VERBİS istisnası KVKK yükümlülüklerini ortadan kaldırmıyor

VERBİS’e kayıt gereği, veri sorumlusunun ana faaliyetine ve yıllık çalışan sayısına; bilanço esasına göre defter tutuyorsa yıllık mali bilanço toplamına bağlıdır. Kişisel Verileri Koruma Kurulunun uygulama esasları duyurusu, ana faaliyeti özel nitelikli kişisel veri işleme olmayanlar için 50 çalışan ve 100 milyon TL, bu faaliyeti ana iş olarak yürütenler için 10 çalışan ve 10 milyon TL altındaki istisna sınırlarını açıklıyor. Bilanço esasına göre defter tutmayanlarda ise ilgili çalışan sınırı tek başına esas alınıyor.

Bu eşiklere göre Sicile kaydolmayan veri sorumlusu, kişisel verileri işlemeye ilişkin ödevlerinden muaf olmaz. Veri Sorumluları Sicili Hakkında Yönetmelik, kayıt istisnasının Kanun kapsamındaki diğer yükümlülükleri kaldırmadığını ve sonradan kayıt yükümlüsü olanların 30 gün içinde Sicile kaydolacağını düzenler. Aydınlatma, uygun işleme şartı ve veri güvenliği bu nedenle kayıt kararından ayrı değerlendirilir.

Önce veri sorumlusunu ve ana faaliyeti belirleyin

Karar ağacının başlangıç noktası, kişisel verilerin hangi amaçla ve hangi araçlarla işleneceğine karar veren gerçek veya tüzel kişidir. İşletmenin bölümlerini ayrı veri sorumluları gibi ele alıp yalnızca belirli bir ekibin çalışan sayısıyla eşik hesabı yapmak sonucu değiştirebilir. Başka bir işletmenin talimatlarıyla veri işleyen hizmet sağlayıcı ile işleme amaçlarını kendisi belirleyen işletmenin rolü de aynı değildir.

Ardından özel nitelikli kişisel veri işlemenin işletmenin ana faaliyeti olup olmadığına bakılır. Bir perakendecinin çalışanlarına ait sağlık verilerini işlemesi, tek başına ana faaliyetinin özel nitelikli veri işleme olduğu anlamına gelmez; veri türü ile işletmenin esas işi ayrı sorulardır. Ana faaliyet bu verilerin işlenmesine dayanıyorsa daha düşük eşikler uygulanır. Bu ayrım yapılmadan yalnızca işletmenin sağlık verisi işlediğini görmek, doğru kayıt sonucuna ulaşmak için yeterli değildir.

Faaliyet ve defter türüne göre karar dalları

İstisna sınırlarında “az” sözcüğü belirleyicidir: sınıra eşit değer, sınırın altında sayılmaz. Bilanço esasına göre defter tutan işletmede çalışan ve bilanço koşulları birlikte sağlanmalıdır. Diğer defter usullerinde bilanço toplamı bulunmadığı için çalışan koşulu tek başına kullanılır.

• Ana faaliyet özel nitelikli veri işleme değil; bilanço esasına göre defter tutuluyor: Yıllık çalışan sayısı 50’den az ve yıllık mali bilanço toplamı 100 milyon TL’den azsa bu büyüklük istisnası uygulanır. İki koşuldan biri karşılanmıyorsa bu dala dayanarak kayıttan muaf olunamaz.
• Ana faaliyet özel nitelikli veri işleme; bilanço esasına göre defter tutuluyor: Yıllık çalışan sayısı 10’dan az ve bilanço toplamı 10 milyon TL’den azsa istisna uygulanır. Diğer faaliyetler için öngörülen yüksek sınırlar bu gruba taşınmaz.
• Bilanço esasına göre defter tutulmuyor: Ana faaliyete uygun çalışan sınırı uygulanır. Bilanço belgesi bulunmaması, istisnayı otomatik olarak ortadan kaldırmaz; varsayımsal bir bilanço tutarıyla da test yapılmaz.
• İlgili eşik karşılanmıyor: İşletmeye gerçekten uyan başka bir Sicil istisnası olup olmadığı ayrıca incelenir. Böyle bir istisna yoksa veri sorumlusu için kayıt yükümlülüğü devam eder.

Yönetmelikte belirli veri işleme faaliyetlerine ilişkin istisnalar da yer alır. Bir faaliyetin bildirim dışında kalması ile veri sorumlusunun tamamının Kurul kararıyla kayıt dışı bırakılması aynı kapsamda değerlendirilmez. Bu nedenle işletmenin tek bir veri işleme işlemi için gördüğü istisnayı bütün faaliyetlerine yayması doğru bir karar dalı oluşturmaz.

Çalışan sayısı ve bilanço toplamı nasıl ölçülür?

