Oteller VERBİS’e kayıt olmak zorunda mı? Kayıt, istisna ve güncelleme

VERBİS, 6698 sayılı Kanun kapsamındaki Veri Sorumluları Sicili'dir. Bir otel, kişisel veri işlemeye başlamadan önce kayıt olmak zorundadır; ancak Kişisel Verileri Koruma Kurulu'nun bir kararı istisna getirmediği durumda. İstisna çalışan sayısı, bilanço toplamı, ana faaliyet konusu ve özel nitelikli veri ölçütlerine bağlıdır; bunu tesisinize ancak müşaviriniz ve hukuk danışmanınız uygulayabilir.

Bir otel genel müdürü internette net bir yanıt arar, üç farklı çalışan sayısı veren üç sayfa bulur ve hepsini müşavire iletir. Aramanın ardındaki soru basittir; yanıt ise tek bir sayı değildir. Yanıt, kendi çalışan sayınızı, kendi bilançınızı ve tesisinizin gerçekte ne yaptığını kullanan bir sınamadır. Bu yazının sonunda VERBİS'in ne olduğunu, yükümlülüğü belirleyen iki sayıyı ve müşavirinizle toplantıya ne götüreceğinizi bileceksiniz.

VERBİS nedir, düz bir dille?#

VERBİS, 6698 sayılı Kanun (kişisel verilerin korunması kanunu, KVKK) kapsamında tutulan Veri Sorumluları Sicili'dir; veri sorumlusu hangi kişisel veriyi, hangi amaçlarla işlediğini ve veriyi kimlere aktardığını burada beyan eder. Yükümlülük 16. maddenin ikinci fıkrasından gelir: kişisel veri işleyen gerçek ve tüzel kişiler, işlemeye başlamadan önce kaydolmak zorundadır; Kişisel Verileri Koruma Kurulu istisna getirmediği sürece. Kurumun 12 Ocak 2026 tarihli kamuoyu duyurusu (yeni sekmede açılır) istisna kararlarının nasıl uygulanacağını açıklar.

Genel hatlarıyla bir kayıt; veri sorumlusunu, temsilcisini, irtibat kişisini, işleme amaçlarını, veri kategorilerini, alıcı gruplarını, saklama sürelerini, yurt dışına aktarımları ve alınan güvenlik önlemlerini tanımlar. Sicil formu bu alanları tek tek gezer. Kayıt bir beyandır, sertifika değildir: verdiğiniz gün söylediklerinizi kaydeder ve tek başına işlemeyi hukuka uygun hâle getirmez.

Kayıt, ihlal bildirimi, açık rıza kaydı veya aktarım taahhüdü de değildir. Bunlar, kayıt olsun ya da olmasın var olan ayrı yükümlülüklerdir. Bir otel için sicil kaydı, günlük işin üzerine oturur: resepsiyondaki aydınlatma metinleri, açık rızanın doğru hukuki dayanak olduğu yerlerde açık rıza, personel erişim kuralları ve saklama süreleri. Bu günlük uygulamaları Otellerde KVKK: aydınlatma metni, açık rıza ve saklama süreleri yazısında ayrıca ele alıyoruz.

Otelim VERBİS'e kayıt olmak zorunda mı?#

Kişisel veri işleyen ve hiçbir Kurul istisnası kapsamına girmeyen bir otel kayıt olmak zorundadır. Otel olmak tek başına ne yükümlülük ne de istisnadır: yanıt, işlemenin büyüklüğüne ve niteliğine, Kurulun yayımladığı ölçütlere göre değişir. Madde 16'nın ikinci fıkrası Kurula, verinin niteliği ve sayısı, işlemenin kanundan kaynaklanması veya üçüncü kişilere aktarım gibi objektif kriterlere dayalı istisnalar tanıma yetkisi verir.

Bu ölçütler Kurulun 19.07.2018 tarihli ve 2018/87 sayılı kararında uygulanır; karar iki kez değişti. 06.07.2023 tarihli ve 2023/1154 sayılı karar bilanço sınırını 100 milyon TL'ye çıkardı; 04.09.2025 tarihli ve 2025/1572 sayılı karar ikinci bir istisna grubu ekledi. İstisna iki soru üzerine kuruludur: özel nitelikli kişisel veri işlemek ana faaliyetiniz mi, ve çalışan sayısı ile bilanço toplamı olarak ne kadar büyüksünüz?

