Kişisel verileri işleyen kuruluşların iki tekrarlanan sorumluluğu vardır: belirli koşullarda VERBİS'e (Veri Sorumluları Sicili) kayıt ve verilerin yurt dışına aktarımında kurallara uyum. Bu rehber, 6698 sayılı KVKK ekseninde bu iki yükümlülüğü ve doğabilecek uyuşmazlıkları ele alır.
VERBİS Kayıt Yükümlülüğü
KVKK, veri sorumlularının bir sicile kaydolmasını öngörür; ancak bu yükümlülük her kuruluş için otomatik değildir. Kayıt yükümlülüğünün kapsamı, işlenen verinin niteliği ve kuruluşun ölçütlerine göre değişir. Bu nedenle ilk adım, kuruluşun kayıt yükümlüsü olup olmadığının doğru tespitidir. Yükümlü olunduğu halde kaydın yapılmaması idari sonuç doğurabilir.
Aydınlatma ve Açık Rıza Ayrımı
Veri işlemenin hukuka uygunluğu, çoğu zaman aydınlatma yükümlülüğünün yerine getirilmesine ve gereken hallerde açık rızanın alınmasına bağlıdır. Bu ikisi karıştırılmamalıdır: aydınlatma her işlemede gereken bir bilgilendirmeyken, açık rıza yalnızca başka bir hukuka uygunluk sebebi bulunmadığında devreye girer. Uyum dosyası bu ayrımı net kurmalıdır.
Yurt Dışına Aktarımın Koşulları
Kişisel verilerin yurt dışındaki bir sunucuya ya da hizmet sağlayıcıya aktarılması, KVKK kapsamında ek koşullara tabidir. Bulut hizmeti kullanan kuruluşlar açısından bu, sık gözden kaçan bir risktir. Aktarımda dikkat edilecek başlıklar:
- Aktarımın hangi hukuki temele dayandığı
- Alıcı ülkedeki koruma düzeyi ve güvenceler
- İşleme envanterinde aktarımın kayıtlı olması
İçerik ve Erişim Mevzuatıyla Kesişim
Çevrimiçi platformlar açısından KVKK yükümlülükleri, 5651 sayılı Kanun kapsamındaki yer sağlayıcı ve içerik yükümlülükleriyle kesişebilir. Bu durumda uyum programı her iki mevzuatı birlikte gözetmelidir.
İhlal Anında Süre
Veri ihlali durumunda bildirim yükümlülükleri kısa sürelerle işleyebildiğinden, ihlal tespit edildiğinde hızlı hareket edilmesi ve tarihlerin kayda geçirilmesi gerekir.
Bu içerik genel bilgilendirme amaçlıdır; her kuruluşun veri işleme yapısı farklıdır. Uyum durumunuzun bir avukatla değerlendirilmesi önerilir.