Veri sorumluları için VERBİS kaydı bir formalite değil, işlenen verinin haritasını Kurul'a beyan etmektir. Yurt dışına aktarım söz konusu olduğunda bu beyan, denetimde ilk bakılan yerlerden biri haline gelir; kayıttaki eksiklik ile aktarımın hukuki dayanağındaki eksiklik çoğu zaman birlikte gündeme gelir.
VERBİS Kaydının Denetimdeki İşlevi
Sicile yapılan bildirim; veri kategorileri, işleme amaçları, aktarım yapılan alıcı grupları, saklama süreleri ve yurt dışına aktarım bilgilerini içerir. Kayıtta beyan edilen ile fiilen yapılan işleme arasındaki fark, denetimde başlı başına bir uyumsuzluk göstergesi sayılır. Bu nedenle VERBİS kaydı, kişisel veri envanteriyle eş zamanlı güncellenmeli; yeni bir yazılım, hizmet sağlayıcı veya bulut çözümü devreye alındığında kayıt gözden geçirilmelidir.
Yurt Dışına Aktarımın Hukuki Dayanağı
6698 sayılı Kanun, yurt dışına aktarım için kademeli bir yapı öngörür: yeterlilik kararı bulunan ülkelere aktarım, uygun güvenceler sağlanarak yapılan aktarım ve istisnai hallerde gerçekleştirilen aktarım. Uygun güvenceler arasında standart sözleşme, bağlayıcı şirket kuralları ve taahhütname gibi araçlar yer alır; bunların bir kısmı Kurul'a bildirim ya da Kurul onayı gerektirir. Hangi yolun kullanıldığı, sözleşme ekleriyle birlikte dosyada belgeli olarak tutulmalıdır. Sadece açık rızaya dayanan bir aktarım modeli, rızanın her an geri alınabilir olması nedeniyle sürdürülebilir bir çözüm sunmaz.
Denetim Öncesi İç Kontrol Listesi
- Veri envanteri ile VERBİS beyanının satır satır karşılaştırılması
- Yurt dışındaki her alıcı için hangi güvence aracının kullanıldığının yazılı gösterilmesi
- Aydınlatma metinlerinde aktarımın açıkça belirtilip belirtilmediği
- Saklama ve imha politikasının uygulanabilir sürelerle kurulması
- Alt işleyicilerin ve bulut sağlayıcılarının sunucu konumlarının kayıt altına alınması
Karara İtiraz: Doğru Kapı ve Kısa Pencere
Kurul'un incelemesi sonucunda verilen kararlar ve uygulanan yaptırımlar bakımından başvurulacak merci, kararın niteliğine göre değişir. Kurul'un idari işlem niteliğindeki kararlarına karşı idari yargı yolu işler ve İYUK'ta öngörülen dava açma süresine uyulması gerekir. İdari para cezalarına karşı itiraz yolunun hangi mercie ait olduğu mevzuat değişiklikleriyle farklılaşabildiğinden, tebliğ edilen karar metnindeki başvuru yolu ve süre bilgilendirmesi esas alınmalı, güncel düzenleme ayrıca teyit edilmelidir. Yanlış mercie yapılan başvuru sırasında sürenin durmaması, en sık görülen hak kaybı nedenidir.
Savunmayı Belgeyle Kurmak
Kurul yazışmalarında verilen cevap süresi kısadır ve talep edilen belgelerin eksik sunulması, ihmal karinesi doğurabilir. Savunmada teknik tedbirlerin ne zaman devreye alındığı, hangi log kayıtlarının tutulduğu ve olay müdahale prosedürünün nasıl işletildiği tarihli belgelerle gösterilmelidir. 5651 sayılı Kanun kapsamındaki yükümlülükler de aynı dosyada değerlendirilmelidir.
Buradaki bilgiler genel çerçeve sunar; kurumunuzun veri işleme yapısı ve aktarım modeli sonucu değiştirebilir. Denetim yazısı aldığınızda süre işlemeye başladığından, gecikmeden bir hukuki değerlendirme almanız yerinde olur.