KVKK, küçük ölçekli veri sorumlularını VERBİS yükümlülüğünden muaf tuttu
Kişisel Verileri Koruma Kurumu (KVKK), VERBİS kayıt ve bildirim yükümlülüğüne ilişkin yeni bir düzenleme kararı alarak, bazı küçük ölçekli veri sorumlularını istisna kapsamına aldı. Kurul kararı, Resmi Gazete'nin bugünkü sayısında yayımlandı.
Kararın kapsamı ve gerekçesi
Kurumun yazılı açıklamasında, kişisel veri işleyen gerçek ve tüzel kişi veri sorumlularının genel olarak VERBİS'e kayıt yükümlülüğünün bulunduğu hatırlatıldı. Ancak, Kanun'un 16. maddesi uyarınca Kurulun belirleyeceği objektif kriterlere göre bu yükümlülüğe istisna getirilebildiği belirtildi.
Açıklamada, özellikle ana faaliyet konusu özel nitelikli kişisel veri işleme olan ve yıllık çalışan sayısı 10'dan az ile yıllık mali bilanço toplamı 10 milyon liradan az olan gerçek veya tüzel kişi veri sorumlularının VERBİS'e kayıt ve bildirim yükümlülüğünden muaf tutulmasına karar verildiği bildirildi. Karar, Kurulun 4 Eylül 2025 tarihli ve 2025/1572 sayılı kararı ile alındı.
Önceki uygulamalar
Kurum açıklamasında ayrıca, 2018'de alınan kararla çalışan sayısı 50'nin ve mali bilançosu 25 milyon liranın altında olan veri sorumlularının VERBİS'e kayıt yükümlülüğünden istisna tutulduğu, daha sonra bu sınırın 100 milyon liraya çıkarıldığı hatırlatıldı. Mevcut düzenlemede ise mikro işletme niteliğindeki veri sorumlularının sınırlı personel ve mali kaynakla hukuki ve bilgi işlem alanlarında yeterli istihdam imkanına sahip olmaması ve diğerlerine kıyasla sınırlı sayıda kişisel veri işlemeleri gerekçe gösterildi.
Uygulama ölçütleri ve beklenen etkiler
Kurum, istisnanın uygulanmasında esas alınacak kriterleri yıllık mali bilanço ve yıllık çalışan sayısı olarak belirledi. Bu düzenleme, mikro ölçekli veri sorumluları için VERBİS yükümlülüğünün getirdiği idari yükün hafifletilmesini amaçlıyor.
Resmi açıklama kapsamında Kurul, söz konusu değerlendirmenin ülkenin ekonomik koşulları ve Küçük ve Orta Büyüklükteki İşletmeler Yönetmeliği kapsamındaki mikro işletme sınırları dikkate alınarak yapıldığını vurguladı.
Özetle, 4 Eylül 2025 tarihli karar ile ana faaliyeti özel nitelikli kişisel veri işleme olan ve belirtilen ölçütleri sağlayan küçük ölçekli veri sorumluları VERBİS'e kayıt ve bildirim yükümlülüğünden muaf tutulmuştur.
