VERBİS ve Kamera Kaydı: Kamera Kullanan İşyeri Kayıt Olmalı mı? Muafiyet Kriterleri ve Kurul Kararları

VERBİS nedir ve kamera kaydıyla ilişkisi nedir?

VERBİS, Kişisel Verileri Koruma Kurumu'nun işlettiği Veri Sorumluları Sicil Bilgi Sistemi'dir ve veri sorumluları kişisel veri işleme faaliyetlerini bu sistem üzerinden sicile bildirir. Dayanağı, 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 16. maddesidir: sicil Kurul'un gözetiminde Başkanlık tarafından kamuya açık olarak tutulur ve kişisel verileri işleyenler, veri işlemeye başlamadan önce sicile kaydolmak zorundadır.

Kamera görüntüsü, kişinin tanınabildiği durumlarda kişisel veridir; görüntüyü kaydeden işletme de veri sorumlusu olur. Bu yüzden kamera sistemi kuran bir işyeri sicil kapsamında değerlendirilir, ancak kamera kullanıyor olmak kayıt zorunluluğunu kendiliğinden getirmez. Zorunluluk, aynı maddenin ikinci fıkrasına dayanarak Kurul'un belirlediği istisna kriterlerine bağlıdır.

Bu ayrım önemlidir: VERBİS'e kayıt, kamera ile ilgili yükümlülüklerin yalnız bir parçasıdır. Kayıttan muaf olmak, görüntüleri hukuka uygun işleme, aydınlatma yapma ve güvenliğini sağlama borcunu ortadan kaldırmaz. İşyeri kameralarının genel çerçevesi için işyerinde güvenlik kamerası ve KVKK rehberine bakabilirsiniz.

Kamera kullanan işyeri VERBİS'e kayıt olmak zorunda mı?

Kural olarak tüm veri sorumluları sicile kayıt olmak zorundadır; Kurul'un koyduğu istisna kriterlerini sağlayanlar bu yükümlülükten muaftır. Kamera kullanan bir işletme için soru, kameranın varlığı değil, işletmenin bu kriterlere uyup uymadığıdır.

Güncel kriter, Kişisel Verileri Koruma Kurulu'nun 2025/1572 sayılı kararıyla (04.09.2025 tarihli; 01.10.2025 tarihli ve 33034 sayılı Resmî Gazete'de yayımlandı) belirlenmiştir. Bu karar, 19.07.2018 tarihli 2018/87 sayılı kararın 2023/1154 sayılı kararla değişmiş hâlindeki ifadeyi güncellemiştir. Karar metnine göre muafiyet iki gruba ayrılır.

• Genel muafiyet: yıllık çalışan sayısı 50'den az ve yıllık mali bilanço toplamı 100 milyon Türk lirasından az olan gerçek veya tüzel kişi veri sorumluları; ana faaliyet konusu özel nitelikli kişisel veri işleme olmamak şartıyla.
• Özel nitelikli veri ana faaliyetse: ana faaliyet konusu özel nitelikli kişisel veri işleme olan veri sorumluları, yıllık çalışan sayısı 10'dan az ve yıllık mali bilanço toplamı 10 milyon Türk lirasından az ise muaftır.
• İki ölçüt birlikte aranır: çalışan sayısı ya da bilanço toplamından yalnız biri eşiği aşsa bile muafiyet sona erer; işletme kayıt yükümlüsü olur.
• Yükümlü olma anı: kriterleri sonradan aşan işletme, Sicil Yönetmeliği'nin 8. maddesi uyarınca yükümlülüğün başlamasından itibaren 30 gün içinde kaydını tamamlamalıdır.

Muafiyet kriterleri hangi Kurul kararlarıyla değişti?

Muafiyet kriterleri üç Kurul kararıyla şekillenmiştir ve her biri bir öncekini günceller. Aşağıdaki kronoloji, KVKK'nın kararlar sayfasındaki karar özetleri ile Resmî Gazete metnine dayanır.

