Inscripción en VERBİS y cumplimiento de la KVKK: un error habitual en las empresas

⏱️ Tiempo de lectura: 12 min · 📁 Categoría: KVKK, Cumplimiento Digital y Seguridad de Datos

¿Inscribirse en VERBİS equivale a cumplir la KVKK?

Un error frecuente de las empresas en el cumplimiento de la KVKK es pensar:
«Ya nos hemos inscrito en VERBİS, así que cumplimos la KVKK».
Sin embargo, inscribirse en VERBİS y cumplir la KVKK no son lo mismo.

El registro de VERBIS es sólo una de las obligaciones de la KVKK.
El cumplimiento de la KVKK es un proceso empresarial más amplio que abarca el tratamiento lícito,
el deber de información, la gestión del consentimiento explícito,
las medidas de seguridad y los procesos de conservación y destrucción
en la organización.

📌 Respuesta corta:

No. La inscripción en VERBİS y el cumplimiento de la KVKK no son lo mismo.
La inscripción en VERBİS solo cubre el aspecto registral y de comunicación del cumplimiento de la KVKK.
Incluso inscrita en VERBİS, una empresa no puede considerarse conforme si los avisos de privacidad están incompletos,
si los procesos de consentimiento son incorrectos, si no existe política de conservación y destrucción
o si no se aplican las medidas de seguridad.

¿Qué es VERBİS?

VERBİS, el sistema de información del registro de responsables del tratamiento,
es el registro oficial donde los responsables declaran información sobre sus tratamientos de datos personales.
Hace visibles las categorías de datos personales, las finalidades, los grupos de destinatarios,
los plazos de conservación y las medidas de seguridad.

Al registrar VERBIS, la empresa declara para qué propósitos trata los datos personales y qué grupos de datos trata.
Esta declaración por sí sola no significa que la empresa haya cumplido todas sus obligaciones de la KVKK.

Información habitualmente declarada en VERBİS

• Categorías de datos personales
• Grupos de interesados
• Finalidades del tratamiento
• Destinatarios y grupos de destinatarios
• Períodos de almacenamiento
• Información sobre transferencias nacionales e internacionales
• Medidas técnicas y administrativas

🔎 Nota de expertos:

La inscripción en VERBİS es un sistema declarativo.
Por lo tanto, la información contenida en el registro debe ser coherente con las actividades de tratamiento de datos reales de la empresa.
Una declaración de VERBİS incompleta, desactualizada o incoherente con la actividad real puede generar riesgos adicionales.

¿Qué es el cumplimiento de KVKK?

Cumplir la KVKK consiste en adecuar el tratamiento de datos personales a la Ley de Protección de Datos Personales n.º 6698.
Este proceso no es sólo un registro VERBIS.

El cumplimiento de la KVKK abarca en conjunto ámbitos jurídicos, administrativos y técnicos.
Para cumplir la KVKK, una empresa debe tratar los datos personales lícitamente,
informar correctamente a los interesados, obtener consentimiento explícito cuando sea necesario,
aplicar medidas de seguridad y gestionar la conservación y destrucción.

Componentes básicos del cumplimiento de KVKK

• Preparación del inventario de procesamiento de datos
• Creación de un aviso de privacidad
• Gestión de los procesos de consentimiento explícito
• Preparar una política de conservación y destrucción
• Adecuar las cookies y las tecnologías de seguimiento digital
• Regular los contratos con encargados del tratamiento
• Control de los procesos de transferencia de datos en el extranjero
• Aplicación de medidas técnicas y administrativas
• Crear un plan de respuesta a violaciones de datos
• Formación y estudios de sensibilización de los empleados

⚖️ Distinción fundamental:

La inscripción en VERBİS declara qué datos trata la empresa.
El cumplimiento de KVKK, por otro lado, evalúa si la empresa procesa estos datos "de acuerdo con la ley".

¿Por qué no basta la inscripción en VERBİS?

