Veri depolama kuruluşları, finansal piyasalarda gerçekleştirilen işlemlere ilişkin verilerin merkezî olarak toplanması, saklanması ve yetkili otoritelere raporlanması işlevini üstlenir. Bu yönetmelik, söz konusu kuruluşların hangi şartlarla faaliyet göstereceğini, hangi yükümlülükler altında çalışacağını ve nasıl denetleneceğini belirler. Kuruluş açısından metin, bir izne bağlı faaliyet rejiminin çerçevesidir.
İzne Bağlı Faaliyetin Anlamı
Bu tür faaliyetlerde izin, tek seferlik bir formalite değildir. Kuruluş, izin verilirken aranan şartları faaliyeti boyunca sürdürmekle yükümlüdür. Sermaye yapısı, ortaklık yapısı, yönetici nitelikleri veya teknik altyapıda meydana gelen değişikliklerin bildirilmemesi, iznin sürdürülebilirliğini doğrudan etkiler.
Veri Güvenliği ve Kişisel Verilerle Kesişme
Depolanan verilerin bir kısmı gerçek kişilere ilişkin olabileceğinden, 6698 sayılı Kişisel Verilerin Korunması Kanunu'ndan doğan yükümlülükler bu yönetmelikten bağımsız olarak uygulanır. Pratikte iki rejim şu noktalarda kesişir:
- Verinin hangi hukuki sebebe dayanılarak işlendiğinin gösterilmesi
- Saklama sürelerinin, hem sektörel mevzuatın hem de veri minimizasyonu ilkesinin gereklerine göre belirlenmesi
- Veri ihlali halinde ilgili kuruma ve ilgili kişiye bildirim yükümlülüğünün ayrıca yerine getirilmesi
- Yurt dışına aktarım söz konusuysa aktarım şartlarının ayrıca sağlanması
Denetim: Neye Bakılır?
Denetimlerde çoğunlukla üç eksen incelenir. Birincisi kayıt bütünlüğü: verinin değiştirilmeden ve izlenebilir şekilde saklanıp saklanmadığı. İkincisi erişim yönetimi: kimin hangi veriye hangi yetkiyle eriştiğinin loglanması. Üçüncüsü süreklilik: iş sürekliliği ve olağanüstü durum planlarının kâğıt üzerinde kalmayıp test edilmiş olması.
Uyum Açığının Tipik Kaynakları
- Yazılı politika ile fiili uygulamanın ayrışması; prosedürün güncellenmemesi
- Alt hizmet sağlayıcılarla yapılan sözleşmelerde denetim ve gizlilik hükümlerinin eksik bırakılması
- Log kayıtlarının saklama süresinin, olası bir uyuşmazlığın ortaya çıkma süresinden kısa tutulması
- Yetkilendirme değişikliklerinin tarihli olarak belgelenmemesi
Yaptırım Kararına Karşı Ne Yapılabilir?
Düzenleyici otorite tarafından tesis edilen faaliyet kısıtlaması, uyarı veya idari para cezası niteliğindeki işlemler idari işlemdir. Bu işlemlere karşı idari yargı yolu açıktır ve süre, işlemin ilgiliye tebliğinden itibaren işler. Savunma aşamasında sunulacak teknik kayıtların sonradan üretilmiş görünmemesi için, sistem loglarının bütünlüğünü koruyan bir yedekleme düzeni önceden kurulmuş olmalıdır.
Bu metin genel bilgi vermek amacıyla kaleme alınmıştır; kuruluşunuzun özel durumu, iznin kapsamı ve denetim bulgularının niteliğine göre değerlendirme değişeceğinden konusunda deneyimli bir hukukçuyla çalışmanız faydalı olacaktır.