Veri sorumluları çoğu zaman VERBİS bildirimini bir form doldurma işi sanır. Oysa bildirimdeki her satır, sonradan bir denetimde veya ilgili kişi şikâyetinde aleyhe kullanılabilecek bir beyandır. Özellikle yurt dışına aktarım kalemi, KVKK (6698) uygulamasında en çok tartışılan başlıklardan biridir ve 5651 kapsamındaki barındırma ilişkileriyle iç içe geçer. Bu rehber, bildirim ile fiili durumun birbirini doğrulayacak biçimde nasıl kurulacağını anlatır.
Bildirim ile Envanter Aynı Şeyi Söylüyor mu?
Denetimde ilk bakılan şey, VERBİS beyanı ile kişisel veri işleme envanterinin örtüşüp örtüşmediğidir. Sık rastlanan uyumsuzluklar şunlardır:
- Envanterde görünen bir veri kategorisinin bildirimde hiç yer almaması.
- Bulut hizmeti kullanıldığı hâlde alıcı grupları arasında yurt dışı alıcının belirtilmemesi.
- Saklama sürelerinin envanterde farklı, politikada farklı, uygulamada büsbütün farklı olması.
- Aktarımın hukuki sebebi olarak açık rızaya dayanıldığı yazıldığı hâlde, rıza metninin hizmet şartına bağlanmış olması.
Yurt Dışı Aktarımın Belgesi Nedir?
Aktarımın hukuka uygunluğu sözle değil dosyayla gösterilir. Pratikte aranan asgari set şudur: aktarımın hangi işleme amacına hizmet ettiğini gösteren gerekçe notu, alıcıyla imzalanmış ve veri güvenliği taahhütlerini içeren sözleşme metni, aktarılan veri kategorilerinin sınırlandığını gösteren teknik yapılandırma kaydı ve rızaya dayanılıyorsa rızanın ne zaman, hangi metinle ve nasıl alındığını gösteren kayıt. Sunucu konumunun tek başına "aktarım yok" sonucunu doğurmadığı, erişim yetkisinin de aktarım doğurabildiği unutulmamalıdır.
İlgili Kişi Başvurusu Geldiğinde Zaman Aleyhe İşler
KVKK sistemi, önce veri sorumlusuna başvuru, sonra Kurula şikâyet mantığı üzerine kuruludur. Veri sorumlusunun cevap süresi kısadır ve cevapsız bırakılan ya da geç cevaplanan başvuru, ilgili kişiye doğrudan şikâyet yolunu açar. İlgili kişi bakımından ise Kurula şikâyet için kanunda öngörülen süreler hak düşürücü niteliktedir; cevabın tebliğinden itibaren işleyen süre ile başvuru tarihinden itibaren işleyen üst sınır ayrı ayrı takip edilmelidir. Bu nedenle başvuru evrakında kayıt tarihi, kanal ve cevap tarihi mutlaka izlenebilir olmalıdır.
Denetime Hazır Dosyanın Kontrol Listesi
- VERBİS beyanının son güncelleme tarihi ile envanterin sürüm tarihi karşılaştırılır.
- Her yurt dışı alıcı için sözleşme, taahhüt ve teknik önlem kaydı tek klasörde toplanır.
- Aydınlatma metni ile fiili işleme faaliyeti satır satır eşleştirilir.
- İmha politikası ile gerçekleşen imha tutanakları tarih bazında kontrol edilir.
- Başvuru ve cevap yazışmaları, süre hesabı yapılabilecek şekilde arşivlenir.
Burada anlatılanlar genel bir çerçevedir; sektör, veri kategorisi ve kullanılan teknoloji yükümlülüğün kapsamını değiştirebilir. Uyum dosyanızı oluştururken hukuki ve teknik değerlendirmeyi birlikte yürütmeniz uygun olur.