VERBİS Yükümlülüğü, KVKK Cezaları ve Biyometrik Veri
Dieser Artikel dient der allgemeinen Information. Rechtsvorschriften, Fristen und Beträge können sich im Laufe der Zeit ändern; lassen Sie Ihre konkrete Situation aktuell beurteilen.
Av. Gizem Gonce · 8 Kasım 2026
Kişisel Verileri Koruma Kurulu tarafından verilen 850 bin TL tutarındaki idari para cezasına ilişkin Uyuşmazlık Mahkemesi kararı, şirketlerin kişisel verilerin korunması alanındaki yükümlülüklerini yeniden gündeme taşıdı.
8 Kasım 2026 tarihli Resmî Gazete'de yayımlanan kararlarda, VERBİS kayıt yükümlülüğünü yerine getirmeyen bir şirkete verilen 850 bin TL idari para cezası ile spor salonunda biyometrik verilerin hukuka aykırı işlenmesine ilişkin 100 bin TL ceza ele alındı.
Avukat Gizem Gonce, şirketlerin kişisel veri güvenliği konusunda yalnızca hukuki değil, kurumsal ve mali sorumluluklarının da bulunduğunu belirtti.
VERBİS’e kayıt yaptırmamak hangi sonuçları doğurur?
6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında veri sorumlularının, kanunda belirtilen şartlar ve istisnalar çerçevesinde Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğü bulunmaktadır.
VERBİS kaydı yalnızca bir internet sistemi üzerinden yapılan bildirimden ibaret değildir. Şirketin hangi kişisel verileri işlediği, bu verileri hangi amaçlarla kullandığı, kimlere aktardığı ve ne kadar süre sakladığı gibi konuların belirlenmesini gerektirir.
Şirketler KVKK kapsamında hangi yükümlülüklere dikkat etmeli?
- Kişisel verilerin hangi amaçla işlendiğini belirlemeli.
- İşlenen veriler için hukuka uygun bir işleme şartı bulunmasını sağlamalı.
- Aydınlatma yükümlülüğünü yerine getirmeli.
- Gerekli hâllerde açık rıza almalı.
- Kişisel verilerin güvenliği için teknik ve idari tedbirler uygulamalı.
- Saklama ve imha politikalarını oluşturmalı.
- Veri ihlallerinde kanuni bildirim yükümlülüklerini yerine getirmeli.
- VERBİS kayıt yükümlülüğünün kapsamda olup olmadığını kontrol etmeli.
Biyometrik verilerin işlenmesi neden daha hassastır?
Parmak izi, yüz tanıma ve el geometrisi gibi biyometrik veriler özel nitelikli kişisel veri kapsamındadır. Bu verilerin işlenmesinde KVKK'nın 6. maddesindeki özel şartlara uyulması gerekir.
Örneğin bir spor salonunun üyelerini içeri alabilmek için biyometrik veri toplaması, sıradan bir giriş kontrolü olarak değerlendirilemez. İşleme şartı, gereklilik, ölçülülük ve veri güvenliği ayrıca incelenmelidir.
Haberde geçen 850 bin TL ve 100 bin TL tutarları, ilgili dosyalardaki geçmiş tarihli yaptırımlara ilişkindir. Bunlar 2026 yılında bütün veri sorumlularına uygulanacak sabit ceza tutarları değildir. Güncel yaptırım miktarı, ihlal tarihi, kanuni sınırlar ve somut olay esas alınarak belirlenir.
Değerlendirme
"Şirketlerin kişisel verileri koruma yükümlülüğü, yalnızca bir sözleşmeye açık rıza maddesi eklemekle yerine getirilmiş olmaz. Öncelikle hangi verinin neden toplandığı, hangi hukuki sebebe dayanılarak işlendiği ve ne kadar süre saklandığı belirlenmelidir. Özellikle biyometrik veriler gibi hassas veriler bakımından çok daha dikkatli hareket edilmelidir.
850 bin TL tutarındaki ceza, veri sorumlularının yükümlülüklerini ihmal etmelerinin ciddi mali sonuçlar doğurabileceğini gösteren önemli bir örnektir. Şirketlerin KVKK uyum süreçlerini yalnızca denetim dönemlerinde değil, günlük işleyişlerinin bir parçası hâline getirmesi gerekir."
Kişisel verilerin korunması artık yalnızca hukuk departmanlarının değil, şirket yönetimlerinin de öncelikli gündemlerinden biri olmalıdır.
Avukat Gizem Gonce
Bu yazı genel bilgilendirme amaçlıdır. Hukuki durum ve başvuru süreleri somut olaya göre değerlendirilir.
VERBİS cezasında görevli mahkeme
Av. Aylin Esra Eren
Uyuşmazlık Mahkemesi, 16 Şubat 2026 tarihli E. 2025/228, K. 2026/82 sayılı dosyada, VERBİS yükümlülüğüne ilişkin 2022 tarihli 850.000 TL cezanın sulh ceza hâkimliğince 53.572 TL’ye indirilmesi ile idare mahkemesinin yaptırımı hukuka uygun bulması arasındaki hüküm uyuşmazlığını giderdi. İdare mahkemesi kararı benimsendi. Karar 8 Kasım 2026 tarihli Resmî Gazete’de yayımlandı.
KVKK tarafından verilen idari para cezasına karşı hangi mahkemede dava açılmalı?
Güncel 6698 sayılı Kanun’un 18. maddesinin üçüncü fıkrasına göre Kişisel Verileri Koruma Kurulunun idari para cezalarına karşı idare mahkemelerinde dava açılır. Geçici 3. madde uyarınca 1 Haziran 2024’te sulh ceza hâkimliklerinde zaten görülmekte olan başvurular, aynı hâkimliklerde görülmeye devam eder. Eski dosyaların geçiş kuralı, yeni cezalara başvuru yoluyla karıştırılmamalıdır.
Şirket mali açıdan zor durumdaysa ceza indirilebilir mi?
Şirketin ekonomik durumu, ihlalin niteliği, kusurun ağırlığı ve kanuni yaptırım ölçütleri birlikte değerlendirilmelidir. Ancak şirketin mali sıkıntı yaşaması tek başına idari para cezasının ortadan kaldırılmasını sağlamaz. Her dosyanın kendi koşulları içerisinde incelenmesi gerekir.
KVKK cezalarına karşı başvuru süreleri kaçırılırsa ne olur?
Özel bir süre öngörülmeyen hâllerde idare mahkemesinde genel dava açma süresi yazılı bildirimi izleyen günden itibaren 60 gündür (İYUK m. 7). Tebliğ şekli, varsa özel düzenleme ve süreyi etkileyen başvurular kontrol edilmelidir. Süre aşımı davanın esası incelenmeden reddedilmesine yol açabilir.