Veri sorumluları için uyumun iki görünür ayağı vardır: VERBİS kaydının doğru ve güncel tutulması ile yurt dışı aktarımın geçerli bir hukuki zemine oturtulması. Bu iki başlıkta yapılan eksiklikler, denetim sırasında en hızlı tespit edilen ve idari yaptırıma en açık alanlardır. Aşağıda 6698 sayılı KVKK ile 5651 sayılı Kanunun kesiştiği noktalar ve süre riski ele alınmaktadır.
VERBİS Kaydı Statik Bir Belge Değildir
Kayıt yükümlülüğü, bir kez bildirim yapılmasıyla sona ermez. İşleme amaçları, veri kategorileri, alıcı grupları, saklama süreleri veya aktarım yapılan ülkeler değiştiğinde bildirim güncellenmelidir. Uygulamada en sık görülen tutarsızlık, VERBİS bildirimi ile şirketin kendi envanteri ve aydınlatma metinleri arasındaki farktır. Denetimde bu üç belge karşılaştırıldığından, aralarındaki uyum düzenli olarak kontrol edilmelidir.
Envanterin Bildirimle Eşleşmesi
Kişisel veri işleme envanteri hazırlanırken şu başlıklar ayrı sütunlarda tutulur:
- İşleme amacı ve dayandığı hukuki sebep
- Veri kategorisi ve özel nitelikli veri bulunup bulunmadığı
- Alıcı ve alıcı grupları, yurt içi ve yurt dışı ayrımı
- Azami saklama süresi ve imha yöntemi
- Alınan teknik ve idari tedbirler
Saklama süresi konusunda başka mevzuattan doğan yükümlülükler de gözetilir. Örneğin erişim kayıtlarının tutulmasına ilişkin 5651 sayılı Kanundan doğan yükümlülükler, imha politikasıyla çelişmeyecek biçimde yazılmalıdır.
Yurt Dışı Aktarımda Zemin Seçimi
Aktarımın hukuki zemini belirlenirken sırasıyla değerlendirme yapılır: hakkında yeterlilik kararı bulunan ülkeye aktarım, uygun güvencelerin sağlanması ya da mevzuatta öngörülen istisnai hâller. Uygun güvence yolu tercih ediliyorsa, imzalanan belgenin türü ve Kuruma bildirim yükümlülüğü ayrıca takip edilmelidir. Bildirim için öngörülen süre kısadır ve kaçırılması başlı başına bir aykırılık oluşturur. Bulut hizmeti kullanımı, grup şirketleri arasındaki ortak sistemler ve yurt dışı merkezli analiz araçları çoğu zaman fark edilmeden aktarım doğurduğundan, tedarikçi envanteri bu gözle taranmalıdır.
Denetim ve Şikâyet Süreci
İlgili kişi önce veri sorumlusuna başvurur; cevap verilmemesi veya cevabın yetersiz bulunması hâlinde Kurula şikâyet yolu açılır. Veri sorumlusunun cevap için öngörülen süreye uyması, sonraki aşamada lehine değerlendirilebilecek bir unsurdur. Başvuruların kaydedildiği bir izleme sistemi kurulması, süre kaçırma riskini azaltır.
Yaptırım Kararına Karşı Başvuru
İdari yaptırım kararı tebliğ edildiğinde ilk kontrol edilecek şey, karar metninde gösterilen başvuru yolu ve süredir. Bu konudaki düzenlemede değişiklik yaşandığından, kararda belirtilen mercie ve süreye göre hareket edilmeli, tereddüt hâlinde yürürlükteki hüküm doğrulanmalıdır. Başvuru dilekçesinde yalnızca cezanın ağırlığına değil, tespit edilen aykırılığın maddi dayanağına da itiraz edilmesi gerekir.
Kurumsal yapı, veri hacmi ve kullanılan sistemler her işletmede farklı yükümlülükler doğurur. Buradaki çerçeve genel bilgilendirme amaçlı olup, uyum çalışması öncesinde süreçlerin yerinde incelenmesi önerilir.