VERBİS kaydı ve yurt dışına veri aktarımı, KVKK uyum çalışmalarının en çok yaptırımla karşılaşılan iki başlığıdır. Kayıt yükümlülüğünün ihmali ile aktarım hukukî dayanağının eksikliği çoğu zaman aynı denetimde birlikte tespit edilir. 6698 ve 5651 sayılı düzenlemeler ekseninde bu yazı, Kurul kararına karşı hangi mercie, hangi sürede gidileceği sorusuna odaklanır.
VERBİS yükümlülüğü kimi kapsar?
Kayıt yükümlülüğü, veri sorumlusunun çalışan sayısı, yıllık mali bilanço büyüklüğü ve işlediği verinin niteliğine göre belirlenir; özel nitelikli kişisel veri işleyen kuruluşlar için eşikler farklılaşır. Kurul kararlarıyla getirilen istisnalar zaman içinde güncellendiğinden, kapsam değerlendirmesi güncel duyurular üzerinden yapılmalıdır. Kayıt yaptırmamak ile kaydı eksik veya gerçeğe aykırı bildirmek ayrı ayrı değerlendirilir.
Yurt dışına aktarımda hukukî dayanak zinciri
- Aktarımın hangi işleme şartına dayandığının açıkça belirlenmesi.
- Aktarımın yapıldığı ülke ve alıcı grubunun envanterde tanımlanması.
- Kanunda öngörülen aktarım mekanizmalarından hangisine dayanıldığının belgelenmesi.
- Bulut hizmetleri ve yurt dışı sunucu kullanımının tespiti; çoğu kuruluş bunu aktarım saymadığı için eksik kalır.
- Aydınlatma metinlerinin aktarım gerçeğiyle uyumlu olması.
Kurul kararına karşı yargı yolu
Kurulun idari yaptırım kararlarına karşı başvurulacak yargı yolu, mevzuat değişiklikleriyle farklılaşmıştır. Bu nedenle karar elinize ulaştığında, yapılacak ilk iş kararın kendisinde gösterilen başvuru yolunu ve süresini okumak, ardından yürürlükteki düzenlemeyle teyit etmektir. Yanlış mercie yapılan başvuru, süreyi kendiliğinden korumaz ve kararın kesinleşmesine yol açabilir.
Denetim öncesi iç kontrol
- Kişisel veri işleme envanterini VERBİS bildirimiyle satır satır karşılaştırın.
- Saklama ve imha politikasındaki sürelerin fiilî uygulamayla örtüştüğünü test edin.
- Veri işleyenlerle yapılan sözleşmelerde gizlilik ve güvenlik taahhütlerini kontrol edin.
- İlgili kişi başvurularının kayıt altına alındığı bir kanal kurun ve yanıt sürelerini izleyin.
- İhlal bildirimi için sorumluyu ve akış şemasını önceden belirleyin.
Süre riskinin doğduğu anlar
Hak kaybı genellikle iki noktada oluşur: Kurul kararının kurumsal e-posta veya KEP adresine ulaşıp ilgili birime iletilmemesi ve ilgili kişi başvurularına yanıt için tanınan sürenin kaçırılması. Her iki durumda da tebligatın kuruma ulaştığı an esas alınır; iç iletişim aksaklığı süreyi uzatmaz.
Bu içerik genel bilgilendirme amacı taşır; veri işleme faaliyetinin yapısı yükümlülükleri değiştirebilir ve düzenlemeler güncellenmektedir. Denetim ya da yaptırım kararıyla karşılaştıysanız, süre işlemeye devam ederken hukukî destek almanız önerilir.