Kişisel veri uyuşmazlıklarında denetim genellikle tek bir soruyla başlar: yaptığınız işlemenin dayanağını belgeleyebiliyor musunuz? 6698 sayılı KVKK veri sorumlusunun yükümlülüklerini ve kayıt sistemine ilişkin çerçeveyi belirlerken, 5651 sayılı düzenleme internet ortamındaki kayıt tutma boyutuyla devreye girer. Bu yazı, VERBİS kaydı ile yurt dışı aktarım pratiğinin ispat cephesine odaklanır.
Envanter ile Kayıt Arasındaki Tutarlılık
Kayıt sistemine girilen bilgiler, kurum içindeki işleme envanteriyle örtüşmelidir. Uygulamada en sık rastlanan sorun, envanterin bir kez hazırlanıp güncellenmemesi ve yeni başlayan işleme faaliyetlerinin kayda yansıtılmamasıdır. Veri kategorisi, işleme amacı, saklama süresi ve alıcı grupları arasındaki bağın her başlıkta izlenebilir olması gerekir; aksi hâlde kaydın kendisi bir aykırılık göstergesine dönüşebilir.
Aktarımın Dayanağını Belgelemek
- Aktarımın hangi amaca hizmet ettiğinin yazılı gerekçesi.
- Dayanılan hukuki sebebin ve varsa açık rızanın alınma biçimi.
- Alıcının kim olduğu, bulunduğu ülke ve üstlendiği yükümlülükler.
- Aktarılan veri kategorilerinin sınırlandırıldığını gösteren kayıtlar.
- Aydınlatma metninin aktarım bilgisini içerdiğine dair sürüm geçmişi.
Sözleşmesel Güvencelerin Dosyalanması
Hizmet sağlayıcılarla imzalanan sözleşmelerde veri koruma hükümlerinin ayrı bir bölüm olarak yer alması, denetimde ispat kolaylığı sağlar. Alt yüklenici kullanımı, verinin saklandığı yer, ihlal bildirimi yükümlülüğü ve ilişki sona erdiğinde verinin akıbeti açıkça düzenlenmelidir. Sözleşme sürümlerinin tarihli olarak arşivlenmesi, hangi dönemde hangi güvencenin geçerli olduğunu gösterebilmek için gereklidir.
Denetimde Hangi Kanıtlar İstenir
İnceleme sırasında yalnızca politika metinleri değil, bu politikaların uygulandığını gösteren izler de sorulur. Erişim yetkisi listeleri, eğitim kayıtları, silme ve imha tutanakları, ilgili kişi başvurularına verilen cevapların örnekleri bu kapsamdadır. Başvurulara verilen cevapların tarih ve içerik olarak takip edilebildiği bir kütük tutulması, süreç yönetimini belirgin biçimde kolaylaştırır.
Usule Aykırı İşlemin Sonucu
- Aydınlatma yükümlülüğü yerine getirilmeden alınan rıza tartışmalı hâle gelir.
- Rıza ile diğer hukuki sebeplerin karıştırılması dayanağı zayıflatır.
- Kayıt yükümlülüğünün ihmali ayrı bir aykırılık başlığı oluşturur.
- Başvurulara süresinde cevap verilmemesi izleyen aşamayı doğrudan etkiler.
Bu içerik genel bilgi sunmak üzere hazırlanmıştır. Kurumun faaliyet alanı, veri hacmi ve kullanılan sistemler yükümlülüklerin kapsamını değiştirebileceğinden, uyum çalışmasının kuruma özgü biçimde yürütülmesi gerekir.