Kişisel veri mevzuatında en sık karşılaşılan yanılgı, uyumun bir durum olduğu düşüncesidir. Oysa denetim anında sorulan soru şudur: uyumlu olduğunuzu hangi belgeyle gösteriyorsunuz? 6698 sayılı KVKK kapsamında hesap verebilirlik, esas olarak yazılı kayıt üretme disiplinidir. Bu rehber, VERBİS kaydı ve yurt dışına aktarım özelinde bu kaydın nasıl kurulacağını ele alır.
Envanter ile VERBİS Kaydının Tutarlılığı
Denetimde ilk bakılan nokta, bildirilen kayıt ile fiilen yürütülen faaliyetin örtüşmesidir. Envanterde yer almayan bir işleme faaliyeti VERBİS'te görünüyorsa ya da tersi geçerliyse, tek başına bu çelişki dosyanın tonunu belirler. Bu nedenle envanter, ürün ve süreç değişikliklerinde güncellenen canlı bir belge olarak tutulmalıdır.
Yurt Dışına Aktarımda Dosyalanacaklar
- Aktarımın hangi hukuki sebebe dayandığına ilişkin yazılı değerlendirme.
- Alıcı ülke ve alıcı grubunun tanımı; hizmet sağlayıcı sözleşmeleri.
- Aktarılan veri kategorileri ve saklama süreleri.
- Açık rızaya dayanılıyorsa rızanın alınma yöntemi ve geri alınabilirliğinin ispatı.
- Teknik ve idari tedbirlerin aktarım zincirinin her halkasında karşılığı.
Bulut hizmetleri, e-posta altyapıları ve analitik araçlar çoğu şirkette fark edilmeden aktarım doğurur. Bu araçların envantere alınmamış olması, uygulamadaki en yaygın eksiktir.
Açık Rızanın İspatı Teknik Bir Konudur
Rızanın alındığını söylemek yetmez; ne zaman, hangi metinle ve hangi kanaldan alındığının kaydı gerekir. Onay kutusunun ön işaretli olmaması, aydınlatma metninin rıza metninden ayrı sunulması ve sürümlerin arşivlenmesi, sonradan yapılacak tartışmanın tamamını belirler. Sürüm arşivi olmayan bir rıza kaydı, ispat gücü zayıf bir beyandır.
Yaptırım Kararına İtiraz: Takvimi Kaçırmamak
Kurul tarafından idari para cezası uygulandığında, karara karşı başvuru yolu ve süresi sınırlıdır. Şirket içinde tebligatın hangi birime ulaştığı, kime iletildiği ve ne zaman okunduğu netleşmediği için süre çoğu zaman fark edilmeden tükenir. Kurumsal yapıda tebligat takibinin tek bir sorumluya bağlanması, bu riski büyük ölçüde ortadan kaldırır. Bir de içerik boyutu vardır: internet ortamındaki yayınlarla ilgili taleplerde 5651 kapsamındaki yollar ayrı bir takvimle işler.
Burada anlatılanlar genel çerçeveyi tarif eder; şirketinizin veri akışı, kullandığı hizmet sağlayıcılar ve sektörel düzenlemeler tabloyu değiştirir. Denetim öncesinde belge setinin bağımsız gözle gözden geçirilmesi, sonradan telafi edilmesi zor eksikleri önler.