Ana faaliyet sınaması işletmenin ne yaptığına bakar, ara sıra temas ettiği şeye değil. Ana faaliyeti konaklama olan bir tatil köyü ile ana faaliyeti tıbbi bir wellness programı olan bir tesis farklı konumdadır; bu ayrım arama motorunun değil hukuk danışmanının konusudur. Sınama tüzel kişi başına uygulanır: bir yönetim şirketi, bir mülk sahibi ve bir grup markası ayrı veri sorumluları olabilir ve her birinin yanıtı ayrı olabilir.

KVKK'daki özel nitelikli veriler arasında sağlık verisi vardır. Bir otelde bu, spa ve wellness kayıtlarında, alerji ve beslenme notlarında ve varsa biyometrik geçiş sistemlerinde ortaya çıkabilir.

Kararların bugünkü okunuşuyla iki istisna grubu#

Kaynak: Kişisel Verileri Koruma Kurumu'nun 2025/1572 sayılı kararının uygulanmasına ilişkin 12 Ocak 2026 tarihli kamuoyu duyurusu. Sınırlar zaman zaman değişir; karar verdiğiniz tarihte yürürlükte olan kararı doğrulayın.

Kararı hangi sayılar verir ve bu sayılar kimde durur?#

Kararı iki sayı verir: yıllık çalışan sayısı ve yıllık mali bilanço toplamı; ikisi de müşavirinizin alanıdır. Çalışan gerçeğini genel müdür bilir; güncel kararı hukuk danışmanınız okur. İki sayı da tahminle söylenmez.

Çalışan ölçütü yıllık çalışan sayısıdır, ağustosta vardiyada olan kişi sayısı değil. Sezonluk personel, dış kaynaklı kat hizmetleri ve sözleşmeli güvenlik, danışmanınızın sizin durumunuz için yanıtlaması gereken sorular doğurur. Bilanço toplamı yıllık bilançodan gelir; onu güvenle söyleyebilecek tek kişi müşavirinizdir.

VERBİS istisnasında iki ölçüt nasıl birleşir: bilanço esasına göre defter tutan veri sorumlularında iki kriter birlikte esas alınır; bilanço esasına göre defter tutmayanlarda yalnızca yıllık çalışan sayısına bakılır. Bu, benzer büyüklükte iki otelin tuttuğu deftere göre farklı sonuçlara varabileceği anlamına gelir. Yan komşu otelin yanıtını kopyalamayın; eşiklerin güncel halini Kurulun kamuoyu duyurularından ve kendi mali müşavirinizden teyit edin.

Sınırlar değişir. 2018 kararının üzerinde iki değişiklik yapıldı; hangi sürümün geçerli olduğunu hangi tarihte kontrol ettiğinizi kaydedin. Sonucu yazıya geçirin: iki sayı, dayandıkları belgeler, dayandığınız karar ve tarih. Nasıl karar verdiğinizi gösteren bir dosya, sözlü bir güvenceden daha değerlidir.

Kayıt olmak zorundaysanız bu ne demektir?#

Kayıt; işlemenizin yazılı bir envanteri, adı yazılmış bir irtibat kişisi ve verinin ne zaman imha edileceğini söyleyen bir saklama ve imha politikası demektir. Bunların hiçbiri bir yazılım menüsünden üretilmez; oteliniz gerçekte nasıl çalışıyorsa oradan gelir.

Envanteri yazılım menüsünden değil misafir yolculuğundan kurun: rezervasyon, giriş ve kimlik bildirimi, konaklama, faturalama, kamera kayıtları, personel dosyaları ve pazarlama listelerinin her biri kendi amaçlarını, veri kategorilerini ve alıcılarını üretir. Bir irtibat kişisi belirleyin. Bu bir unvan değil bir roldür: adı yazılan kişi Kurulu yanıtlayabilmeli ve envanterin, politikanın nerede tutulduğunu bilmelidir.

Saklama ve imha politikası, kayıt yükümlüsü veri sorumluları için zorunludur; Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik (yeni sekmede açılır) (Resmî Gazete, 28.10.2017; yürürlük 01.01.2018) bu yükümlülüğü getirir. Periyodik imha, politikada belirlenen aralıklarla yapılır ve bu aralıklar altı ayı geçemez. Politika hazırlama yükümlülüğü bulunmayanlar için süre üç aydır; bunu güveneceğiniz bir feragat süresi değil, planlanacak bir son tarih olarak görün.