• 2018/87 (19.07.2018): yıllık çalışan sayısı ve yıllık mali bilanço toplamına dayalı genel muafiyet kriterini belirleyen karardır; sonraki kararlar bu metni günceller.
• 2023/1154 (06.07.2023): yıllık mali bilanço toplamı eşiğini 25 milyon Türk lirasından 100 milyon Türk lirasına çıkarmış, çalışan sayısı eşiğini (50'den az) ve ana faaliyet konusu özel nitelikli veri işleyenlerin muafiyet dışında kalması kuralını korumuştur.
• 2025/1572 (04.09.2025): ana faaliyet konusu özel nitelikli kişisel veri işleme olanlar için de 10'dan az çalışan ve 10 milyon Türk lirasından az bilanço toplamı ölçütüyle ayrı bir muafiyet tanımlamıştır; karar Resmî Gazete'de yayımlandığı 1 Ekim 2025 tarihinde yürürlüğe girmiştir.
• Sonraki gelişmeler: bilanço esasına göre defter tutmayanlarda mali bilanço toplamının nasıl hesaplanacağı gibi uygulama ayrıntıları için KVKK'nın güncel karar ve duyuruları izlenmelidir.

Kamerada hangi kişisel veri kategorileri işlenir?

Güvenlik kamerası sistemlerinde işlenen veriler VERBİS kılavuzundaki veri kategorilerine eşlenir; kılavuz (KVKK Yayınları No: 112, Ekim 2025) kategorileri örneklerle tanımlar. Kamera kayıtları kılavuzda açıkça "Fiziksel Mekân Güvenliği" kategorisinin örnekleri arasında sayılır; bu kategori aynı zamanda çalışan ve ziyaretçilerin giriş-çıkış kayıt bilgilerini de kapsar.

Sistemin yaptığı işe göre başka kategoriler de devreye girebilir. Aşağıdaki liste, kamera sistemlerinde sık karşılaşılan eşleşmeleri gösterir.

• Fiziksel Mekân Güvenliği: kamera görüntüleri, kartlı geçiş ve ziyaretçi giriş-çıkış kayıtları.
• Görsel ve İşitsel Kayıtlar: görüntü ve varsa ses kaydı; ses kaydı ayrıca dikkat gerektirir, ayrıntı için güvenlik kamerasında ses kaydı yazısına bakın.
• Biyometrik Veri: yüz tanıma bilgileri kılavuzda bu kategorinin örneğidir; Kanun'un 6. maddesi biyometrik ve genetik verileri özel nitelikli kişisel veri sayar ve bunların işlenmesi için ayrı hukuki şartlar arar.
• Kılık ve Kıyafet: kılavuzdaki özel nitelikli kategoriler arasında yer alır; görüntülerden çıkarılan bu tür bilgiler işlenmeye başlanıyorsa ayrıca değerlendirilmelidir.
• İşlem Güvenliği: kameranın bulut ya da uzaktan erişim hizmetinde tutulan IP adresi, oturum ve parola bilgileri.

Muaf olsanız da hangi yükümlülükler devam eder?

VERBİS muafiyeti yalnızca sicile kayıt yükümlülüğünü kaldırır; 6698 sayılı Kanun'un diğer yükümlülükleri aynen sürer. İstisna, Kanun'un 16. maddesindeki kayıt zorunluluğuna ilişkindir ve başka maddelerin uygulanmasını değiştirmez.

KVKK'nın iş yerlerinde güvenlik kamerası kullanımına ilişkin kamuoyu duyurusu, bu yükümlülüklerin özünü şöyle toparlar: kamera kaydının hukuki dayanağı olmalı, kullanım amacı baştan net belirlenmeli, ortamın kayıt altına alındığı konusunda aydınlatma yapılmalı, kayıtlar mümkün olan en kısa süre saklanmalı ve yalnız yetkili kişiler erişebilmelidir. Tuvalet, soyunma odası, mescit ve dinlenme alanı gibi özel alanlara kamera konmamalıdır.

Kanun'un 18. maddesi, aydınlatma yükümlülüğü, veri güvenliği yükümlülükleri ve sicile kayıt yükümlülüğü için ayrı ayrı idari para cezası öngörür. Yani muafiyet iddiasına dayanıp aydınlatma ya da güvenlik tedbirlerini ihmal etmek ayrı bir yaptırım riski taşır.

• Aydınlatma (m.10): uyarı levhası ve aydınlatma metni; ayrıntı için uyarı levhası ve aydınlatma metni rehberine bakın.
• Veri güvenliği (m.12): yetki matrisi, erişim kaydı, şifreli ve güncel kayıt cihazı, fiziksel koruma.
• Saklama süresi (m.4): amaç için gerekli süre kadar muhafaza; ayrıntı için kamera kayıtları kaç gün saklanmalı yazısına bakın.
• İlgili kişi başvuruları (m.11 ve 13): kayıtlarda görüntüsü bulunanların erişim taleplerini yanıtlama süreci.

