Qu’est-ce que VERBİS ? Guide pour les entreprises en 2026

VERBİS est le dispositif par lequel les responsables du traitement déclarent au registre certaines informations sur leurs activités de traitement, via le système d’information du registre des responsables du traitement. Ce n’est pas un dépôt où transmettre à l’Autorité les données individuelles ou les listes de personnes détenues par l’entreprise.

La taille de l’entreprise ne suffit pas pour évaluer les obligations VERBİS en 2026. Il faut examiner ensemble l’effectif annuel, le bilan, l’activité principale, le traitement de catégories particulières de données personnelles et les exemptions spécifiques applicables au responsable du traitement.

Quels renseignements sont inclus dans l'avis de verbis?

Selon l’Autorité, la déclaration comprend l’identité et l’adresse du responsable du traitement et de son représentant éventuel, les finalités, les groupes de personnes concernées et catégories de données, les destinataires ou groupes de destinataires, les données destinées à être transférées à l’étranger, les mesures de sécurité et les durées maximales de conservation.

L’inscription à VERBİS ne doit donc pas être considérée comme un simple formulaire administratif indépendant des activités réelles de traitement.

2026 Critères généraux d'exception

Pour les responsables dont l’activité principale n’est pas le traitement de catégories particulières de données personnelles, la décision 2023/1154 a porté le critère de bilan à 100 millions TRY.

Pour les responsables tenant une comptabilité avec bilan, les critères d’exemption sont cumulatifs : moins de 50 salariés par an et un total annuel de bilan inférieur à 100 millions TRY.

Qu’est-ce qui a changé lorsque le traitement de catégories particulières de données est l’activité principale ?

La décision 2025/1572 du 4 septembre 2025 a aussi exempté les responsables, personnes physiques ou morales, dont l’activité principale est le traitement de catégories particulières de données personnelles, avec moins de 10 salariés par an et un total annuel de bilan inférieur à 10 millions TRY.

Cette modification doit notamment être examinée pour les petits responsables de la santé et de domaines similaires dont l’activité principale est le traitement de catégories particulières de données.

Critère en l’absence de comptabilité avec bilan

La décision 2025/2393 du 25 décembre 2025 a précisé que seul le critère de l’effectif annuel s’applique aux responsables ne tenant pas de comptabilité avec bilan, faute de total annuel de bilan disponible.

N’évaluez donc pas les obligations VERBİS sur le seul chiffre d’affaires ou le sens courant du mot « bilan » ; vérifiez aussi la méthode comptable de l’entreprise.

Mise à jour après enregistrement

VERBİS n’est pas une inscription figée que l’on peut oublier une fois créée. Si les catégories, finalités, destinataires, dispositifs de transfert international ou durées de conservation changent, vérifiez que la déclaration correspond toujours aux processus réels.

Un nouveau service SaaS, une migration CRM, un système d’IA, une application pour les salariés ou un service cloud à l’étranger peuvent modifier les flux de données.

2026 Liste de contrôle VERBIS

Le nombre d'employés par année a-t-il été correctement calculé?
A-t-on confirmé si l’entreprise tient une comptabilité avec bilan ?
Le traitement de catégories particulières de données personnelles est-il l’activité principale ?
L'un des critères d'exception peut-il vraiment être appliqué?
L'inventaire des données est-il à jour?
Les transferts de données à l'étranger sont-ils indiqués correctement?
Les durées maximales de conservation correspondent-elles aux systèmes réels ?
La notification VERBIS est-elle mise à jour après les modifications?

Gérez VERBİS comme un contrôle continu, et non comme une inscription figée

VERBİS et l’inventaire des données personnelles peuvent vite devenir obsolètes s’ils sont déconnectés des opérations réelles de l’entreprise. Une nouvelle application pour les salariés, un CRM, une infrastructure de paiement, un formulaire web, un outil marketing, un service SaaS, un fournisseur cloud ou une application d’IA peuvent introduire de nouvelles catégories de données, de nouveaux destinataires ou des transferts internationaux. Il faut donc examiner les implications pour les données personnelles lors des achats, du développement logiciel, des intégrations et de l’intégration de nouveaux fournisseurs.

Dans un modèle de contrôle solide, chaque activité de traitement est rattachée à un responsable métier, à un responsable du système et à une analyse juridique. Le suivi conjoint du système source, du système cible, du groupe de personnes concernées, de la catégorie de données, de la finalité, de la base juridique, du destinataire, du pays ou du dispositif de transfert, de la durée de conservation et des mesures de sécurité permet d’actualiser VERBİS à partir des opérations réelles. L’inscription ne se réduit alors plus à un document consulté uniquement lors des audits.

Les contrôles périodiques doivent couvrir les processus abandonnés comme les nouveaux. Les applications inutilisées, anciens comptes utilisateurs, archives, journaux, sauvegardes et connexions avec d’anciens fournisseurs peuvent présenter des risques de conservation et d’accès. Un rapprochement dans les deux sens entre l’inventaire et les systèmes techniques aide à éviter les notifications incomplètes et le maintien inutile dans le registre d’activités de traitement qui n’existent plus.

L’approche de B10 Digital Agency en matière de KVKK et de conformité numérique

B10 Digital Agency ne réduit pas les travaux de conformité KVKK à la rédaction de documents : son modèle opérationnel réunit l’inventaire des données, VERBİS, la cartographie des systèmes et intégrations, les transferts internationaux, les contrôles de sécurité et la gestion des changements.

Questions fréquentes

Les données personnelles sont-elles téléchargées sur VERBIS?

Non. Le registre reçoit des informations sur les catégories et les processus de traitement.

Est-ce que toutes les entreprises de moins de 50 employés sont exemptées de VERBIS?

Non. Le bilan, l’activité principale, le traitement de catégories particulières de données et les autres critères doivent être examinés ensemble.

Existe-t-il une exemption pour les petites entreprises traitant des catégories particulières de données ?

La décision 2025/1572 a instauré une exemption pour les responsables dont l’activité principale est le traitement de catégories particulières de données et qui remplissent certains critères d’effectif et de bilan.

Des mises à jour sont-elles nécessaires après l’inscription à VERBİS ?

Oui. Si les activités de traitement à l’origine de la déclaration changent, il faut vérifier que l’inscription reste à jour.

Lignes directrices connexes du VERBIS

Sources officielles

Remarque : ce contenu fournit des informations générales. Les obligations précises d’une entreprise au titre de VERBİS et du KVKK doivent être évaluées séparément selon ses activités et la législation en vigueur.

Alignez votre inscription VERBİS sur vos flux de données réels

Découvrez le service KVKK et conformité numérique de B10 Digital Agency pour examiner ensemble votre inventaire, VERBİS, les transferts internationaux et les systèmes numériques.

Découvrir le conseil en KVKK et conformité numérique →