VERBİS'e kayıt, birçok veri sorumlusu için tek seferlik bir formalite gibi görülür; oysa 6698 sayılı KVKK bakımından kayıt, beyan edilen bilgilerin fiilî işleme faaliyetiyle uyumlu olmasını da gerektiren süreklilik arz eden bir yükümlülüktür. Bu rehber, kayıt ve bildirim yükümlülüğüne ilişkin riskleri ve yaptırım aşamasında başvurulacak doğru mercii ele alır.
Kayıt yükümlülüğü kimin için doğar
Yükümlülüğün kapsamı; işlenen verinin niteliği, veri sorumlusunun faaliyet alanı, çalışan sayısı ve mali büyüklük gibi ölçütlere göre belirlenir ve istisnalar Kurul kararlarıyla düzenlenmiştir. Bu nedenle ilk adım, kuruluşun istisna kapsamında olup olmadığını gerekçesiyle birlikte yazılı hâle getirmektir. İstisna değerlendirmesinin belgelenmemesi, denetim sırasında savunmayı zayıflatır. Yurt dışında yerleşik veri sorumluları için temsilci atanması ayrıca ele alınmalıdır.
Kaydın içeriği ile gerçeğin uyuşmaması
Denetimlerde en çok karşılaşılan sorun, kaydın hiç yapılmamış olması değil; bildirilen bilgilerin güncelliğini yitirmiş olmasıdır. Şu başlıklar düzenli olarak gözden geçirilmelidir:
- İşleme amaçları ve hukuki sebepler; özellikle açık rızaya dayandırılan işlemler ile diğer hukuki sebeplere dayananların ayrıştırılması.
- Veri kategorileri ve özel nitelikli veri işlenip işlenmediği.
- Aktarım yapılan alıcı grupları ve yurt dışına aktarım bulunup bulunmadığı.
- Azami saklama süreleri ile saklama ve imha politikasındaki sürelerin birbirini tutması.
- İrtibat kişisinin güncel olması ve kuruma yapılan bildirimleri fiilen takip edebilmesi.
Envanter olmadan kayıt sağlıklı yapılamaz
Kayıt, kişisel veri işleme envanterine dayanır. Envanter hazırlanmadan doldurulan bildirim, çoğu zaman şablon ifadelerle tamamlanır ve fiilî durumu yansıtmaz. Sağlıklı bir envanter için departman bazlı süreç görüşmeleri yapılmalı, kullanılan yazılım ve bulut hizmetleri listelenmeli, veri işleyenlerle imzalanan sözleşmelerdeki gizlilik ve güvenlik hükümleri kontrol edilmelidir.
Yaptırımla karşılaşıldığında hangi yol
Kayıt ve bildirim yükümlülüğüne aykırılık idari yaptırım konusudur; bu, ilgili kişinin şikâyeti üzerine değil, kural olarak re'sen yürütülen inceleme sonucunda gündeme gelir. Bu ayrım önemlidir: kayıt yükümlülüğüne aykırılık, bireysel bir ilgili kişi başvurusunun konusunu oluşturmaz. İdari para cezasına karşı gidilecek yargı yolu konusunda mevzuatta değişiklikler yapılmış olduğundan, süre ve merci ezbere belirlenmemeli; tebliğ edilen karar metnindeki başvuru yolu bilgisi ile yürürlükteki düzenleme birlikte okunmalıdır. Tebliğ tarihi ayrı bir kayıtla not edilmelidir.
Denetim öncesi hızlı kontrol
- Kayıt tarihi ve son güncelleme tarihi biliniyor mu?
- Envanter ile bildirim arasında satır satır karşılaştırma yapıldı mı?
- Saklama ve imha politikasında öngörülen periyodik imha işlemleri fiilen gerçekleştirildi mi ve tutanakları var mı?
- Aydınlatma metinleri, bildirilen amaç ve hukuki sebeplerle uyumlu mu?
- Kuruma gönderilen bilgi ve belge taleplerine verilen yanıtlar arşivlendi mi?
Bu açıklamalar genel bilgilendirme amaçlıdır; kuruluşunuzun büyüklüğü, sektörü ve işlediği veri türleri yükümlülüğün kapsamını değiştirir. Denetim veya bilgi talebi yazısı ulaştıysa, yanıt süresi kısa olduğundan hızlıca kurumsal ve hukuki bir değerlendirme yapılması yerinde olur.