VERBİS kaydı çoğu kurumda bir kez doldurulup unutulan bir form olarak görülür; oysa denetimde ilk bakılan yerlerden biri, bu kayıttaki beyanlar ile fiili veri akışının örtüşüp örtüşmediğidir. 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde bu rehber, kayıt yükümlülüğü ile yurt dışı aktarım beyanı arasındaki tutarlılığa ve doğacak yaptırıma karşı izlenecek yola odaklanır.
Kayıt ile Envanterin Ayrışması
VERBİS bildirimi, kişisel veri işleme envanterinden beslenir. Uygulamada en sık görülen tablo şudur: kurum yeni bir bulut hizmetine geçer, müşteri iletişim verisi yurt dışındaki bir sunucuya taşınır, fakat VERBİS beyanı yıllar önceki haliyle kalır. Bu durumda ortaya iki ayrı sorun çıkar: aktarımın hukuki dayanağı ve beyanın güncellenmemiş olması. Denetimde ikisi ayrı ayrı değerlendirilir.
Denetim Öncesi Kendi Kontrolünüzü Yapın
- Kullanılan tüm yazılım ve hizmet sağlayıcılarının listesi çıkarılır; sunucu konumları belirlenir.
- Her veri kategorisi için işleme amacı, hukuki sebep ve saklama süresi eşleştirilir.
- Yurt dışına aktarım yapılan her hizmet için dayanağın hangisi olduğu yazılır.
- Bu tablo, VERBİS beyanındaki alanlarla satır satır karşılaştırılır.
- Farklılıklar tespit edildiğinde önce fiili durum düzeltilir, sonra beyan güncellenir.
Bilgi ve Belge Talebine Cevap
Kurul, inceleme kapsamında bilgi ve belge isteyebilir. Cevabın süresinde ve talep edilen kapsamda verilmesi, sürecin seyrini belirler. Genel ifadelerle yazılan cevap yazıları, ek talep yazışmalarına yol açarak süreci uzatır. Buna karşılık teknik tedbirlerin belgelenmesi, log kayıtlarının, erişim yetkilendirme matrisinin ve sözleşme eklerinin sunulması, kurumun yükümlülüklerini yerine getirdiğini göstermenin en somut yoludur.
Yaptırıma Karşı Hangi Yargı Yolu?
Kurul tarafından uygulanan idari para cezalarına karşı hangi mahkemeye başvurulacağı, kanunda yapılan değişiklikle netleşmiş bir konudur ve bu noktada eski uygulamaya göre hareket etmek süre kaybına yol açar. Bu nedenle karar tebliğ alındığında ilk yapılacak iş, kararın altında gösterilen başvuru yolu ve süresini okumak, tebliğ tarihini belgelemektir. Yanlış mercie yapılan başvuru, esas itibarıyla haklı bir itirazın incelenmemesiyle sonuçlanabilir.
Düzeltici Adım mı, Yargı Yolu mu?
Kurul kararı çoğu zaman yalnızca yaptırım değil, uyum için atılması gereken adımları da içerir. Bu adımların yerine getirilmesi, yargı yoluna başvurmaya engel değildir; ayrıca ihlalin sürmesini önlediği için ayrı bir yaptırım riskini de azaltır. Karara karşı dava açılıp açılmayacağına karar verirken, cezanın miktarı kadar kararın gerekçesinin kurumun gelecekteki veri işleme faaliyetlerine etkisi de değerlendirilmelidir.
Bilgilendirme
Bu içerik genel nitelikte bilgi sunar. Kurumun veri işleme yapısı ve aktarım modeli farklılaştıkça izlenecek yol da değişeceğinden, denetim ve itiraz sürecinde hukuki destek alınması önerilir.