Bir eczacı, bir psikolog, bir küçük muayenehane. Hepsi yıllardır aynı paradoksla yaşıyordu: “İşimin doğası gereği sağlık verisi işliyorum; bu yüzden ne kadar küçük olursam olayım VERBİS’e kayıt olmam, danışman tutmam, prosedür kurmam zorunluymuş.” Şimdi bu denklem kökten değişti. Kişisel Verileri Koruma Kurulu, 04.09.2025 tarihli ve 2025/1572 sayılı Kararı ile bu grubu ilk kez muafiyet kapsamına aldı. Karar, 01.10.2025 tarihli ve 33034 sayılı Resmî Gazete’de yayımlanarak yürürlüğe girdi.
https://www.resmigazete.gov.tr/eskiler/2025/10/20251001-4.pdf
Yeni Kararla Ne Değişti? VERBİS’te Hangi Eşikler Güncellendi? Kimler İlk Kez Muafiyet Kazandı?
Önceki rejimde ana faaliyet konusu özel nitelikli kişisel veri işlemek olan veri sorumluları için VERBİS kaydı her halükârda zorunluydu. Eczane, muayenehane, laboratuvar, psikolojik danışmanlık merkezi, diyetisyen veya fizyoterapist olsun; çalışan sayısı bir kişi bile olsa kayıt yapılmak zorundaydı. Çünkü 19.07.2018 tarihli ve 2018/87 sayılı Kurul Kararı’nda öngörülen muafiyet, sadece ana faaliyeti özel nitelikli veri olmayanlara tanınıyordu.
2025/1572 sayılı Karar bu çizgiyi yumuşattı. Artık ana faaliyeti özel nitelikli veri işlemek olsa bile, çalışan sayısı 10’dan az ve yıllık mali bilanço toplamı 10 milyon TL’den az olan gerçek veya tüzel kişiler VERBİS’e kayıt ve bildirim yükümlülüğünden muaftır. İki şart birlikte sağlanmalıdır; “veya” değil “ve” bağlacı kullanılmıştır. Eşiklerin karşılaştırılması mevzuatın yeni mantığını açıkça gösteriyor: ana faaliyeti özel nitelikli veri olmayanlar için 50 çalışan ve 100 milyon TL bilanço sınırı geçerliyken, ana faaliyeti özel nitelikli veri olanlar için bu rakamlar 10 çalışan ve 10 milyon TL’ye düşürülmüştür.
Bu Karardan Hangi Meslekler Yararlanacak? Eczacı ve Doktor Tek Başına Kayıt Yapacak mı? Küçük Sağlık İşletmesi Ne Yapmalı?
Kurul, kararın gerekçesinde mikro işletmelerin sınırlı personel ve mali kaynağa sahip olduğunu, hukuk ve bilgi işlem konularında yeterli istihdam imkânının bulunmadığını ve diğerlerine kıyasla sınırlı sayıda kişisel veri işlediklerini vurguladı. Bu yaklaşımdan tipik olarak yararlanması beklenen gruplar arasında eczaneler, doktor muayenehaneleri, diş hekimliği muayenehaneleri, küçük tıbbi laboratuvarlar, psikolog ve psikolojik danışmanlık ofisleri, diyetisyenler ve fizyoterapist klinikleri yer alıyor. Bu işletmelerin büyük çoğunluğu zaten 1–5 kişilik kadrolarla faaliyet gösteriyor ve mali bilançosu 10 milyon TL’nin altında kalıyor; dolayısıyla pratikte ciddi bir kesim doğrudan muafiyet kapsamına giriyor.
Bilanço Tutmayan Esnaf Hangi Kritere Bakacak? İşletme Hesabıyla Çalışan Eczacı Muaf mı? Eşik Tek Başına Çalışan Sayısı mı?
Bu, Kurul’un sonraki 2025/2393 sayılı kararı ile netleştirdiği kritik bir konu. Çünkü “yıllık mali bilanço toplamı” verisi yalnızca bilanço esasına göre defter tutanlarda anlamlıdır. Uygulama ikiye ayrılıyor.
