Veri sorumluları bakımından iki başlık sık sık aynı denetimde karşımıza çıkar: VERBİS kayıt ve bildirim yükümlülüğü ile kişisel verilerin yurt dışına aktarımı. KVKK ve 6698 sayılı Kanun çerçevesinde bu iki alanda alınan kararlara karşı hangi yola başvurulacağı, çoğu kurumda son anda düşünülen ve bu yüzden hata yapılan konudur.
Kayıt Yükümlülüğü Bir Belgeleme Disiplinidir
VERBİS bildirimi, tek seferlik bir form doldurma işi değildir. Bildirilen işleme amaçları, veri kategorileri, alıcı grupları ve saklama süreleri ile fiili uygulamanın örtüşmesi beklenir. Denetimde en sık ortaya çıkan tablo, kayıtta yer alan bilgilerle şirketin gerçek veri akışının uyuşmamasıdır. Bu nedenle envanter çalışması, bildirimin dayanağı olarak güncel tutulmalı ve her değişiklikte gözden geçirilmelidir.
Yurt Dışına Aktarımda Dayanağı Yazılı Kurmak
Aktarımın hukuka uygunluğu, hangi mekanizmaya dayanıldığının belgelenmesine bağlıdır. Bulut hizmeti kullanımı, grup şirketleri arasındaki paylaşım ve yurt dışı merkezli yazılım entegrasyonları uygulamada en çok tartışılan başlıklardır. Sözleşme metinleri, hizmet sağlayıcının sunucu konumuna ilişkin beyanı ve varsa ilgili kişiden alınan açık rıza kayıtları bir arada saklanmalıdır. Sadece hizmet sözleşmesinin varlığı, aktarım şartının sağlandığını göstermeye yetmez.
Karara Karşı Başvuru Yolunu Doğru Belirlemek
Kurul'un iş ve işlemlerine karşı gidilecek merci ile idari para cezalarına karşı izlenecek yol her zaman aynı değildir ve bu nokta uygulamada tartışma yaratmıştır. Bu nedenle tebliğ edilen kararın altındaki başvuru yolu bilgisi dikkatle okunmalı, güncel mevzuat metniyle karşılaştırılmalı ve tereddüt halinde süreyi koruyacak biçimde hareket edilmelidir. Yanlış mercie yapılan başvuru sonrasında sürenin dolması, esasa hiç girilmeden hak kaybı doğurur.
Delil Eksikliğinin Kurum İçindeki Karşılığı
- Aydınlatma metinlerinin hangi tarihte yayımlandığını gösteren kayıtların tutulmaması
- Açık rızanın alındığı anın ve yönteminin sistemsel olarak kayıt altına alınmaması
- Veri işleyenlerle imzalanan sözleşmelerin arşivlenmemesi
- Silme, yok etme ve anonim hale getirme işlemlerine ilişkin tutanakların düzenlenmemesi
- İhlal bildirimlerine ilişkin iç yazışmaların saklanmaması
Savunma Dosyasını Önceden Hazırlamak
Kurul'a sunulacak savunmada, iddia edilen her eksikliğin karşısına tarihli bir belge konulabiliyorsa süreç çok daha öngörülebilir ilerler. Bu nedenle uyum çalışması yalnızca politika metinleri üretmek olarak değil, o metinlerin uygulandığını kanıtlayacak kayıt düzenini kurmak olarak ele alınmalıdır.
Bu içerik genel bilgilendirme amaçlıdır. Kurumun faaliyet alanı, işlenen verinin niteliği ve aktarımın yapısı sonucu değiştirebileceğinden, denetim veya şikayet süreciyle karşılaşıldığında belgelerle birlikte hukuki destek alınması yerinde olur.