Kişisel veri uyum çalışmalarında iki başlık şirketleri diğerlerinden daha çok zorlar: VERBİS kayıt ve bildirim yükümlülüğü ile verilerin yurt dışındaki sunuculara veya iş ortaklarına aktarılması. Her ikisi de bir yargı süreci değil, idari yükümlülüktür; ancak yerine getirilmediğinde ortaya çıkan yaptırım kararı yargısal denetimin konusu olur ve o noktada merci sorusu belirleyici hâle gelir.
VERBİS bir dava değil, süreklilik gerektiren bir kayıt yükümlülüğüdür
6698 sayılı KVKK kapsamında kayıt yükümlüsü olan veri sorumluları, işleme faaliyetlerini Veri Sorumluları Siciline bildirmekle yükümlüdür. Uygulamada asıl sorun ilk kayıt değil, kaydın güncel tutulmasıdır: yeni bir yazılım devreye alındığında, yeni bir tedarikçiyle çalışılmaya başlandığında ya da saklama süreleri değiştiğinde bildirimin güncellenmesi gerekir. Envanter ile VERBİS beyanı arasındaki uyumsuzluk, bir denetimde ilk fark edilen husustur.
Yurt dışına aktarımda hangi mekanizmaya dayanıyorsunuz?
KVKK, yurt dışına aktarımı belirli mekanizmalara bağlar. Uygulamada başvurulan yollar şunlardır:
- Aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunması.
- Yeterlilik kararı yoksa, uygun güvencelerden birine dayanılması: standart sözleşme, bağlayıcı şirket kuralları veya kanunda sayılan diğer araçlar.
- Bunların hiçbiri yoksa, kanunda sınırlı biçimde sayılan arızi hâllere dayanılması.
Standart sözleşmeye dayanan aktarımlarda sözleşmenin imzalanmasından sonra Kurula bildirim yapılması gerektiği unutulmamalıdır. Bulut hizmeti kullanımı, grup şirketleri arasındaki İK sistemleri ve çağrı merkezi hizmetleri, farkında olunmadan aktarım doğuran en yaygın başlıklardır.
Yaptırım kararı geldiğinde: kanun yolu bildirimini okuyun
Kurulun idari para cezası ve diğer yaptırım kararlarına karşı başvurulacak merci, 6698 sayılı Kanunda düzenlenmiştir. Bu konu mevzuat değişikliğine uğramış bir başlık olduğundan, kararın verildiği tarihte yürürlükte olan hüküm ile kararın tebliğ edildiği yazıdaki kanun yolu bildirimi birlikte esas alınmalıdır. Ezberden hareket ederek yanlış mercie yapılan başvuruda, geçen süre çoğu zaman geri kazanılamaz. Tebliğ tarihinin ve tebligatın kime yapıldığının kaydedilmesi, bu nedenle ilk işlemdir.
Denetime hazır dosya nasıl görünür?
- Kişisel veri işleme envanteri, VERBİS beyanı ile satır satır karşılaştırılır.
- Her aktarım için dayanılan hukuki mekanizma ve tarihi belgelenir.
- Aydınlatma metinleri, aktarımın alıcı grubu ve amacı bakımından güncellenir.
- Veri işleyenlerle yapılan sözleşmelerdeki güvenlik taahhütleri arşivlenir.
- İlgili kişi başvurularının kayıt ve cevap süreleri izlenebilir hâle getirilir.
Verilerin internet ortamında yayımlanmasıyla sonuçlanan olaylarda 5651 sayılı Kanun kapsamındaki içerik çıkarma ve erişim engelleme yolunun ayrıca işletilebileceği, bu yolun idari süreçten bağımsız yürüdüğü de göz önünde bulundurulmalıdır.
Burada aktarılanlar genel uyum çerçevesini tanıtır. Şirketinizin veri akışları, kullandığı hizmet sağlayıcılar ve size tebliğ edilen kararın içeriği izlenecek yolu değiştirebileceğinden, karar tebliğ edildiği anda profesyonel destek almanız süre kaybını önler.