El registro VERBIS es una parte importante del cumplimiento de KVKK; sin embargo, por sí solo no es suficiente.
VERBİS solo permite comunicar al registro las actividades de tratamiento.
La KVKK impone a los responsables muchas obligaciones además de la inscripción.

Por ejemplo, una empresa puede haberse registrado en VERBIS.
Si la empresa no ha informado a los empleados ni obtenido el consentimiento de los clientes cuando era necesario,
utiliza cookies sin consentimiento o conserva los datos más tiempo del necesario,
la inscripción en VERBİS no corrige esas deficiencias.

Ejemplo 1: Existe un registro VERBIS, sin aviso de privacidad

Supongamos que una empresa de comercio electrónico se ha inscrito en VERBİS.
Sin embargo, si no se presenta al usuario un aviso de privacidad claro y comprensible durante la creación de la membresía, el pedido y los permisos de marketing en el sitio web,
su proceso de cumplimiento de la KVKK está incompleto.

Porque incluso si se ha hecho el registro VERBIS, el derecho a saber para qué fin se procesan los datos de la persona afectada permanece.
La inscripción por sí sola no basta si no se cumple el deber de información.

Ejemplo 2: inscripción en VERBİS, pero consentimiento defectuoso

Una clínica procesa datos de salud para sus pacientes y puede haber completado un registro VERBIS.
Si el consentimiento explícito necesario no se obtiene por separado, de forma libre e informada,
no se ha logrado el cumplimiento de la KVKK.

La inscripción en VERBİS no hace lícito automáticamente el tratamiento, especialmente de categorías especiales de datos personales.

Ejemplo 3: inscripción en VERBİS, pero banner de cookies no conforme

Una empresa puede tener un registro VERBIS.
Sin embargo, si las cookies de marketing y análisis en el sitio web funcionan sin el consentimiento del usuario,
La gestión de cookies también puede representar un riesgo en términos de KVKK.

En este caso, la presencia del registro VERBIS de una empresa no elimina la incompatibilidad de las cookies en el sitio web.

Ejemplo 4: inscripción en VERBİS, pero plazos de conservación indefinidos

Si RR. HH. conserva indefinidamente los CV de los candidatos,
la inscripción en VERBİS no hace esa práctica automáticamente lícita.

Los datos deben conservarse solo durante el tiempo necesario para la finalidad y luego suprimirse, destruirse o anonimizarse.

⚠️ Error crítico:

El enfoque que "nos hemos registrado con VERBIS, por lo que no hay ningún problema con el KVKK" es incorrecto.
El registro VERBIS es uno de los pasos iniciales del proceso de cumplimiento; no es todo.

Diferencias entre el cumplimiento de VERBIS y KVKK

Para ver con mayor claridad la diferencia entre el registro de VERBIS y el cumplimiento de KVKK, es necesario evaluar los dos conceptos por separado.

¿Qué aporta la inscripción en VERBİS?

• Garantiza que el responsable del tratamiento se registre
• Proporciona declaración de actividades de tratamiento de datos
• Permite que las categorías de datos personales se hagan visibles
• Comunicación de los grupos de destinatarios y plazos de conservación
• Transparencia mediante el registro público

¿Qué proporciona el cumplimiento de KVKK?

• Garantiza que las actividades de procesamiento de datos se lleven a cabo de conformidad con la ley
• Regla la información de privacidad y los procesos de consentimiento explícito
• Garantiza la aplicación de medidas de seguridad de los datos
• Se ocupa de los datos de empleados, clientes, proveedores y visitantes de forma holística
• Crea un plan de intervención contra las violaciones de datos
• Reduce los riesgos de auditoría y de reclamación

📊 Cuadro práctico:

VERBIS = Notificación y registro
Cumplimiento de KVKK = Proceso de cumplimiento legal, administrativo y técnico

Los conceptos erróneos más vistos en las empresas

Muchas empresas se inscriben en VERBİS pero dejan incompletos otros aspectos del cumplimiento de la KVKK.
Esto es especialmente frecuente en empresas de rápido crecimiento, ventas multicanal y tratamiento de grandes volúmenes de datos de clientes.