İlgili kişi silme talep ettiğinde ve işleme şartlarının tamamı ortadan kalkmışsa veri sorumlusu veriyi siler, yok eder veya anonim hâle getirir; kişiye en geç otuz gün içinde bilgi verir ve veriyi aktardığı üçüncü kişiye de bildirir. Envanteri ve politikayı tarihli, sürümlü belgeler olarak tutun; çünkü sicil kaydı ancak arkasındaki belgeler kadar iyidir. Bu taleplerin resepsiyon tarafını Misafirin KVKK başvurusu: kişisel veri talepleri nasıl yanıtlanır? yazısında ele alıyoruz.

Kayıt dosyası altı maddede#

Kaydı güncel nasıl tutarsınız?#

Kaydı yaşayan bir kayıt olarak görün ve bir sistem, bir işletme birimi, bir işleyen ya da bir tüzel kişi değiştiğinde yeniden gözden geçirin. Değişmeyen bir kayıt sessizce yanlış hâle gelir; Kurulun okuduğu da o yanlış kayıttır.

Sistemler: yeni bir otel yönetim sistemi, yeni bir kanal yöneticisi, yeni bir misafir uygulaması ya da yeni bir pazarlama aracı, özgün envanterde olmayan amaçlar ve alıcılar ekler. Fiziksel işletme: yeni kamera kapsamı, yeni bir spa ya da wellness ünitesi, yeni bir plaj veya kış sporları noktası ya da yeni bir biyometrik geçiş noktası hem veri kategorilerini hem ana faaliyet sorusunu değiştirebilir. Kameralar özelinde Otelde güvenlik kamerası ve KVKK: aydınlatma, yerleşim ve kayıt kontrol listesi yazısı aydınlatma, yerleşim ve kayıtları kapsar.

İşleyenler: veriyi Türkiye dışına taşıyan bir destek sözleşmesi ya da bulut hizmeti, aktarım yanıtını değiştirir. Bunu sözleşme imzalandıktan sonra değil, imzalanmadan önce kontrol edin. Yapı: grupta yeni bir otel, yönetim şirketi değişikliği ya da bir kapanış, veri sorumlusunun kim olduğunu ve kaydın ne söylemesi gerektiğini değiştirir.

İnsanlar: irtibat kişisinin değişmesi en kolay unutulan ve en kolay düzeltilen maddedir. Onu müşavirin yıl sonu takviminin yanına yazın. İncelemeyi bilanço tarihine bağlı yıllık bir gözden geçirme olarak yürütün; istisna sınaması yıllık sayıları kullanır ve aynı anda güncel Kurul kararlarını yeniden okuyun.

Hukuk danışmanınıza ve müşavirinize ne sormalısınız?#

Kısa bir soru listesiyle gidin, yanıtları yazılı alın ve tarihi kaydedin; çünkü bir sonuç ancak hesabını gösteriyorsa savunulabilir. Sorular görüş ve yorum değil, olgular ve kararların güncel metni üzerinedir.

Danışmanınıza hangi Kurul kararı sürümünün karar tarihinde yürürlükte olduğunu ve bekleyen bir değişiklik olup olmadığını sorun. Müşavirinizden iki sayıyı, dayandıkları belgeyle birlikte yazılı isteyin. Otel içinde envanterin ve politikanın sahibinin kim olduğunu, değiştiklerinde kimin imzalayacağını sorun. Yanıtı neyin değiştireceğini sorun: yeni bir birim, yeni bir sistem, yeni bir işleyen, bir grup yeniden yapılanması. Gelecek yıl yanıt değişirse ne olacağını sorun; böylece incelemenin iyi niyetten değil, bir sahibi ve bir tarihi olur.

Şimdi ne yapmalı#

Sabit bir gündemli tek bir toplantı ayarlayın: yıllık çalışan sayısını, bilanço toplamını, tuttuğunuz defter türünü ve güncel Kurul kararını masaya getirin; yazılı bir sonuç ve bir tarihle kalkın. Bu yazıdaki her şey o tek sayfaya hizmet ediyor. Sonuç kayıt olmaksa, ilk yazılacak iki belge işleme envanteri ile saklama ve imha politikasıdır; çünkü sicil kaydı ancak onların bir özetidir. Sonuç istisnaysa sayfayı yine saklayın: istisna, ileride açıklayabilmeniz gereken bir konumdur ve sınırlar değişebilir.