Kişisel veri uyuşmazlıklarında veri sorumlusunun karşılaştığı en zor soru genellikle şudur: yükümlülüğü yerine getirdiğini nasıl gösterecek. 6698 sayılı Kanun kapsamındaki denetimlerde beyan değil kayıt aranır. VERBİS bildirimi ile fiilî işleme faaliyeti arasındaki uyumsuzluk ise, çoğu zaman incelemenin başlangıç noktası olur.
VERBİS kaydı bir form değil, envanterin özetidir
Sicile yapılan bildirim, kişisel veri işleme envanterinden türetilir. Envanterde her işleme faaliyeti için veri kategorisi, işleme amacı, hukuki sebep, aktarılan taraflar ve saklama süresi yer alır. Bildirimde beyan edilen saklama süresi ile sistemde fiilen tutulan verinin süresi birbirini tutmuyorsa, açıklanacak bir fark ortaya çıkar. Bu nedenle envanter, kâğıt üzerinde bir kez hazırlanan değil, süreç değiştikçe güncellenen bir belgedir.
Silme, yok etme ve anonim hâle getirmenin ispatı
Üç yöntemin sonucu farklıdır ve dosyada ayrı ayrı gösterilir. Silmede verinin ilgili kullanıcılar için erişilemez hâle getirilmesi, yok etmede hiçbir şekilde geri getirilemeyecek biçimde ortadan kaldırılması, anonim hâle getirmede ise verinin kimliği belirli bir kişiyle ilişkilendirilemeyecek duruma sokulması söz konusudur. İspat için tutulması gereken kayıtlar şunlardır:
- Saklama ve imha politikası ile periyodik imha takvimi
- İmha işlemine ilişkin tutanaklar ve işlemi yapan kişilerin kaydı
- Sistem üzerinde silme işlemini gösteren uygulama günlükleri
- Fiziksel evrakın imhasına ilişkin belgeler
- Yedek ortamlardaki verinin durumuna ilişkin açıklama
- Yetki matrisi ve erişim kayıtları
İlgili kişi başvurusundan şikâyete uzanan zincir
İlgili kişi, talebini önce veri sorumlusuna yöneltir. Veri sorumlusunun cevabı, hem içerik hem de süre bakımından kayıt altına alınmalıdır; cevap verilmemesi ya da yetersiz görülmesi hâlinde Kurula şikâyet yolu açılır. Bu aşamada veri sorumlusunun elinde başvurunun ne zaman ulaştığını, hangi birimin değerlendirdiğini ve hangi tarihte cevaplandığını gösteren bir izlenebilirlik kaydı bulunmalıdır. Bu kaydın olmaması, esasen yerine getirilmiş bir yükümlülüğün bile ispatsız kalmasına yol açar.
Usul hatalarının yansıması
Başvuruların tek bir kanaldan toplanmaması, aynı talebe farklı birimlerden çelişkili cevap verilmesi ve aydınlatma metni ile açık rıza metninin tek belgede birleştirilmesi sık görülen eksikliklerdir. Bu eksiklikler, veri güvenliğine ilişkin teknik tedbirler yeterli olsa dahi süreç yönetiminde zafiyet olarak değerlendirilebilir.
Bu metin genel bilgi amaçlıdır. Kurumun veri işleme yapısı, sektörü ve aktarım modeli farklı yükümlülükler doğurabileceğinden, uyum çalışmasının kuruma özgü biçimde yürütülmesi önerilir.