Denetim ve şikâyet süreçlerinde en çok zorlanan veri sorumluları, uyum çalışması yapmamış olanlar değil; yaptığı çalışmayı belgeleyemeyenlerdir. 6698 sayılı KVKK düzeninde kayıt sistemine bildirilen beyan ile fiilî veri akışı arasındaki fark, özellikle yurt dışına aktarım söz konusu olduğunda incelemenin merkezine yerleşir. Bu rehber, beyan ile uygulama arasındaki tutarlılığın nasıl belgeleneceğine odaklanır.
Beyan ile Gerçek Akışı Karşılaştırmak
Kayıt sistemine yapılan bildirim genellikle bir defa hazırlanır ve sonra güncellenmeden kalır. Oysa yeni bir yazılım hizmeti alınması, bulut sağlayıcısının değişmesi veya bir pazarlama aracının devreye alınması veri akışını doğrudan değiştirir. Bu nedenle beyan, dönemsel olarak şu başlıklar altında sınanmalıdır:
- Bildirilen veri kategorileri ile sistemlerde fiilen tutulan alanların karşılaştırılması
- Bildirilen alıcı grupları ile sözleşme yapılan hizmet sağlayıcılarının eşleştirilmesi
- Saklama sürelerinin, sistemlerdeki silme ve arşivleme ayarlarıyla karşılaştırılması
- Yurt dışına aktarım bulunup bulunmadığının, sunucu konumu üzerinden doğrulanması
Aktarımın Dayanağını Dosyalamak
Yurt dışına aktarımda esas olan, aktarımın hangi hukuki dayanağa göre yapıldığının gösterilebilmesidir. Uygulamada bu dayanak; ilgili kişinin açık rızası, mevzuatta öngörülen güvence mekanizmaları veya kurulca belirlenen usuller çerçevesinde şekillenir. Hangi yol izlenmişse, o yola ait belge dosyada bulunmalıdır. Açık rızaya dayanılıyorsa, rızanın aktarıma özgü biçimde ve bilgilendirme sonrasında alındığı gösterilmelidir; genel bir onay metnine gömülmüş ifadeler bu işlevi görmez.
Veri İşleyen İlişkisinin Yazılı Zemini
Hizmet sağlayıcılarla yapılan sözleşmelerde veri güvenliğine ilişkin yükümlülüklerin, alt yüklenici kullanımının ve ihlal bildiriminin nasıl yapılacağının düzenlenmesi gerekir. Bu düzenlemeler yalnızca sözleşme metninde kalmamalı; sağlayıcıdan alınan güvenlik raporları ve denetim çıktılarıyla desteklenmelidir. İnceleme sırasında sorulan ilk sorulardan biri, sağlayıcının nasıl denetlendiğidir.
Yanlış Mercie Başvurunun Süreci Nasıl Kilitlediği
İlgili kişi bakımından izlenecek sıra bellidir: önce veri sorumlusuna başvurulur, verilen yanıt yetersizse veya süresinde yanıt verilmezse kurula şikâyet yoluna gidilir. Bu sıra atlanarak doğrudan yapılan şikâyet, esasa girilmeden reddedilebilir. Veri sorumlusu bakımından ise idari yaptırım kararına karşı izlenecek yol ile özel hukuk tazminatına ilişkin yol birbirinden ayrıdır; bunların karıştırılması dava süresinin kaçırılmasına yol açar. İçeriğin çevrimiçi yayılması söz konusuysa 5651 sayılı kanun kapsamındaki başvuru da ayrı bir kanal olarak işler.
Denetime Hazır Dosya
Uyum çalışmasının tarihli olması, kimin yaptığının belli olması ve güncellemelerin izlenebilmesi gerekir. Sürüm bilgisi taşımayan belgeler, hazırlanma tarihini gösteremediği için savunmada zayıf kalır.
Bu içerik genel bilgilendirme sağlar. Veri işleme faaliyetinin kapsamı ve aktarımın niteliği yükümlülükleri değiştirdiğinden, uyum çalışmanızı somut yapınıza göre bir hukukçuyla birlikte gözden geçirmeniz uygun olur.