Kişisel verilerin korunmasında denetimin ağırlık merkezi, beyan edilen ile fiilen uygulanan arasındaki farktır. 6698 sayılı KVKK, veri sorumlusuna işleme faaliyetlerini kayıt altına alma, saklama sürelerini belirleme ve süresi dolan veriyi silme, yok etme veya anonim hale getirme yükümlülüğü yükler. 5651 sayılı kanun kapsamındaki kayıt tutma zorunlulukları ise bazı verilerin belirli süre saklanmasını gerektirdiğinden, iki yükümlülüğün kesiştiği alan ayrıca planlanmalıdır.
Envanter ile beyanın tutarlılığı
VERBİS bildirimi, kişisel veri işleme envanterinin özetidir. Envanterde yer almayan bir veri kategorisinin bildirime girmesi ya da bildirimdeki saklama süresinin politikada yazılı süreden farklı olması, tek başına bir tutarsızlık göstergesidir. Bu nedenle envanter, bildirim ve saklama politikası aynı tarihli sürümlerle karşılaştırılmalı, her güncellemede üçü birlikte revize edilmelidir.
İmha faaliyetinin gerçekten yapıldığını göstermek
Politikanın varlığı yeterli değildir; uygulandığının gösterilmesi gerekir. Periyodik imha dönemlerinde düzenlenen tutanaklar, imha edilen kayıt sayısı ve türü, işlemi yapan kişinin kimliği ve kullanılan yöntem yazılı hale getirilmelidir. Fiziksel evrakta imha tutanağı, dijital ortamda ise geri döndürülemez silme işlemine ait sistem kaydı esas alınır. Yedekleme ortamlarındaki kopyaların akıbeti çoğu zaman gözden kaçar ve denetimde ilk sorulan başlıklardan biri olur.
İlgili kişi başvurusuna verilen yanıtın kaydı
- Başvurunun ulaştığı tarih ve kanal kayıt altına alınmalıdır.
- Yanıtın hangi tarihte, hangi yolla gönderildiği belgelenmelidir.
- Talep kısmen reddedilmişse gerekçe açık biçimde yazılmalıdır.
- Yanıt metni ile fiilen yapılan işlem birbirini doğrulamalıdır.
Kurum yazışmalarında tebligat gecikmesi
Kuruma iletilen şikâyetler üzerine gönderilen bilgi ve belge talepleri, kısa cevap sürelerine bağlıdır. Kayıtlı elektronik posta adresinin takip edilmemesi ya da yazının kurum içinde ilgili birime geç ulaşması, savunma hakkının fiilen daralmasına yol açar. Gelen yazının kaydedilmesinden yanıtın gönderilmesine kadar geçen adımların tek bir sorumluya bağlanması, bu riski önemli ölçüde azaltır.
Bu içerik genel bilgilendirme amaçlıdır. Veri işleme faaliyetleri sektöre ve kullanılan sistemlere göre değiştiğinden, kurumunuza özgü bir değerlendirme için hukuki destek almanız yerinde olacaktır.