Kişisel verilerin korunmasında ispat yükü, çoğu tartışmada veri sorumlusunun üzerindedir. Bir inceleme başladığında sorulan soru uyum sağladınız mı değil, uyum sağladığınızı hangi kayıtla gösteriyorsunuz sorusudur. 6698 sayılı KVKK ve 5651 sayılı Kanun kapsamında tutulan kayıtların birbiriyle tutarlı olmaması, tek başına bir eksiklik göstergesi hâline gelebilir.
VERBİS Kaydı ile Envanter Arasındaki Tutarlılık
VERBİS bildirimi, veri işleme envanterinin özetidir. Envanterde yer almayan bir faaliyetin bildirimde görünmesi ya da bildirimdeki amaç ile aydınlatma metnindeki amacın örtüşmemesi, denetimde ilk fark edilen çelişkidir. Bu nedenle envanter, bildirim ve aydınlatma metni tek bir güncelleme döngüsüne bağlanmalıdır.
Yurt Dışı Aktarımda Dayanağı Belgelemek
Aktarımın hangi hukuki zemine dayandığı, aktarım başlamadan önce yazılı hâle getirilmelidir. Dosyada bulunması beklenenler:
- Aktarımın konusu, alıcısı, ülkesi ve amacını gösteren aktarım kaydı
- Kullanılan mekanizmaya ilişkin sözleşme veya taahhüt metinlerinin imzalı örneği
- Bildirim ya da izin gerektiren hâllerde yapılan başvurunun tarih ve içerik kaydı
- Alıcı tarafın teknik ve idari tedbirlerine ilişkin değerlendirme notu
Bulut Hizmetlerinde Gözden Kaçan Nokta
Sunucusu yurt dışında bulunan bir hizmet kullanıldığında, aktarım çoğu zaman fark edilmeden gerçekleşir. E-posta altyapısı, müşteri ilişkileri yazılımı, analitik araçlar ve destek hattı kayıtları bu kapsamda değerlendirilmelidir. Envantere yalnızca bilinçli veri gönderimleri yazılıp altyapı kaynaklı aktarımların atlanması, sık rastlanan bir eksikliktir.
Açık Rızanın İspatı
Açık rızaya dayanılan hâllerde, rızanın bilgilendirilmiş, özgür iradeyle ve belirli bir konuya ilişkin verildiğinin gösterilmesi gerekir. Dijital ortamda alınan rızalarda; hangi metnin gösterildiği, hangi sürüm numarasıyla, hangi zaman kaydıyla onaylandığı loglanmadığında, rızanın varlığı sonradan tartışmalı hâle gelir. Rıza geri alındığında yapılan işlemin de kayıt altına alınması gerekir.
Denetim Yazısına Yanıt Hazırlığı
Bilgi ve belge talebi geldiğinde verilecek yanıtın süresi kısadır. Bu nedenle kayıtların dağınık klasörlerde değil, tek bir uyum dosyasında tutulması pratik bir zorunluluktur. Yanıtta yalnızca metin sunmak yerine, her iddiayı bir belgeye bağlayan atıf tablosu hazırlamak, incelemenin kapsamını daraltır.
Aktarım rejimi ve bildirim yükümlülükleri zaman içinde değişebildiğinden, kurumsal süreçlerinizi başvuru yapmadan önce güncel mevzuat metniyle karşılaştırmanız ve kendi yapınıza özgü değerlendirme için hukuki destek almanız yerinde olur.