Veri sorumluları bakımından uyum tartışmaları genellikle iki başlıkta düğümlenir: sicile bildirilen beyan ile fiili işleme faaliyetinin örtüşüp örtüşmediği ve saklama süresi dolan verinin gerçekten imha edilip edilmediği. Bu rehber 6698 sayılı KVKK ve ilgili ikincil düzenlemeler ekseninde, bu iki başlığın nasıl belgeleneceğini ele alır.
Beyan ile Fiili Durumun Örtüşmesi
Sicile yapılan bildirimde veri kategorileri, işleme amaçları, alıcı grupları ve saklama süreleri beyan edilir. İnceleme aşamasında en çok soru doğuran nokta, bu beyanın sahadaki uygulamayla uyuşmamasıdır: bildirimde yer almayan bir kategoride veri işlemek ya da beyan edilenden uzun süre saklamak, tek başına bir tutarsızlık göstergesi oluşturur. Bu nedenle bildirim, teknik ekiple birlikte yıllık olarak gözden geçirilmeli ve değişiklikler güncellenmelidir.
Saklama ve İmha Politikasının Kanıt Değeri
Kişisel veri saklama ve imha politikası, yalnızca bir metin değil; uygulandığı gösterilebildiği ölçüde delildir. Politikayı destekleyen kayıtlar şunlardır:
- Periyodik imha işlemlerine ait tarih ve kapsam kayıtları
- İmha yönteminin veri türüne göre belirlendiğini gösteren teknik açıklama
- Yedek ortamlar ve arşiv sistemleri için ayrı tanımlanmış süreler
- Üçüncü taraf hizmet sağlayıcılara aktarılan verinin imhasına dair teyit
İnceleme Halinde İstenen Belgeler
- Sicil bildiriminin güncel çıktısı ve değişiklik geçmişi
- İşleme envanteri ile envanterin hangi tarihte hazırlandığı bilgisi
- Aydınlatma metinleri ve bunların sunulduğu noktalar
- Veri güvenliğine ilişkin teknik ve idari tedbirlerin listesi
- İlgili kişi başvurularının kaydı ve verilen cevapların örnekleri
İlgili Kişi Talebine Verilen Cevabın Kaydı
Silme talebine verilen cevabın içeriği kadar, cevabın hangi tarihte verildiği de önem taşır. Başvurunun ulaşma anı ve cevabın gönderilme anı aynı kayıt sisteminde tutulmadığında, süresinde cevap verildiği ispatlanamaz hale gelir. Cevap metninde hangi sistemlerde silme yapıldığı ve hangi verinin hangi hukuki sebeple saklanmaya devam ettiği ayrı ayrı açıklanmalıdır; saklamaya devam edilen veri için dayanak gösterilmemesi, sonraki aşamada eleştiriye açık bir boşluk bırakır.
Şikâyet Süreci ile Kurum İçi Düzeltme Arasında Karar
İlgili kişinin talebi karşılanabilir nitelikteyse, hızlı ve belgelenmiş bir düzeltme çoğu zaman süreci sonlandırır. Ancak talep, kurumun hukuki yükümlülüğüyle çatışıyorsa, gerekçenin yazılı ve dayanaklı biçimde açıklanması gerekir; sessiz kalmak ya da genel ifadelerle geçiştirmek çoğu dosyada aleyhe yorumlanır.
Bu metin genel bilgilendirme amacıyla hazırlanmış olup her kurumun veri akışı, sektörü ve mevzuat yükümlülükleri farklıdır. Uyum çalışması yapılırken belgelerin bir hukukçu ve teknik ekip ile birlikte değerlendirilmesi önerilir.