Yurt dışına veri aktaran şirketlerde denetim çoğu zaman "aktarım yapıldı mı?" sorusuyla değil, "aktarımın hukuki dayanağı belgeyle gösterilebiliyor mu?" sorusuyla başlar. KVKK bakımından ispat yükü büyük ölçüde veri sorumlusundadır; 6698 sayılı Kanun kapsamındaki kayıt ve aydınlatma yükümlülüklerinin yanı sıra 5651 sayılı Kanun'dan doğan log tutma yükümlülükleri de aynı dosyada gündeme gelebilir. Bu yazı, VERBİS beyanı ile fiili aktarım pratiği arasındaki uyumun nasıl kanıtlanacağına odaklanıyor.
Beyan ile Gerçeğin Örtüşmesi
İnceleme sırasında en zorlayıcı soru genellikle şudur: VERBİS'e girilen veri kategorileri, alıcı grupları ve saklama süreleri, şirketin gerçekte yaptığı işlemelerle örtüşüyor mu? Örtüşmüyorsa, tek başına eksik beyan değil, envanterin hiç güncellenmediği izlenimi doğar. Bu nedenle kayıt ekranındaki her satırın arkasında, aynı bilgiyi tekrar eden bir iç belge bulunmalıdır.
Aktarım Dosyasında Bulunması Gereken Belgeler
- Güncel kişisel veri işleme envanteri ve son revizyon tarihleri
- Yurt dışındaki alıcı ile imzalanan sözleşme metinleri ve ekleri
- Aktarımın hukuki sebebini gösteren iç değerlendirme notu
- Açık rızaya dayanılıyorsa rızanın alınma yöntemi ve geri alma kaydı
- Bulut hizmet sağlayıcının sunucu konumuna ilişkin yazılı teyidi
- Erişim yetkileri ve yetki değişikliklerine ait sistem kayıtları
Teknik Kaydın Hukuki Değeri
Aktarım tartışmalarında sözleşme metni kadar sistem tarafındaki iz de önemlidir. Hangi veri setinin hangi tarihte, hangi arayüz üzerinden ve kimin yetkisiyle dışarı çıktığı sorusuna cevap veremeyen bir yapı, sözleşmesi eksiksiz olsa dahi savunmasını somutlaştıramaz. Log kayıtlarının değiştirilemez biçimde tutulması ve saklama süresinin şirket politikasıyla uyumlu olması, sonraki aşamada tek başına belirleyici olabilir.
Süreci Bozan Usul Hataları
Uygulamada dosyayı zayıflatan üç davranış öne çıkar. Birincisi, denetim yazısına verilen cevabın süresinde ancak eksik gönderilmesi; ikincisi, sonradan hazırlanan belgelerin geçmişe tarihlenmiş gibi sunulması; üçüncüsü ise farklı birimlerin birbiriyle çelişen açıklamalar yapmasıdır. Bu üçü, esasa ilişkin savunma güçlü olsa bile güven kaybı yaratır. Yazışmanın tek elden yürütülmesi ve gönderilen her belgenin nüshasının aynı klasörde saklanması bu riski büyük ölçüde azaltır.
İç Denetim İçin Kısa Bir Sıra
- Envanteri güncelle, VERBİS beyanıyla satır satır karşılaştır.
- Her aktarım için dayanak belgeyi tek bir dosyada topla.
- Aydınlatma metninin aktarım bilgisini içerdiğini doğrula.
- İlgili kişi başvurularına verilen cevapları tarihleriyle arşivle.
Bu metin genel bilgilendirme amacı taşır ve şirketinizin özel yapısına göre değişebilecek değerlendirmeleri kapsamaz. Aktarım modelinizin hukuka uygunluğunu ve belge setinizin yeterliliğini somut olarak ölçmek için hukuki destek almanız önerilir.