VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) nedir?

VERBİS, kişisel veri işleyen veri sorumlularının kaydolmakla yükümlü olduğu ve Kişisel Verileri Koruma Kurumu tarafından işletilen kamuya açık sicildir. Ad, Veri Sorumluları Sicil Bilgi Sistemi ifadesinin kısaltmasıdır; dayanağını 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun Sicile kayıt yükümlülüğünü düzenleyen hükmünden alır ve kural olarak veri sorumluları kişisel veri işlemeye başlamadan önce Sicile kaydolmak zorundadır. Sicile bildirilen şey verinin kendisi değildir: veri sorumlusunun kimlik ve iletişim bilgileri, işlenen kişisel veri kategorileri, işleme amaçları, verinin aktarılabileceği alıcı grupları, öngörülen azami saklama süreleri ve alınan idari ve teknik tedbirler bildirilir. Yani VERBİS bir veri havuzu değil, işleme faaliyetinin envanterinin beyan edildiği bir kütüktür; çalışanların ad, adres, ücret veya sağlık bilgisi buraya yüklenmez. Kayıt yükümlülüğünün kimi kapsadığı en çok karıştırılan noktadır. Kanun, Kurul'a; işlenen verinin niteliğini ve sayısını, faaliyetin kanundan kaynaklanıp kaynaklanmadığını ve verinin üçüncü kişilere aktarılıp aktarılmadığını dikkate alarak istisna belirleme yetkisi verir. Kurul bu yetkiyi kullanarak, yıllık çalışan sayısı ile yıllık mali bilanço toplamı belirlenen eşiklerin altında kalan ve ana faaliyet konusu özel nitelikli kişisel veri işlemek olmayan veri sorumlularını kayıt yükümlülüğünden istisna tutmuştur. Buradaki eşik değerler Kurul kararlarıyla güncellendiğinden bir işletmenin kapsamda olup olmadığı ezbere değil, Kurum'un yayımladığı güncel karar metninden doğrulanmalıdır; ana faaliyeti sağlık hizmeti sunmak gibi doğrudan özel nitelikli veri işlemeye dayanan işletmeler ise çalışan sayısına bakılmaksızın kapsamda kabul edilir. İnsan kaynakları açısından iki sonuç önemlidir. Birincisi, kayıt yükümlülüğünün bulunmaması Kanun'a uyma yükümlülüğünü ortadan kaldırmaz: aydınlatma yapmak, veri güvenliğini sağlamak, saklama sürelerini belirlemek ve ilgili kişi başvurularını süresinde yanıtlamak her veri sorumlusu için geçerlidir. İkincisi, Sicile kayıtlı veri sorumlularının kişisel veri işleme envanteri hazırlaması ve buna uygun bir saklama ve imha politikası oluşturması ilgili yönetmelik gereği zorunludur; özlük dosyası, bordro, işe alım ve giriş çıkış kayıtlarının hangi süreyle tutulup ne zaman imha edileceği bu politikada tanımlanır. Kayıt ve bildirim yükümlülüğüne aykırılık için Kanun'da idari para cezası öngörülmüştür. Denetimde sık rastlanan eksiklik ise kaydın hiç yapılmamış olması değil, bildirilen envanterin gerçekle örtüşmemesidir; yeni bir işleme faaliyeti başlatıldığında, örneğin kamera veya biyometrik giriş sistemi kurulduğunda VERBİS kaydının da güncellenmesi gerekir.