Kamera için envanter ve saklama ve imha politikası nasıl hazırlanır?

Kişisel veri işleme envanteri, işleme faaliyetlerinin amaç, veri kategorisi, alıcı grubu, veri konusu kişi grubu, azami saklama süresi, yurt dışına aktarım ve güvenlik tedbirleriyle ilişkilendirildiği listedir. Veri Sorumluları Sicili Hakkında Yönetmelik bu envanteri tanımlar; sicil bildirimi envantere dayanır ve saklama ve imha politikası ile uyumlu olmalıdır.

Saklama ve imha politikası ise azami saklama sürelerinin belirlenmesinin ve verinin silinmesi, yok edilmesi veya anonim hâle getirilmesinin dayanağıdır. Muaf olan işletmelerde de, kamera sisteminin ne kadar süre kayıt tuttuğunu ve kaydın nasıl imha edildiğini yazılı hâle getirmek denetimde işe yarar. Kamera için pratik bir hazırlık sırası şöyledir.

• 1. Kamera noktalarını çıkarın: kaç kamera var, nereleri izliyor, ses kaydı var mı, uzaktan erişim ve bulut kullanılıyor mu.
• 2. Amacı yazın: fiziksel mekân güvenliği gibi tek ve net bir amaç belirleyin; çalışan performansını izleme amacı meşru sayılmaz.
• 3. Veri kategorilerini eşleyin: Fiziksel Mekân Güvenliği, gerekiyorsa Görsel ve İşitsel Kayıtlar ya da Biyometrik Veri.
• 4. Gruplar ve alıcıları listeleyin: çalışanlar, ziyaretçiler, müşteriler; kayıt paylaşılan kolluk, sigorta veya hizmet sağlayıcılar.
• 5. Saklama süresini hesaplayın: kayıt kapasitesi ve gün sayısıyla uyumlu bir azami süre yazın; sistemde otomatik üzerine yazma ya da silme ayarını doğrulayın.
• 6. Güvenlik tedbirlerini belgeleyin: yetki matrisi, erişim logları, parolalar, ağ ayrımı ve fiziksel koruma; cihaz yazılımını güncel tutmak da bu tedbirlerin parçasıdır.
• 7. Yıllık gözden geçirin: kamera eklendiğinde ya da amaç değiştiğinde envanteri güncelleyin.

Kayıt yükümlüsüyseniz VERBİS'e nasıl kayıt olunur?

Kayıt yükümlüsü bir veri sorumlusu, kaydını VERBİS üzerinden yapar ve bildirimdeki bilgileri Kanun'un 16. maddesinin üçüncü fıkrasındaki başlıklara göre girer. Bildirim; kimlik ve adres bilgilerini, işleme amaçlarını, veri konusu kişi gruplarını ve veri kategorilerini, alıcı gruplarını, yurt dışına aktarımı, veri güvenliği tedbirlerini ve azami saklama süresini kapsar.

Kayıt işlemi veri işlemeye başlamadan önce yapılır; sonradan yükümlü hâle gelenler için 30 gün süre vardır. Kayıtlı bilgilerde değişiklik olduğunda Sicil Yönetmeliği'ne göre değişikliğin yedi gün içinde VERBİS'e işlenmesi gerekir. Yeni kamera türü, ses kaydı ya da yüz tanıma eklemek gibi değişiklikler bu kapsama girer.

Kayıt ve bildirim yükümlülüğüne aykırı davranmak Kanun'un 18. maddesinde ayrı bir idari para cezası bendidir. Eşik değerlerin yıllara göre değişebildiği unutulmamalı; her yıl güncel Kurul kararına bakılmalıdır.

Bayifi'de bu konuda nereden yardım alınır?

Bayifi, kurulumcular ile toptancıları buluşturan bir B2B pazar yeri ve il il firma dizinidir; hukuki görüş vermez, fakat kamera sistemi kurarken uyum için gereken ürün ve firmayı bulmanıza yardımcı olur. Kamera kurulumcusu aramak için bayi listesi ve bayi haritası kullanılabilir; toptan ürün ve anlık stok için pazar bölümüne bakılabilir.

Kurulumcu ya da toptancıysanız firmanızı kaydol sayfasından dizine ekleyebilirsiniz. VERBİS yükümlülüğünüz konusunda net karar için ise KVKK'nın resmî sayfalarına ve bir hukuk uzmanına danışmak gerekir.