KVKK 下的 VERBİS 登记：谁必须登记以及如何登记
如果贵公司处理与土耳其相关的个人数据，您可能需要在 VERBİS 中登记——即由土耳其数据保护机构维护的数据控制者登记簿（Veri Sorumluları Sicili）。这项义务源自《个人数据保护法》第 6698 号（Kişisel Verilerin Korunması Kanunu，简称 "KVKKKVKK第6698号《个人数据保护法》土耳其的数据保护法——个人数据的收集、存储与传输规则，以及执行这些规则的机构。词典 →"）第 16 条。简而言之：大多数作为"数据控制者"（veri sorumlusu）行事的组织，必须在开始处理之前完成登记，除非其符合某项已公布的豁免——而未能登记可能导致行政罚款。下文我们将说明谁必须登记、谁可以豁免、登记系统要求哪些信息、登记如何与指定联系人或代表相关联，以及如果您跳过登记会发生什么。
什么是 VERBİS，以及该义务的来源
VERBİS 是 Veri Sorumluları Sicil Bilgi Sistemi 的缩写——即运行数据控制者登记簿（Veri Sorumluları Sicili）的信息系统。它是由个人数据保护机构（Kişisel Verileri Koruma Kurumu，简称"KVKK 机构 / Kurum"）维护的在线登记簿，并接受个人数据保护委员会（Kişisel Verileri Koruma Kurulu，简称"委员会 / Kurul"）的监督。
其法律依据是《个人数据保护法》第 6698 号第 16 条。该条要求符合数据控制者（veri sorumlusu——即决定为何以及如何处理个人数据的一方）资格的个人和组织，在开始处理个人数据之前在登记簿中登记，除非适用某项豁免。委员会（Kurul）有权设定决定谁必须登记的标准，并公布豁免情形。
适用法律：Kişisel Verilerin Korunması Kanunu No. 6698（第 6698 号法律）第 16 条（Veri Sorumluları Sicili，数据控制者登记簿）。委员会（Kurul）还会发布决定和次级法规，对谁必须登记、豁免类别以及登记截止期限作出细化规定。
登记与"遵守 KVKK"并不是一回事。即便某个控制者免于 VERBİS 登记，仍然必须遵守该法律的其余规定——合法处理、告知通知、数据安全，以及回应数据主体的请求。VERBİS 是一项具体的透明度义务，并非您全部义务的总和。
以下哪一种情形最接近贵公司的处境？
谁必须在 VERBİS 中登记？
简短的答案是：符合委员会（Kurul）所设标准的数据控制者必须登记。委员会通过考量以下因素来决定这些标准，例如所处理个人数据的性质和数量、处理是否属于控制者的主要活动，以及——对企业而言尤为重要的——衡量控制者规模的指标，如员工人数和年度财务/资产负债表数字。
从实际操作来看，这意味着通常会出现三种情形：
- 您显然必须登记——例如，规模超过门槛的较大型公司，以及某些控制者（如其主营业务涉及处理特殊类别个人数据者，özel nitelikli kişisel veri），无论规模大小。
- 您很可能可以豁免——许多小型组织低于委员会设定的门槛，并且存在若干基于活动的豁免（见下一节）。
- 情况确实不明确——您处于某个门槛附近，或者您的处理活动在年度内发生了变化。这正是控制者最常出错的地方。
触发该义务的确切员工人数和年度资产负债表/营业额数字是由委员会（Kurul）设定的具体门槛，并且随时间多次修订。我们在此特意以定性方式描述它们。不要凭记忆中的某个数字行事——当前数字必须针对您的登记年度对照委员会现行有效的决定进行核实。
对于外国公司而言，触发条件通常是其作为数据控制者在土耳其处理个人数据——例如，运营土耳其分支机构、在土耳其雇用员工、运营面向土耳其的平台，或以其他方式处理土耳其境内人员的个人数据，从而使其落入该法律的适用范围。在这种情况下，该控制者通常需要与境内控制者一样在 VERBİS 中登记，并适用相同的标准和豁免。
豁免：谁无需登记
第 16 条允许委员会（Kurul）豁免某些类别的数据控制者免于登记。豁免情形载于委员会的决定和次级法规中，大致可分为两类。
基于规模的豁免
低于委员会规模标准的控制者通常可获豁免。这正是员工人数以及年度资产负债表/营业额门槛起作用之处：如果您低于这些门槛——并且未被某项基于活动的规则所涵盖——则可能无需登记。
基于活动的豁免
