Kişisel veri işleyen kuruluşların yükümlülükleri, yalnızca teknik tedbirlerle sınırlı değildir. KVKK ve 6698 sayılı Kanun düzenlemesi, kayıt sistemine ilişkin idari yükümlülükler ile ilgili kişi başvurularına yanıt verme yükümlülüğünü ayrı ayrı düzenler. Bu rehber, VERBİS ve başvuru süresi ekseninde işleyen süre zincirini ele alır.
Kayıt Yükümlülüğü Kimi Kapsar
Veri Sorumluları Sicil Bilgi Sistemine kayıt, kural olarak veri sorumlusu sıfatını taşıyanlar için öngörülmüştür; ancak çalışan sayısı, mali büyüklük ve işlenen verinin niteliğine göre istisnalar bulunur. Özel nitelikli veri işleyen kuruluşlar bakımından ölçütler farklılaşır. Bu nedenle ilk adım, kuruluşun veri sorumlusu mu yoksa veri işleyen mi olduğunun net biçimde belirlenmesidir; bu ayrım tüm yükümlülük haritasını değiştirir.
Kayıt Öncesi Hazırlık
- Kişisel veri işleme envanterinin çıkarılması
- Her işleme faaliyeti için hukuki sebebin belirlenmesi
- Saklama ve imha politikasının yazılı hâle getirilmesi
- Aktarım yapılan taraflar ve varsa yurt dışı aktarım kayıtları
- İrtibat kişisinin atanması ve yetki sınırlarının tanımlanması
Envanter olmadan yapılan kayıt, sonradan yapılacak denetimde tutarsızlık üretir. Bu nedenle sıralama, envanterden sicile doğru kurulmalıdır.
İlgili Kişi Başvurusunda İşleyen Süreler
Veri sahibi, kendisiyle ilgili verilerin işlenip işlenmediğini öğrenme, düzeltme ve silinmesini isteme haklarını kullanmak için önce veri sorumlusuna başvurur. Veri sorumlusunun kanunda belirtilen süre içinde yanıt verme yükümlülüğü bulunur. Başvurunun reddi, yetersiz yanıt verilmesi veya hiç yanıt verilmemesi hâlinde Kurula şikâyet yolu açılır; bu yol da kendi süresine bağlıdır ve zincirin ilk halkası olan veri sorumlusuna başvuru atlandığında şikâyet usulden reddedilir.
Başvuru tarihini belgelemek
Yanıt süresinin başlangıcını göstermek için başvurunun tarihli ve teslim edilebilir bir yolla yapılması gerekir. Kayıtlı elektronik posta, noter kanalı ya da alındı belgesi, sonraki aşamada tartışmayı ortadan kaldırır.
Yayımlanan İçerikle Bağlantı
Kişisel verinin internet ortamında yayımlandığı hâllerde 5651 sayılı Kanun kapsamındaki içeriğin kaldırılması ve erişimin engellenmesi yolları, veri koruma başvurularıyla paralel yürütülebilir. İki yolun süreleri ve muhatapları farklı olduğundan, tek bir takvim üzerinde takip edilmesi gecikmeyi önler.
Veri koruma yükümlülükleri kuruluşun büyüklüğüne ve işlediği verinin niteliğine göre önemli farklar gösterir. Bu yazı genel bir çerçeve sunar; kayıt kapsamınızın belirlenmesi ve başvuruya verilecek yanıtın hazırlanması için kurumsal yapınızın ayrıntılı incelenmesi gerekir.