Kişisel verilerin korunmasına ilişkin uyum çalışmaları genellikle iki başlıkta toplanır: sicil kaydı ve başvuru yönetimi. 6698 sayılı Kanun kapsamındaki veri sorumluları için VERBİS kaydı bir kereye mahsus bir formalite değil, veri envanteriyle sürekli güncel tutulması gereken bir beyandır. 5651 sayılı Kanun kapsamındaki kayıt yükümlülükleri de bu envanterle birlikte okunduğunda tablo bütünlenir.
Sicil kaydı ile envanter arasındaki bağ
VERBİS beyanı, kurumun hangi veri kategorisini hangi amaçla işlediğini, kimlere aktardığını ve saklama sürelerini gösterir. Beyan ile fiilî uygulamanın örtüşmemesi, tek başına bir uyumsuzluk göstergesidir. Yeni bir hizmet başlatıldığında, dış hizmet sağlayıcı değiştiğinde veya yurt dışına aktarım yapan bir araç kullanılmaya başlandığında beyanın güncellenmemesi sık rastlanan eksikliktir. Bu nedenle envanterin sahibi, teknik birim değil süreç sahibi olmalıdır.
Başvuruya cevap takvimi
İlgili kişi, verisiyle ilgili taleplerini önce veri sorumlusuna yöneltir. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırmakla yükümlüdür. Talebin reddedilmesi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde ilgili kişi Kurula şikâyette bulunabilir; bu şikâyet için de cevabı öğrenme tarihinden itibaren otuz günlük ve her hâlde başvuru tarihinden itibaren altmış günlük süreler öngörülmüştür. Süre yönetimi bu yüzden iki taraflıdır: veri sorumlusu için cevap disiplini, ilgili kişi için şikâyet penceresi.
Tebligat ve iletişim kanalı kaynaklı gecikmeler
- Başvurunun kurum içinde yanlış birime düşerek günlerce beklemesi
- KEP adresine gelen bildirimlerin düzenli izlenmemesi
- Aydınlatma metninde gösterilen başvuru adresinin güncel olmaması
- Cevabın ilgili kişiye ulaştığını gösteren kaydın tutulmaması
- Kurum yazışmalarına verilen cevaplarda ek süre talebinin zamanında yapılmaması
Uyum için işleyiş sırası
- Veri envanteri süreç bazında çıkarılır ve sahibi belirlenir.
- Saklama ve imha politikası, envanterdeki sürelerle eşleştirilir.
- Başvuru kanalları tek noktada toplanarak kayıt altına alınır.
- Her başvuru için geliş tarihi, cevap tarihi ve tebliğ kaydı tutulur.
- Aktarım yapılan üçüncü taraflarla sözleşmesel güvenceler gözden geçirilir.
Sonuç
Bu alanda yaptırım riskinin büyük kısmı, ihlalin ağırlığından değil belgelenememesinden doğar; süresinde verilmiş ve kaydı tutulmuş bir cevap çoğu tartışmayı baştan bitirir. Metin genel bilgilendirme amacı taşır. Kurumunuzun veri işleme yapısı yükümlülüklerinizi farklılaştırabileceğinden, uyum çalışmasını hukuki destekle yürütmeniz yerinde olur.