Çalışan eşiği, bugün işyerinde bulunan kişi sayısına göre hesaplanmaz. Kurumun VERBİS soru-cevap rehberi, tamamlanmış bir yılın 12 ayından en az 7’sinde Muhtasar ve Prim Hizmet Beyannamesinde bildirilen çalışan sayısının ilgili sınıra ulaşıp ulaşmadığına bakılacağını açıklıyor. Bu ayların arka arkaya gelmesi gerekmiyor; ana faaliyeti özel nitelikli veri işleme olanlar için de aynı hesaplama yöntemi kullanılıyor.

Örneğin koşullu olarak, çalışan sayısı ilgili sınıra yıl içinde yalnızca kısa bir dönem ulaşmışsa tek bir yoğun ay yıllık çalışan ölçütünü tek başına belirlemez. Buna karşılık yılın farklı dönemlerine dağılmış eşik üstü aylar birlikte değerlendirilir. Ölçüm, işletmenin tahmini kadro planına değil, ilgili beyannamelerde bildirdiği sayılara dayanır.

Bilanço esasına göre defter tutanlarda yıllık mali bilanço toplamı, tamamlanmış yılın gelir veya kurumlar vergisi beyannamesi ekindeki bilançonun aktif ya da pasif toplamıdır. Ciro, net satış veya brüt satış hasılatı bu tutarın yerine kullanılmaz. Böylece çalışan eşiğinin altında kalan bir işletmenin bilanço toplamı sınırda ya da üzerinde ise büyüklük istisnası uygulanmaz. Bilanço esasına göre defter tutmayanların yalnız çalışan sayısıyla değerlendirilmesi, düşük ciroya sahip oldukları varsayımından değil, bu usulde karşılaştırılacak bilanço toplamının bulunmamasından kaynaklanır.

İstisnadan sonra hangi KVKK ödevleri sürer?

Sicile kayıt sonucu, müşterinin, çalışanın veya tedarikçi temsilcisinin verisinin hangi amaçla toplandığını ve nasıl korunduğunu değiştirmez. İstisna kapsamındaki veri sorumlusunun günlük işleyişinde şu yükümlülükler önemini korur:

• Aydınlatma: Kişisel veriler elde edilirken ilgili kişiye veri sorumlusunun kimliği, işleme amacı, verilerin kimlere ve hangi amaçla aktarılabileceği, toplama yöntemi, hukuki sebep ve hakları hakkında bilgi verilir. VERBİS kaydının bulunmaması bu bilgilendirmeyi gereksiz kılmaz.
• İşleme şartları: Her işleme faaliyeti uygun hukuki şarta dayanmalıdır. Açık rıza gereken durumda rıza alınması, kişinin ayrıca aydınlatılması gereğini ortadan kaldırmaz. Özel nitelikli veriler için geçerli işleme şartları da faaliyetin niteliğine göre değerlendirilir.
• Veri güvenliği: Hukuka aykırı erişim ve işlemeyi önlemek, verilerin korunmasını sağlamak için uygun teknik ve idari tedbirler alınır. Örneğin erişim yetkilerinin kimin hangi veriye ihtiyaç duyduğuna göre sınırlandırılması, kayıt istisnasından bağımsız bir güvenlik konusudur.
• İlgili kişi başvuruları: Kişiler verilerine ilişkin haklarını kullanmak için veri sorumlusuna başvurabilir. İşletmenin bu talepleri alıp değerlendirebilmesi, Sicilde kaydının bulunmasına bağlı değildir.
• Saklama ve imha: Veriyi işlemeyi gerektiren şartlar ortadan kalktığında silme, yok etme veya anonim hâle getirme yükümlülüğü devam eder. Kayıt istisnası, verilerin belirsiz süreyle elde tutulmasına izin vermez.

Bu ödevler, Sicile kayıtla yükümlü olanlar için öngörülen her kayıt belgesinin istisna kapsamındaki işletmeye aynen uygulandığı anlamına gelmez. Örneğin Yönetmelik, kişisel veri işleme envanteri hazırlama şartını Sicile kayıtla yükümlü veri sorumluları için düzenler. Buna karşılık istisna kapsamındaki işletmenin aydınlatma, işleme şartı, güvenlik ve imha kararlarını verebilmesi için hangi verileri neden tuttuğunu bilmesi gerekir.

Ana faaliyet, defter tutma usulü veya tamamlanmış yıla ait çalışan ve bilanço verileri değişirse kayıt sonucu da değişebilir. Özellikle çalışan sınırı ya da bilanço sınırı aşıldığında, büyüklük istisnasının artık uygulanıp uygulanmadığı yeni verilerle değerlendirilir; başka bir istisna bulunmuyorsa Sicile kayıt gereği doğar.

Ayrıca okuyun:

• Claude sohbetinizi eğitime kapatabilirsiniz; güvenlik incelemesi istisna
• 2026’da içerik üreticisi vergi istisnası: sınır 5,3 milyon TL
• OpenAI kamuya erişim ücretini kaldırdı: Token kullanımı yüzde 50 indirimli