委员会还基于某些控制者是什么或做什么而非其规模，对其予以豁免。多年来出现在豁免清单中的类别包括，例如，某些专业人士、协会及类似团体，且其仅为自身内部已界定的目的处理数据。准确的清单及其条件由委员会设定。
豁免类别及其措辞由委员会决定（Board decision）所界定，且可能变化。请将您所阅读的任何清单——包括本清单——视为需要核实的提示，而非最终定论。去年适用的某项豁免可能已被收窄，并且一旦您的处理活动或规模发生变化，豁免就可能随即丧失。
免于 VERBİS 登记并不意味着免于 KVKK 的其余义务。您仍负有合法依据、透明度、安全以及数据主体权利等义务。请保留书面证据，说明为何您得出自己可获豁免的结论，以备机构（Kurum）查询。
登记系统要求哪些信息
VERBİS 以个人数据处理清单（kişisel veri işleme envanteri）为核心构建。为完成登记，您需申报——并持续更新——对您处理活动的结构化描述。登记系统要求的信息类别通常包括：
- 数据控制者以及联系人或代表的身份和联系方式。
- 数据主体类别（例如员工、客户、供应商、网站用户）。
- 所处理的个人数据类别，其中特殊类别个人数据（özel nitelikli kişisel veri，如健康、生物识别或犯罪记录数据）须单独标注，因为它们适用更严格的规则。
- 处理数据的目的。
- 可能向其披露数据的接收方或接收方类别。
- 向境外的转移（yurt dışına aktarım）——个人数据是否或可能转移给土耳其境外的接收方。
- 每一类数据的最长保留期限。
- 为保护数据所采取的技术和组织安全措施。
您内部维护的清单与 VERBİS 申报必须保持一致。与贵公司实际处理数据方式不符的登记本身就是一个问题。
2024 年对 KVKK 的修订（第 7499 号法律 / Law No. 7499）重新构建了个人数据向境外转移（第 9 条）的制度，引入了一套结构化的转移机制。由于您的 VERBİS 申报包含您是否向土耳其境外转移数据，因此应将您的跨境转移情况与登记簿条目一并审查。具体的转移条件以及任何相关保障措施，必须对照现行的第 9 条制度以及委员会的实施细则进行核实。
我们在土耳其既没有公司也没有分支机构，土耳其的登记簿管不到我们。
触发条件是作为数据控制者在土耳其处理个人数据——土耳其员工、面向土耳其的平台，或以其他方式处理这里人员的数据，都可能足以构成触发。设立在境外的控制者需要指定一名土耳其代表，由其代为完成登记。
我们是小公司，所以自动获得豁免。
并非自动。规模门槛是委员会（Kurul）设定并随时间修订的具体数字，而且某些控制者无论规模大小都会被涵盖——例如主营业务涉及处理特殊类别个人数据的情形。
一旦指定了联系人，合规责任就落到他身上。
联系人（irtibat kişisi）只是与机构（Kurum）沟通的联络点。指定联系人不转移任何法律责任：在该法律之下，数据控制者仍对合规承担责任。
既然我们免于 VERBİS，KVKK 就跟我们没多大关系。
第 16 条下的登记只是一项具体的透明度义务，并非您全部义务的总和。获豁免的控制者仍负有合法处理、告知通知、数据安全以及回应数据主体请求等义务。
联系人以及境外控制者的代表
登记与指定专人对接机构和数据主体密切相关。
联系人（irtibat kişisi）
在土耳其设立并在 VERBİS 中登记的数据控制者，需指定一名联系人（irtibat kişisi）。联系人是与机构（Kurum）沟通的联络点。重要的是，担任联系人并不转移法律责任——数据控制者仍对合规承担责任。
境外控制者的代表
当数据控制者不在土耳其居住/设立时，既定要求是其指定一名土耳其境内的代表（一家土耳其居民法人实体或一名土耳其公民），以便机构和数据主体可与之联系，并代表控制者完成 VERBİS 登记。代表的授权应得到妥善的书面记录。
对于外国企业而言，理清谁是您的土耳其代表——并将其授权落实成文件——通常是您能否着手登记之前的前置关键步骤。请为此预留时间。
代表所需的确切形式、授权范围以及文件要求，属于次级法规中的细节事项，因此该项指定应按照现行规则来设置，而非套用通用模板。
如果未能登记会发生什么
如果您有义务登记却未登记——或者您在本应完成登记的情况下未完成登记便处理个人数据——便会使公司面临行政罚款。针对违反登记义务的处罚制度规定在第 6698 号 KVKK 第 18 条，该条列举了各项违法行为（kabahatler）以及委员会（Kurul）可施加的行政罚款。
