Kişisel veri uyum çalışmalarında en sık yapılan hata, uyumu bir belge seti olarak değil bir kereye mahsus işlem olarak görmektir. 6698 sayılı KVKK kapsamında veri sorumluları siciline kayıt yükümlülüğü, envanterin güncel tutulmasıyla anlam kazanır. Yurt dışına aktarım söz konusu olduğunda ise ispat yükü tamamen veri sorumlusunun üzerindedir. 5651 sayılı Kanun kapsamındaki kayıt yükümlülükleri de aynı dosyada birlikte değerlendirilir.
VERBİS Kaydını Ayakta Tutan Şey Envanterdir
Sicile girilen bilgiler, kişisel veri işleme envanterinden türer. Envanter güncellenmediğinde sicildeki bilgi ile fiili durum ayrışır ve bu ayrışma denetimde ilk fark edilen husus olur. Yeni bir uygulama devreye alındığında, yeni bir tedarikçiyle çalışılmaya başlandığında veya saklama süreleri değiştiğinde envanterin de değişmesi gerekir.
Yurt Dışı Aktarımda Dayanağı Belgelemek
- Aktarımın hangi hukuki dayanağa göre yapıldığının yazılı olarak tespiti
- Standart sözleşme kullanılıyorsa imzalı metin ve Kuruma bildirim kaydı
- Bağlayıcı şirket kuralları veya taahhütname yolu seçilmişse ilgili onay süreci belgeleri
- Aktarılan veri kategorileri, alıcı grupları ve aktarım amacının kayda geçirilmesi
- Bulut hizmetlerinde verinin fiilen tutulduğu ülkeye ilişkin sağlayıcı beyanı
Denetimde En Çok Sorulan Kayıtlar
Bir incelemede istenenler genellikle şunlardır: aydınlatma metinlerinin hangi kanalda, hangi anda gösterildiğini kanıtlayan teknik kayıt; açık rıza alınmışsa rızanın alınma zamanı ve geri alma imkanının işletildiğine dair kayıt; veri güvenliğine ilişkin teknik ve idari tedbirlerin uygulandığını gösteren log ve prosedürler; erişim yetkilerinin gözden geçirildiğine dair periyodik kayıtlar. Bunların hiçbiri sonradan üretilemez; bu yüzden uyum, kayıt üretme disiplinidir.
Uyum Dosyasını Kurma Sırası
- Veri akış haritası çıkarılır; her akışın kaynağı ve alıcısı yazılır.
- Her akış için hukuki sebep belirlenir ve gerekçesi kısaca kayda geçirilir.
- Saklama ve imha süreleri politikayla eşleştirilir, uygulandığı loglanır.
- Yurt dışı aktarım varsa dayanağı belgelenir ve bildirim süreci tamamlanır.
- Sicil kaydı bu çıktılarla karşılaştırılarak güncellenir.
İhlal Anına Hazır Olmak
Uyum dosyasının gerçek sınavı, bir ihlal yaşandığında verilir. Bildirim süreleri kısadır ve bildirimde etkilenen veri kategorilerinin belirtilmesi gerekir. Envanteri güncel olmayan bir yapıda, bu bilgiyi kısa sürede üretmek pratikte mümkün olmaz.
Burada aktarılanlar genel uyum yaklaşımıdır; işlediğiniz verinin niteliği ve aktarım yapılan ülkeler yükümlülüklerinizi değiştirebileceğinden, yapınıza özel bir değerlendirme yaptırmanız yararlı olur.