Bilanço usulüne göre defter tutanlarda çalışan sayısı ve mali bilanço toplamı birlikte (kümülatif) değerlendirilir; iki eşikten herhangi biri aşılırsa kayıt zorunlu hale gelir. İşletme hesabı esasına göre defter tutanlarda ise mali bilanço bilgisi bulunmadığından yalnızca çalışan sayısı kriterine bakılır; çalışan sayısı 10’un altındaysa muafiyet uygulanır. Bu ayrım, özellikle yeni kuruluşunu yapmış serbest meslek erbabı ile küçük ölçekli kliniklere belirgin bir hareket alanı yarattı.
Muafiyet KVKK’nın Tamamından mı Kurtarıyor? Aydınlatma Yükümlülüğü Hâlâ Var mı? Veri Güvenliği Tedbirleri Devam Ediyor mu?
En sık yapılan yanlış anlamayı en başta işaretlemek gerekir: VERBİS muafiyeti, KVKK uyumundan muafiyet değildir. Karar yalnızca Sicile kayıt ve bildirim yükümlülüğüne ilişkindir. Aşağıdaki yükümlülükler her halükârda sürer.
KVKK m.10 kapsamındaki aydınlatma yükümlülüğü, her veri toplama kanalı için süreç bazlı metinler hazırlanmasını ve ilgili kişiye sunulmasını gerektirir. KVKK m.5 ve m.6 işleme şartları gereği özel nitelikli veri işleyenler için açık rıza ya da kanunda öngörülen istisnaya dayanma zorunluluğu devam eder. KVKK m.12 veri güvenliği yükümlülüğü altında idari ve teknik tedbirler eksiksiz uygulanmak zorundadır; bilhassa sağlık verisi işleyenler için Kurul’un Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler Kararı geçerlidir. Saklama süreleri belirlenmeli, periyodik imha süreçleri işletilmelidir; Saklama ve İmha Politikası belgesi VERBİS yükümlülüğüne bağlı olduğundan kayıttan muaf olanlar için belge zorunluluğu kalkar, ancak süreç yükümlülüğü devam eder. Son olarak KVKK m.11 kapsamında ilgili kişi başvuruları 30 gün içinde yanıtlanmak zorundadır.
Kayıtlı Olanlar Şimdi Ne Yapmalı? VERBİS’i Kapattırabilir miyim? Yanlış Karar Risk Yaratır mı?
Eşik altına düştüğü için artık kayıt yükümlülüğü kalmayan veri sorumluları, VERBİS üzerinden kapatma başvurusu yapabilir. Ancak iki noktada dikkat gerekir. İlk olarak, kapatma yapılmadan önce çalışan sayısının veya bilançonun yıl sonunda eşiği aşma ihtimali değerlendirilmelidir; eşiğin tekrar aşılması halinde veri işlemeye başlamadan önce yeniden kayıt yapılmak zorundadır. İkinci olarak, muafiyet otomatik uygulanır; Kurul’a ayrı bir bildirim yapılması gerekmez. Ancak denetimde “neden muaf olduğum”un belgeyle açıklanabilir olması (çalışan sayısı verisi, bilanço çıktısı, defter tutma şekli) zorunludur.
Kayıt yükümlülüğü ihlali 2025 yılında 272.380 TL ile 13.620.402 TL arasında idari para cezası gerektirdiğinden, eşik takibi yıl sonu rutinine bırakılmamalıdır. Özellikle büyüme aşamasındaki sağlık girişimleri için yıl ortasında bir eşik kontrolü güçlü bir öneridir.
Kararın Net Özetine Bakarsak
2025/1572 sayılı Karar bir muafiyet değil, bir orantılılık uygulamasıdır. Kurul, tek başına çalışan bir psikoloğu beş yüz çalışanlı bir özel hastane ile aynı bürokrasiye tabi tutmanın hakkaniyetli olmadığını kabul etti. Ancak bu kabulün karşılığında aydınlatma, güvenlik ve hak başvurularına yanıt yükümlülüklerinde hiçbir gevşeme öngörmedi. Yani uyum yükü VERBİS arayüzünden çıktı; masadaki aydınlatma metnine, ekrandaki yetkilendirmeye, dolaptaki dosyaya taşındı. Asıl iş orada başlıyor.