我们特意没有列出罚款金额。第 18 条中的行政罚款金额以土耳其里拉设定，并依据法定重估机制每年重新估值。任何数字在您据以行事之前，都必须对照相关年度现行有效的数字进行核实。
除罚款本身外，未登记或登记不准确的 VERBİS 状况，往往是投诉或审计中最先暴露出来的问题，并可能影响机构（Kurum）对您其余合规情况的看法。正确登记——并保持条目时刻更新——是成本更低的途径。
关键条款汇总：登记义务——第 16 条；跨境转移（经 2024 年第 7499 号法律 / Law No. 7499 修订）——第 9 条；行政罚款——第 18 条；均见于 Kişisel Verilerin Korunması Kanunu No. 6698（第 6698 号法律）。截止期限、门槛、豁免以及罚款金额由委员会（Kurul）及年度重估设定，并随时间变化。
外国公司的实用步骤顺序
如果您是一家试图厘清自身状况的外国公司，采取沉着、有条理的方法通常效果最佳：
- 确认您的角色。您是数据控制者（由您决定为何以及如何处理）还是替他人行事的处理者（veri işleyen，数据处理者）？登记义务附着于控制者。
- 梳理您在土耳其的处理活动。处理哪些数据、谁的数据、用于何种目的、谁接收，以及是否有任何数据流向境外？
- 针对当年核对标准与豁免——对照委员会（Kurul）的现行有效规则，包括规模门槛以及任何基于活动的豁免。
- 理清您的联系人或土耳其代表，并将其授权落实成文件。
- 准备您的处理清单，并使您的跨境转移情况与 2024 年后的第 9 条制度相协调。
- 在适用的截止期限内于 VERBİS 中登记，此后每当您的处理活动发生变化时即更新条目。
这些步骤中没有哪一步应凭记忆中的某个数字或通用模板来决定。每一步都取决于委员会所设定并修订的规则，以及贵公司处理与土耳其相关数据的具体事实情况。
设立数据控制者登记簿，并要求控制者在开始处理之前完成登记，除非委员会（Kurul）已将其豁免。
列举各项违法行为，以及委员会（Kurul）可施加的行政罚款，包括在有义务时未能登记的情形。
规范个人数据向土耳其境外的转移；您的登记簿条目须对此加以申报，因而必须与实际情况相符。
重新构建了第 9 条的跨境转移制度并引入一套结构化的转移机制，因此在此之前作出的登记条目应据以重新审查。
在寻求法律意见之前应收集的材料
您的 VERBİS 状况取决于贵公司自身处理活动的事实，其中没有哪一点应凭记忆中的数字或通用模板来决定。请先备齐以下材料。
常见问题
外国公司真的必须在 VERBİS 中登记吗？
有可能。如果贵公司作为数据控制者并在土耳其处理个人数据——例如通过分支机构、土耳其员工或面向土耳其的服务——通常需要按照与境内控制者相同的标准在 VERBİS 中登记，并在土耳其指定一名代表。该义务是否实际生效，取决于委员会（Kurul）的门槛和豁免，因此需要核实您的具体情况。
我们是一家小公司。我们是否自动获得豁免？
并非自动豁免。许多小型组织低于委员会（Kurul）的规模门槛而获豁免，但这些门槛是委员会设定的具体数字，并且某些活动无论规模大小都会触发登记。您应对照当前现行有效的标准确认您的状况，而不应想当然。
联系人和代表有什么区别？
联系人（irtibat kişisi）由在土耳其设立的数据控制者指定，作为与机构（Kurum）沟通的联络点——但不承担控制者的法律责任。代表则是在土耳其境外的控制者所需指定的：一名土耳其居民个人或实体，机构和数据主体可与之联系，并可代表该外国控制者完成登记。
未登记的罚款是多少？
在有义务时未能登记可能导致依据第 6698 号 KVKK 第 18 条的行政罚款。我们在此未引述具体金额，因为这些数字以土耳其里拉设定并每年重新估值，所以当前数字必须针对相关年度核实后方可据以行事。
2024 年 KVKK 修订是否改变了 VERBİS？
2024 年修订（第 7499 号法律 / Law No. 7499）主要重新构建了第 9 条下个人数据向境外转移的规则。这对 VERBİS 很重要，因为您的登记簿申报包含您是否向土耳其境外转移数据，所以应在现行制度下将您的跨境转移安排与登记簿条目一并审查。
如果我们免于 VERBİS，是否仍负有 KVKK 义务？
是的。免于登记并不免除您对该法律其余规定的义务。您仍负有诸如具备合法依据、提供告知通知、保障数据安全以及回应数据主体请求等义务。VERBİS 只是一项透明度义务，并非合规的全部。
