VERBİS kaydı, kişisel veri işleyen bir yapının denetimde ilk bakılan kalemlerinden biridir; çünkü sicile bildirilen bilgi ile sahadaki fiilî veri işleme faaliyeti arasındaki uyumsuzluk, çoğu zaman başka aykırılıkların da habercisi sayılır. Buna karşılık idari para cezası riskini yöneten kuruluşlarda asıl kayıp, cezanın miktarından çok ceza yazısının kuruma ulaştığı anın fark edilmemesinden doğar. Aşağıdaki liste, VERBİS dosyasını tam da bu gözle taramak için hazırlanmıştır.
Sicil Kaydı ile Sahadaki Gerçeği Karşılaştırın
Kayıt bir kez yapılıp bırakılan bir form değildir. İşleme amaçları, aktarılan taraflar, saklama süreleri ve alınan tedbirler zamanla değişir; bildirim güncellenmezse kayıt kendi içinde çelişir hâle gelir. Karşılaştırmayı şu başlıklarda yapmak pratik sonuç verir:
- Bildirilen veri kategorileri ile envanterdeki alanların birebir örtüşüp örtüşmediği
- Yurt dışına aktarım beyanı ile fiilen kullanılan bulut ve altyapı hizmetlerinin uyumu
- Saklama süresi taahhüdü ile imha politikasının uygulanma kanıtı
- Bildirilen irtibat kişisinin hâlen kurumda ve yetkili olup olmadığı
Tebligatın Ulaştığı An Neden Belirleyicidir
Kişisel verilerin korunması mevzuatı kapsamında verilen idari para cezaları kabahat niteliğindedir ve bunlara karşı itiraz, kabahatler rejiminin öngördüğü kısa süre içinde sulh ceza hâkimliğine yapılır. Süre, kararın tebliğ edildiği tarihten işlemeye başlar. Bu nedenle kurum içinde tebligatın kim tarafından teslim alındığı, hangi tarihte kaydedildiği ve hukuk biriminin ne zaman haberdar olduğu, itirazın esasından önce gelen bir mesele hâline gelir.
Tebligat Zinciri İçin Somut Kontrol Adımları
- Sicilde ve ticaret sicilinde görünen adres ile fiilî faaliyet adresini karşılaştırın; farklıysa hangi adrese tebligat çıkacağını baştan belirleyin.
- Elektronik tebligat kutusunu kimin, hangi sıklıkta açtığını yazılı bir görev tanımına bağlayın; tek kişiye bağlı kalmayın.
- İrtibat kişisi ayrıldığında bildirimi aynı hafta güncelleyin; ayrılan personelin kurumsal e-posta adresine gelen bildirimler yönlendirilsin.
- Gelen evrak defterine tebliğ tarihini ayrı bir alan olarak işleyin; yalnızca kuruma ulaşma tarihini kaydetmek yanıltıcıdır.
- Tebliğ tarihinden itibaren işleyen süreleri, hukuk biriminin takvimine otomatik düşecek şekilde tanımlayın.
Ceza Yazısı Ulaştığında İlk İş Sırası
Karar elinize geçtiğinde önce tebliğ zarfı ve mazbata korunmalı, sonra kararın hangi aykırılığa dayandığı ayrıştırılmalıdır. Kayıt yükümlülüğüne aykırılık ile veri güvenliğine ilişkin tedbir eksikliği farklı olgulara dayanır; itiraz dilekçesinde bunların ayrı ayrı ele alınması gerekir. Aykırılığın giderildiğini gösteren belgelerin tarihleri de dosyaya eklenmelidir, çünkü ihlalin devam edip etmediği değerlendirmede ağırlık taşır.
Denetimden Önce Kapatılması Kolay Açıklar
Aydınlatma metinlerinin sicil beyanıyla çelişmesi, açık rıza alındığı iddia edilen süreçlerde rızanın ispatlanamaması ve veri işleyenlerle imzalanan sözleşmelerde güvenlik taahhüdünün bulunmaması, sonradan telafisi zaman alan başlıklardır. Bunlar denetim öncesinde birkaç günlük bir gözden geçirmeyle kapatılabilir.
Buradaki değerlendirmeler genel nitelikte bilgilendirmedir. Kayıt yükümlülüğünün kapsamı, muafiyetler ve itiraz takvimi kurumun büyüklüğüne ve somut olayın özelliklerine göre değişir; karar almadan önce dosyanızı bir hukukçuyla birlikte incelemeniz yerinde olur.