Veri sorumluları için VERBİS kaydı çoğu zaman bir kez tamamlanıp unutulan idari bir formalite gibi görülür. Oysa 6698 sayılı KVKK ve 5651 sayılı Kanun kapsamındaki uygulamada bu kayıt, özellikle yurt dışına veri aktarımı söz konusu olduğunda denetimin çıkış noktasıdır: beyan ile fiili işleme faaliyeti arasındaki uyumsuzluk, incelemenin ilk bulgusu olur.
Kayıt ile Envanter Arasındaki Bağ
VERBİS'e girilen bilgiler, kişisel veri işleme envanterinden türetilir. Envanter güncellenmeden kaydın olduğu gibi bırakılması, iki belge arasında çelişki yaratır. Bulut hizmeti, e-posta altyapısı, analitik araçlar veya müşteri ilişkileri yazılımı yurt dışında konumlanmış bir sağlayıcı üzerinden çalışıyorsa, bu bir aktarımdır ve kayıtta görünmesi beklenir. Uygulamada en sık rastlanan eksiklik, hizmet alınan yazılımların aktarım yaratıp yaratmadığının hiç sorgulanmamasıdır.
Aktarımın Hukuki Sebep Zinciri
Yurt dışına aktarım tek bir izin mantığıyla değil, katmanlı bir yapıyla kurulur. Önce işlemenin kendisi için bir hukuki sebep bulunmalı, ardından aktarımın dayanacağı mekanizma belirlenmelidir. Bu mekanizmalar arasında ilgili ülke veya sektör bakımından yeterlilik kararı bulunması, taraflar arasında standart sözleşme imzalanması, şirketler topluluğu için bağlayıcı kurumsal kurallar uygulanması veya Kurul izniyle taahhütname yoluna gidilmesi sayılabilir. Bunların hiçbiri sağlanamıyorsa istisnai hallerin dar biçimde yorumlandığı unutulmamalıdır. Standart sözleşme kullanılması halinde Kurula bildirim yükümlülüğünün süresi ayrıca takip edilmelidir.
Denetim Öncesi İç Kontrol Listesi
- İşleme envanteri ile VERBİS beyanı satır satır karşılaştırılır.
- Hizmet alınan tüm sağlayıcıların sunucu ve destek ekibi konumu tespit edilir.
- Her aktarım için dayanılan mekanizma ve imza tarihleri belgelenir.
- Aydınlatma metinlerinde aktarımın açıkça yer alıp almadığı kontrol edilir.
- Saklama ve imha politikasındaki süreler fiili uygulamayla eşleştirilir.
Kurul İşlemine İtiraz ve Yargı Yolu
İnceleme sonucunda verilen kararlar, idari yaptırım niteliği taşıdığında yargısal denetime tabidir. Burada kritik olan, hangi mahkemeye ne kadar süre içinde başvurulacağının kararın türüne göre belirlenmesidir; idari para cezaları ile diğer idari işlemler bakımından başvurulacak merci farklılaşabilir. Yanlış yargı koluna yapılan başvuruda geçen zaman, sürenin durmasını sağlamayabilir. Bu nedenle karar tebliğ alındığı anda, tebliğ tarihi ve karar türü ilk olarak kayda geçirilmelidir.
Savunma Dilekçesini Güçlendiren Unsurlar
İnceleme sırasında sunulan savunma, yalnızca yükümlülüğün yerine getirildiğini söylemekle sınırlı kalmamalıdır. Alınan teknik ve idari tedbirlerin tarihli belgelerle gösterilmesi, ihlal riskinin fark edildiği anda yapılan bildirimlerin sunulması ve düzeltici işlemlerin kronolojisinin verilmesi, değerlendirmenin somut zemine oturmasını sağlar. Eksikliğin sonradan giderildiği hallerde bunun belgelenmesi de ayrıca önem taşır.
Bu içerik genel bilgilendirme amacı taşır. Veri işleme faaliyetinizin kapsamı, kullandığınız altyapılar ve şirket yapınız yükümlülüklerin ağırlığını değiştirebileceğinden, denetim veya bildirim öncesinde konunun bir uygulamacıyla birlikte ele alınması yerinde olacaktır.