VERBİS (Veri Sorumluları Sicil Bilgi Sistemi) kaydı ile kişisel verilerin yurt dışına aktarımı, 6698 sayılı KVKK kapsamında birbirini tamamlayan iki yükümlülüktür. Sicile kayıtlı bir veri sorumlusunun, aktardığı veri kategorilerini ve alıcı ülkeleri de bu envanterle uyumlu tutması beklenir.
Aktarımın Hukuki Dayanağını Belirleme
Yurt dışına aktarımda ilk soru, aktarımın hangi hukuki zemine dayandığıdır: açık rıza mı, yoksa kanunda öngörülen istisna veya taahhüt mekanizması mı? Bu tercih, hem VERBİS beyanını hem de veri işleme envanterini şekillendirir. Rızaya dayanan aktarımda rızanın özgür, aydınlatılmış ve aktarıma özgü olması gerekir; genel bir onay metni çoğu zaman yetersiz kalır.
Envanter ile Beyanın Tutarlılığı
Denetimlerde en sık rastlanan sorun, fiilen yapılan aktarım ile VERBİS'te beyan edilen bilginin örtüşmemesidir. Uyumu sağlamak için:
- Hangi verilerin hangi hizmet sağlayıcı üzerinden yurt dışına gittiği kaydedilir
- Bulut ve alt yüklenici zinciri dahil tüm alıcılar listelenir
- Aktarım dayanağı her veri kategorisi için ayrı belgelenir
- Saklama ve imha süreleri envanterle eşleştirilir
Değişiklik ve Güncelleme Yükümlülüğü
Aktarım koşulları, hizmet sağlayıcı ya da veri kategorisi değiştiğinde VERBİS kaydının da güncellenmesi gerekir. Statik bir kayıt anlayışı, zamanla fiili durumla çelişerek uyumsuzluk riski doğurur. Bu nedenle sicil, canlı bir belge gibi periyodik gözden geçirilmelidir.
Şikâyet ve İdari Süreç
İlgili kişinin başvurusu veya kurumun resen incelemesi sonucu bir uyumsuzluk tespit edilirse, önce eksikliğin giderilmesi istenir. Bu aşamada envanterin ve rıza kayıtlarının hazır tutulması, sürecin lehe seyri için belirleyicidir.
Son Söz
Yurt dışı aktarım ve sicil uyumu, sektöre ve veri türüne göre farklılaşan teknik bir alandır. Buradaki açıklamalar genel bilgilendirme niteliğindedir; kurumunuzun aktarım modelini kurmadan önce güncel mevzuat ve somut veri akışınız üzerinden bir değerlendirme yaptırmanız önerilir.