Escenario 1: empresa de comercio electrónico

• Inscripción en VERBİS efectuada
• Insuficiente aviso de privacidad en los procesos de admisión y pedido
• El permiso de marketing y el consentimiento explícito no están separados
• El banner de cookies sólo funciona con la lógica de "aceptar"

La empresa está inscrita en VERBİS, pero su cumplimiento de la KVKK sigue incompleto.

Escenario 2: Clínica de Salud

• Inscripción en VERBİS efectuada
• Tratamiento de datos de salud de los pacientes
• Los procesos de categorías especiales de datos personales no están separados
• consentimiento explícito y aviso de privacidad se mezclan en el mismo documento

En este caso, la presencia de un registro VERBIS no significa que los datos sanitarios se procesen en todos los casos de conformidad con la ley.

Escenario 3: franquicia o marca con varias sucursales

• Empresa central registrada en VERBIS
• Las sucursales utilizan formularios distintos
• Los datos del personal se mantienen de forma desorganizada
• Los plazos de conservación de las grabaciones varían entre sucursales

En este caso, incluso si el centro está registrado, es posible que no se haya logrado el cumplimiento operativo del KVKK.

Escenario 4: empresa de servicios B2B

• Registro VERBIS completo
• Sistema de CRM funciona en servidores en el extranjero
• No se han celebrado contratos con encargados del tratamiento
• El proceso de transferencia de datos en el extranjero no ha sido analizado

Incluso tras inscribirse en VERBİS, subsisten riesgos en las transferencias y las relaciones con encargados del tratamiento.

¿Qué exige cumplir la KVKK además de VERBİS?

Una vez que se haya completado el registro VERBIS, las empresas también deben abordar los siguientes encabezamientos.
Estos ámbitos forman la base del cumplimiento efectivo de la KVKK.

1️⃣ Mantener actualizado el inventario de datos

La base del registro VERBIS es el inventario de procesamiento de datos.
El inventario debe actualizarse si se utiliza un nuevo software, se abre un nuevo canal de marketing, se transfiere datos al extranjero o se procesa una nueva categoría de datos.

2️⃣ Preparar avisos de privacidad por proceso

El uso del mismo aviso de privacidad para el empleado, cliente, proveedor, visitante, solicitante de empleo y usuario del sitio web a menudo no es exacto.
Deberá prepararse un aviso de privacidad adecuado para cada proceso de procesamiento de datos.

3️⃣ Distinguir los casos que exigen consentimiento explícito

No todas las actividades de procesamiento de datos se basan en el consentimiento explícito.
Cuando se exige consentimiento explícito, el texto debe ser claro, basado en una decisión libre y referido a un asunto específico.

4️⃣ Aplicar la política de conservación y destrucción

Los datos personales no deben almacenarse indefinidamente.
Deben fijarse plazos de conservación y aplicarse la supresión, destrucción o anonimización al vencer.

5️⃣ Revisar los contratos con encargados del tratamiento

Deben regularse por contrato las relaciones de tratamiento con terceros, como proveedores de CRM, herramientas de marketing por correo, contabilidad, almacenamiento en la nube, centros de llamadas y agencias.

6️⃣ Medidas técnicas y administrativas que deben aplicarse

Las autorizaciones, registros, cifrado, copias de seguridad, control de acceso, formación y compromisos de confidencialidad deben aplicarse en la práctica, además de documentarse.

🔐 Hecho técnico:

Cumplir la KVKK va más allá de preparar documentos.
Los derechos de acceso, registros, copias de seguridad, seguridad de datos y autorizaciones en los sistemas de la empresa también forman parte del cumplimiento.

