Kişisel veri uyumu denetiminde en çok karşılaşılan tablo şudur: politikalar hazırlanmış, ancak uygulandığı gösterilemiyor. 6698 sayılı KVKK kapsamında hem VERBİS kaydının doğruluğu hem de yurt dışına aktarımın hukuki dayanağı, veri sorumlusunun kendi tuttuğu kayıtlarla ispatlanır. Bu rehber, uyum iddiasını belgeye dönüştürmenin pratik yolunu anlatır.
VERBİS Kaydını Gerçek İşleyişle Eşleştirmek
Kayıt bir defalık bir işlem değil, süregelen bir beyandır. Bildirilen veri kategorileri, saklama süreleri ve aktarım alıcı grupları, şirketin fiilen yaptığı işlemeyle örtüşmelidir. Yeni bir yazılım devreye alındığında, yeni bir hizmet sağlayıcıyla çalışıldığında ya da bir departmanın süreci değiştiğinde kaydın güncellenmesi gerekir. Kayıt ile envanter arasındaki fark, denetimde ilk fark edilen tutarsızlıktır.
Envanterin İspat Değeri
- Her veri kategorisi için işleme amacının yazılı dayanağı
- Saklama süresinin sona erdiğinde ne yapıldığını gösteren imha kayıtları
- Erişim yetkilerinin kim tarafından ve ne zaman verildiği
- Sistem loglarının tutulma süresi ve erişilebilirliği
Yurt Dışı Aktarımda Dayanağı Göstermek
Sunucusu yurt dışında bulunan bir hizmetin kullanılması da bir aktarımdır ve buna sıklıkla dikkat edilmez. Bulut depolama, e-posta altyapısı, analitik araçlar ve müşteri ilişkileri yazılımları bu kapsamda ayrı ayrı değerlendirilmelidir. Her aktarım için hangi hukuki dayanağa göre hareket edildiği, sağlayıcı ile yapılan sözleşme hükümleri ve alınan taahhütlerle birlikte dosyalanmalıdır.
İlgili Kişi Başvurusuna Verilen Cevabın Kaydı
Bir başvuruya verilen cevap, hem içeriğiyle hem de zamanlamasıyla değerlendirilir. Bu nedenle başvurunun geliş tarihi, kim tarafından ele alındığı ve gönderilen cevabın tam metni kayıt altında tutulmalıdır. Cevapsız kalan bir başvuru, sonraki aşamada karşı tarafın en güçlü argümanına dönüşür.
Çevrimiçi Yayın Boyutu
Web sitesi üzerinden yürütülen faaliyetlerde 5651 sayılı Kanun kapsamındaki yükümlülükler ile veri koruma yükümlülükleri iç içe geçer. Aydınlatma metni, çerez yönetimi ve iletişim formlarından toplanan verilerin akıbeti aynı envanterde izlenmelidir.
İdari Sürecin Yönetimi ve Yargı Yolu
Bir inceleme başladığında verilecek yazılı cevap, uyum dosyasının özeti niteliğindedir. Eksikliğin kabul edilip giderildiğinin gösterilmesi ile eksikliğin bulunmadığının savunulması farklı stratejilerdir ve ikisi aynı metinde karıştırılmamalıdır. Verilen karara karşı yargı yoluna başvurulacaksa, idari aşamada sunulan belgelerle çelişmeyen tutarlı bir anlatım korunmalıdır.
Genel Not
Bu metin uyum çalışmasının çerçevesini tanıtır; her kurumun veri akışı kendine özgüdür. Envanterinizi ve sözleşmelerinizi konuya hâkim bir hukukçuyla gözden geçirmeniz önerilir.