VERBİS kaydı çoğu kurumda bir defaya mahsus tamamlanan idari formalite gibi görülür. Oysa 6698 sayılı KVKK bakımından bu kayıt, işleme faaliyetinin beyanıdır; beyanla fiilî uygulama arasındaki fark, denetim anında doğrudan sorumluluk doğurur. Silme, yok etme ve anonim hâle getirme yükümlülüğü de bu beyanla aynı veri envanterinden beslenir.
Beyan ile fiilî işleme neden örtüşmeli?
VERBİS'te bildirilen veri kategorileri, işleme amaçları, aktarım alıcı grupları ve azami saklama süreleri, kurumun kendi kendine koyduğu sınırdır. Envanterde yer almayan bir veri kategorisinin fiilen işlenmesi ya da beyan edilen saklama süresinin aşılması, tek başına bir uyumsuzluk göstergesidir. Bu nedenle kayıt, bir defa doldurulup unutulan form değil; süreç değiştikçe güncellenen canlı bir belge olarak ele alınmalıdır.
Saklama ve imha politikasının kurgusu
Politika metni genel ifadelerle yazıldığında uygulanamaz hâle gelir. İşe yarayan bir metin, her veri kategorisi için üç soruya yanıt verir: veri hangi hukuki sebeple tutuluyor, saklama süresi hangi mevzuat veya sözleşme hükmünden geliyor, süre dolduğunda hangi yöntemle ortadan kaldırılıyor. Kâğıt ortam, veri tabanı, yedek ortam ve üçüncü taraf sistemleri için yöntemler ayrı ayrı belirlenmelidir; yedeklerde kalan kopya, silme işlemini fiilen etkisiz kılan en yaygın açıktır.
İki ayrı tetikleyici: periyodik imha ve ilgili kişi başvurusu
- Periyodik imha: kurumun kendi belirlediği düzenli aralıklarla, resen yürütülür ve tutanakla belgelenir.
- İlgili kişi başvurusu: talep üzerine işler; yanıt süresi ve içeriği bakımından ayrı bir disiplin gerektirir.
- Aktarım yapılan taraflar: silme talebi yalnızca kurum içinde değil, verinin aktarıldığı alıcılara da bildirilmelidir.
- Kanuni saklama zorunlulukları: silme talebi, başka mevzuattan doğan saklama yükümlülüğüyle çatışıyorsa gerekçesi yazılı olarak açıklanır.
Denetimde usul hatası doğuran noktalar
- İmha işleminin yapılmış olması ancak tutanakla belgelenmemesi.
- Envanterin güncellenmemesi nedeniyle beyan ile uygulama arasında fark oluşması.
- Başvuruya süresinde ancak gerekçesiz yanıt verilmesi.
- İnternet ortamındaki içerik bakımından 5651 sayılı Kanun kapsamındaki yollarla veri koruma mevzuatındaki yolların karıştırılması.
Değerlendirme
Uyum çalışmasının ölçüsü, hazırlanan belge sayısı değil belgeyle uygulamanın örtüşmesidir. Envanter, VERBİS beyanı ve imha kayıtları birbirini doğruluyorsa denetim süreci öngörülebilir hâle gelir. Kurumun kendi veri akışına özgü sorular için hukuki ve teknik değerlendirmenin birlikte alınmasında yarar vardır.