır:
| Kavram | Anlamı |
|---|---|
| Veri sorumlusu | Kayıt yükümlüsü olan gerçek veya tüzel kişi; çalışan verileri bakımından işveren |
| Veri sorumlusu temsilcisi | Yurt dışında yerleşik veri sorumluları için Türkiye'de atanan temsilci |
| İrtibat kişisi | Kurum ile iletişimi sağlamak üzere belirlenen gerçek kişi |
| İrtibat kişisi kullanıcısı | Sisteme bilgi girişi yapmak için yetkilendirilen kişi |
| Veri kategorisi | Kimlik, iletişim, özlük, sağlık gibi veri grupları |
| İşleme amacı | Verilerin hangi gerekçeyle işlendiği (örneğin ücret politikasının yürütülmesi) |
| Azami saklama süresi | Her veri kategorisi için beyan edilen en uzun saklama süresi |
İrtibat kişisi rolü sıklıkla Avrupa'daki veri koruma görevlisiyle karıştırılır. Oysa irtibat kişisi, kanunen veri sorumlusunu temsil etme yetkisi olmayan ve esas olarak Kurum ile iletişimi sağlayan bir kişidir; uyumdan doğan sorumluluk veri sorumlusunda kalır.
VERBİS ile Veri Envanteri Arasındaki İlişki
VERBİS'e girilen bilgiler, kurumun iç dokümanı olan veri envanterinin özetidir. Envanter; hangi birimin hangi veriyi, hangi amaçla, hangi hukuki dayanakla işlediğini, kimlere aktardığını ve ne kadar sakladığını ayrıntılı olarak gösterir. Sicildeki beyan ise bu bilgilerin kategoriler düzeyinde kamuya açıklanmış halidir.
Bu nedenle sağlıklı bir kayıt için sıralama şöyledir:
- Birim bazında veri işleme faaliyetlerinin tespiti
- Veri envanteri hazırlanması
- Saklama ve imha sürelerinin belirlenmesi
- Bu bilgilerin VERBİS'e kategoriler halinde aktarılması
- Değişikliklerin sicile yansıtılarak kaydın güncel tutulması
Kayıt adımları, sık yapılan hatalar ve güncelleme takvimi için ayrıntılı VERBİS kaydı rehberimize göz atabilirsiniz.
Örnek Senaryo
Aşağıdaki durum örnek amaçlı kurgulanmıştır. Bir hizmet şirketi yıllar önce VERBİS'e kaydolmuş, ancak sonrasında yüz tanımalı giriş sistemi kurmuş ve bordrosunu dış kaynak bir firmaya devretmiştir. İç gözden geçirmede, sicildeki beyanda biyometrik veri kategorisinin ve bordro sağlayıcısına yapılan aktarımın yer almadığı görülür. Şirket önce veri envanterini günceller, ardından VERBİS kaydını bu değişiklikleri yansıtacak şekilde düzenler ve bir sonraki gözden geçirme tarihini uyum takvimine ekler.
Sık Karıştırılan Kavramlar
- VERBİS kaydı ve KVKK uyumu: Kayıt, uyumun yalnızca bir parçasıdır. Kayıt yükümlülüğünden muaf olan bir işveren de aydınlatma, veri güvenliği ve imha gibi diğer yükümlülüklere tabidir.
- İrtibat kişisi ve veri koruma görevlisi: İlki Türk hukukunda iletişim rolüdür; ikincisi GDPR'da tanımlanan ve bağımsızlık gerektiren bir uyum görevidir.
- Sicil kaydı ve aydınlatma metni: Sicil kamuya genel bilgi verir; aydınlatma metni ise ilgili kişiye doğrudan yapılan bilgilendirmedir.
İK Uygulamasında İpuçları
- İK'nın işlediği veri kategorilerini envanterde eksiksiz ve güncel tutun.
- Yeni bir İK sistemi, tedarikçi veya izleme uygulaması devreye girdiğinde sicil beyanını kontrol edin.
- Beyan edilen saklama sürelerinin, saklama ve imha politikanızdaki sürelerle örtüştüğünden emin olun.
- İrtibat kişisinin ayrılması veya görev değişikliği halinde bilgileri güncelleyin.
- Sicildeki beyanı yılda en az bir kez, aydınlatma metinleri ve envanterle yan yana koyarak okuyun; üç doküman aynı hikâyeyi anlatmıyorsa en güncel olanı esas alıp diğerlerini düzeltin.
- Şirket birleşmesi, unvan veya adres değişikliği gibi kurumsal olayları da sicil açısından kontrol listesine ekleyin; bu değişiklikler çoğu zaman yalnızca ticari işlemler olarak görülüp unutulur.
Bu yazı genel bilgilendirme amaçlıdır; somut durumlar için uzmana danışılmalıdır. İK Partner, iş hukuku ve mevzuat uyumu hizmeti kapsamında İK veri envanterinin hazırlanması ve sicil beyanının gözden geçirilmesinde destek verir. Durumunuzu ücretsiz ilk görüşmede konuşabiliriz.
İK sözlüğündeki diğer terimler için İK Sözlüğü sayfamıza göz atabilirsiniz.
