VERBİS kaydı, çoğu kurumda bir kez yapılıp unutulan idari bir formalite gibi görülür. Oysa KVKK ve 6698 sayılı Kanun bakımından bu kayıt, kurumun veri işleme faaliyetine ilişkin kendi beyanıdır ve fiili durumla uyumsuz kaldığı anda aleyhe delile dönüşür. Bu rehber, kaydı silme ve yok etme yükümlülüğüyle birlikte tek bir takvime bağlamayı ele alır.
Kaydın İçerikle Uyumu
VERBİS üzerinde beyan edilen veri kategorileri, işleme amaçları, aktarılan taraflar ve azami saklama süreleri; kurumun gerçekte yaptığı işlemlerle örtüşmelidir. Uygulamada en sık görülen tutarsızlık, kayıtta dar bir kapsam beyan edilirken sahada çok daha geniş bir veri setinin işlenmesidir. İkinci sık sorun, beyan edilen saklama sürelerinin dolmasına rağmen verilerin sistemlerde durmasıdır. Bu iki uyumsuzluk, bir denetim ya da şikâyet halinde ilk sorulacak noktalardır.
Saklama ve İmha Politikasını Takvime Bağlamak
- Veri envanteri güncellenir; her veri kategorisi için saklama süresi ve dayanağı yazılır.
- Periyodik imha dönemleri belirlenir ve sorumlu birim ismen atanır.
- Her imha işlemi için tutanak veya sistem kaydı üretilir, tarih ve kapsam belirtilir.
- Yedek ortamlar, arşivler ve üçüncü taraf sistemler ayrıca listelenir.
- VERBİS beyanı, envanterdeki her değişiklikten sonra gözden geçirilir.
Denetim Anında Sorulan Sorular
- Bu veri hangi hukuki sebeple işleniyor ve süresi ne zaman doldu?
- Süre dolduğunda imha fiilen yapıldı mı, belgesi var mı?
- Yedeklerdeki kopyalar için nasıl bir yöntem uygulanıyor?
- İlgili kişi başvuruları hangi kanalla alınıyor ve ne kadar sürede yanıtlanıyor?
Yaptırım Kararına Karşı Yol
İdari yaptırım kararlarına karşı hangi yargı yoluna başvurulacağı, bu alanda mevzuat değişikliklerine konu olmuş bir başlıktır. Bu nedenle karar elinize ulaştığında yapılacak ilk iş, kararın kendisinde gösterilen başvuru yolu ile o tarihte yürürlükte olan düzenlemeyi birlikte kontrol etmektir. Eski bir uygulamaya güvenerek yanlış mercie yapılan başvuru, kısa itiraz sürelerinin dolmasına yol açabilir. Kararın tebliğ tarihi ise her halükârda ilk gün belgelenmelidir.
Kapanış
Veri koruma uyumunda asıl belirleyici olan yazılı politikanın varlığı değil, o politikanın takvime bağlanmış ve belgelenmiş biçimde işletilmesidir. Bu metin genel bilgilendirme amacıyla hazırlanmıştır; kurumunuzun veri işleme yapısı ve sektörel yükümlülükleri farklı gereklilikler doğurabileceğinden, uyum çalışmasının konusunda deneyimli bir hukukçuyla yürütülmesi önerilir.