VERBİS kaydı çoğu kurumda bir kereye mahsus idari işlem gibi görülür. Oysa bir denetim veya şikâyet gündeme geldiğinde bu kayıt, kurumun kendi beyanı olarak karşınıza çıkar. Yurt dışına veri aktarımı tartışılıyorsa, sicil beyanı ile fiilî durum arasındaki her fark savunmayı zayıflatan bir çelişki hâline gelir. Bu rehber, KVKK (6698) kapsamında envanter ve sicil kayıtlarının ispat işlevine odaklanır.
Sicil Beyanı Neden Delildir?
Sicile girilen bilgiler; hangi veri kategorilerinin işlendiğini, hangi alıcı gruplarına aktarım yapıldığını ve yurt dışına aktarım bulunup bulunmadığını gösterir. Bu beyan kurumun kendi iradesiyle oluşturulmuştur. Denetimde fiilî durum farklı çıkarsa, tartışma yalnızca aktarımın hukuka uygunluğuyla sınırlı kalmaz; beyanın doğruluğu da sorgulanır. Bu nedenle sicil kaydı ile işleme envanteri arasındaki tutarlılık periyodik olarak kontrol edilmelidir.
Envanteri Denetime Hazır Hâle Getiren Unsurlar
- Her işleme faaliyeti için amaç, hukuki sebep ve saklama süresinin ayrı ayrı yazılması
- Aktarım yapılan hizmet sağlayıcıların ve barındırma konumlarının listelenmesi
- Alt yüklenici zincirinin ikinci halkaya kadar görünür olması
- Sözleşmelerdeki veri işleme hükümleriyle envanterin birbirine referans vermesi
- Güncelleme tarihleri ve güncellemeyi yapan birimin kaydı
Envanterin en sık ihmal edilen kısmı alt yüklenici zinciridir. Bir bulut hizmetinin kendi altyapısını başka bir sağlayıcıdan alması, aktarım haritasını doğrudan değiştirir ve bu bilgi envanterde görünmüyorsa savunma eksik kalır.
Sistem Yerleşimi ile Beyanın Örtüşmesi
Uygulamada sık karşılaşılan tablo şudur: sicilde yurt dışına aktarım bulunmadığı beyan edilmiştir, ancak kullanılan e-posta, analitik veya destek hizmeti verileri fiilen yurt dışındaki sunucularda tutmaktadır. Bu farkı erken görmenin yolu, envanteri hukuk biriminin tek başına değil, bilgi işlem ile birlikte doldurmasıdır. Ayrıca 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülükleri varsa, bu kayıtların nerede tutulduğu da aynı tabloya işlenmelidir.
Tebligat Gecikmesi: Denetimde Kaybedilen Zaman
Kuruma gelen bilgi ve belge talebi yazılarının şirket içinde doğru birime ulaşmaması, denetim sürecinin en yaygın sorunudur. Kayıtlı elektronik posta kutusu düzenli izlenmediğinde ya da adres kaydı güncel olmadığında, cevap süresi farkına varılmadan tükenir. Gecikme yalnızca usuli değildir: bu süre içinde envanter üzerinde yapılan geç düzeltmeler, sonradan üretilmiş belge izlenimi doğurabilir. Bu nedenle güncellemelerin tarih ve sürüm kaydıyla yapılması, iyi niyetin gösterilmesi bakımından da değerlidir.
Denetime Hazırlık Sırası
- Sicil beyanı ile envanteri yan yana koyup satır satır karşılaştırın.
- Farklılık tespit ederseniz, düzeltmeyi gerekçesiyle birlikte tarihlendirerek yapın.
- Tebligata elverişli kanalları tek bir sorumluya bağlayın ve kontrol kaydı tutun.
- Yazı geldiğinde ilgili kayıtların silinmesini durduran bir talimat yayımlayın.
- Cevabı, sorulan her başlığa ayrı ayrı ve belge numarası göstererek verin.
Buradaki açıklamalar genel çerçeve sunar; kurumun faaliyet alanı ve kullandığı sistemler yükümlülüklerin kapsamını değiştirir. Bir denetim yazısı ulaştığında, cevabı hazırlamadan önce hukuki değerlendirme almanız isabetli olur.