¿Cuándo sigue en riesgo una empresa inscrita en VERBİS?

Subsisten riesgos de cumplimiento de la KVKK pese a la inscripción en VERBİS si se da alguna de estas situaciones:

• Si la declaración VERBIS no es compatible con el inventario de datos
• Si el aviso de privacidad está incompleto o no está vigente
• Si los procesos de consentimiento explícito no son lícitos
• Si las cookies funcionan sin consentimiento
• No se han fijado plazos de conservación de las grabaciones
• CVs y datos de los empleados se almacenan indefinidamente
• No existen contratos con encargados del tratamiento
• Si no se ha analizado la transferencia de datos al extranjero
• No existe plan de respuesta a violaciones de datos

📌 Ensayo de cumplimiento:

Su empresa puede estar registrada en VERBIS.
Sin embargo, si usted no puede responder claramente a la pregunta, falta cumplimiento:
«¿Qué datos personales tratamos, con qué base jurídica, durante cuánto tiempo y con qué medidas de seguridad?»

Resultados y evaluación de expertos

La inscripción en VERBİS y el cumplimiento de la KVKK no son lo mismo.
El registro VERBIS es un paso importante en el camino de cumplimiento del KVKK; sin embargo, por sí solo no es suficiente.

El cumplimiento efectivo de la KVKK exige gestionar conjuntamente el inventario, los avisos, el consentimiento, la conservación y destrucción,
la seguridad, las cookies, los contratos con encargados y la respuesta a violaciones.

Por ello, las empresas deben considerar la inscripción en VERBİS como un punto de control
del cumplimiento de la KVKK, en lugar de una señal de que el proceso ha terminado.

B10 Digital Agency ⚖️ Análisis de cumplimiento de la KVKK tras la inscripción en VERBİS

En B10 Digital Agency, analizamos el cumplimiento efectivo de la KVKK en empresas inscritas en VERBİS
evaluando conjuntamente inventarios, información, consentimiento, cookies, contratos con encargados y medidas técnicas y administrativas.

Gracias a nuestro modelo híbrido, donde asesores legales y equipos técnicos trabajan juntos,
Nos ocupamos del cumplimiento de KVKK no sólo a nivel de documentos, sino también con procesos digitales, infraestructura web, sistemas CRM y aplicaciones de seguridad de datos.

🔎 Control de VERBIS
La declaración de VERBİS se compara con el tratamiento real de datos. 📋 Análisis de deficiencias de cumplimiento
Se revisan los procesos de información, consentimiento, conservación y destrucción y cookies. ⚖️ Plan de acción del KVKK
Las etapas de cumplimiento legal, administrativo y técnico se convierten en plan aplicable.

Incluso si su registro VERBIS se ha realizado, su nivel de cumplimiento KVKK debe ser comprobado por separado.

Obtenga KVKK análisis de conformidad después de VERBIS

Preguntas frecuentes ¿Es VERBIS suficiente para el cumplimiento de KVKK?

No. La inscripción en VERBİS es solo una parte del cumplimiento de la KVKK. También deben gestionarse la información, el consentimiento explícito, la seguridad, la conservación y destrucción y las cookies.

¿Se puede penalizar a la empresa registrada en VERBIS?

Sí. Incluso tras inscribirse en VERBİS, subsiste el riesgo de sanciones administrativas si el tratamiento es ilícito, la información incompleta o la seguridad insuficiente.

¿Qué documentos son necesarios para el cumplimiento de KVKK que no sea VERBIS?

Los documentos básicos incluyen el inventario, los avisos, los textos de consentimiento, la política de conservación y destrucción, los contratos con encargados, la política de cookies y el plan de respuesta a violaciones.

¿Debería actualizarse el registro VERBIS?

Sí. Los cambios en el tratamiento exigen actualizar VERBİS. Un nuevo software, categorías de datos, transferencias internacionales o canales de marketing pueden requerirlo.