Kişisel veri uyum çalışmalarında en sık görülen zayıf nokta, kâğıt üzerindeki metinler ile fiilî veri akışının birbirini tutmamasıdır. 6698 sayılı KVKK veri sorumlusunun aydınlatma, güvenlik ve kayıt yükümlülükleri ile yurt dışına aktarım rejimini düzenlerken, 5651 sayılı Kanun internet ortamındaki kayıt tutma yükümlülükleri bakımından ayrı bir çerçeve getirir. Bu rehber, bir inceleme başladığında savunmayı zayıflatan delil eksikliklerini önlemeye yöneliktir.
VERBİS kaydı neyi belgeler, neyi belgelemez
Sicile yapılan kayıt, veri sorumlusunun beyanını gösterir; tek başına uyumun tamamlandığı anlamına gelmez. İnceleme sırasında bakılan şey, kayıttaki beyan ile işleme envanteri, saklama ve imha politikası ve fiilî sistem yapılandırmasının tutarlı olup olmadığıdır. Bu üçlü arasındaki her çelişki, savunmanın gücünü doğrudan düşürür.
Aktarımın hukuki dayanağını belgelemek
Yurt dışına aktarımda önce hangi verinin, hangi amaçla, hangi ülkeye ve hangi hizmet sağlayıcıya gittiği ortaya konulmalıdır. Bulut hizmetleri, e-posta altyapısı, analitik araçlar ve müşteri ilişkileri yazılımları çoğu zaman farkında olunmadan aktarım doğurur. Aktarımın dayandığı mekanizmanın ve alınan taahhütlerin belgeleri, sözleşme ekleriyle birlikte dosyada tutulmalıdır. Mevzuattaki aktarım usulleri güncellendiğinden, uygulanan yöntemin güncel düzenlemeye uygunluğu belirli aralıklarla gözden geçirilmelidir.
Envanter ile gerçek akışı karşılaştırmak
- Hangi sistemde hangi veri kategorisinin tutulduğunun listelenmesi
- Erişim yetkilerinin kim tarafından, hangi gerekçeyle verildiğinin kaydı
- Saklama sürelerinin kategori bazında tanımlanması ve imha kayıtlarının tutulması
- Tedarikçi ve alt işleyenlerin listesi ile aralarındaki sözleşmelerin güncelliği
- Aydınlatma metinlerinin fiilî işleme amaçlarıyla örtüşmesi
İhlal anında iç soruşturma dosyası
Bir veri ihlali yaşandığında bildirim yükümlülüğü kısa sürelidir; bu nedenle olay anından itibaren kim tarafından, hangi saatte, hangi tespitin yapıldığını gösteren bir olay günlüğü tutulmalıdır. Alınan teknik önlemler, kapatılan açıklar ve ilgili kişilere yapılan bilgilendirmeler tarih sırasıyla belgelenmelidir. Bu günlük, sonraki incelemede en güçlü savunma malzemesi olur.
Başvuru ve şikâyet zincirini izlemek
İlgili kişiden gelen başvuruların kayıt altına alınması, süresinde ve yazılı olarak yanıtlanması gerekir. Yanıtsız kalan başvuru, çoğu zaman şikâyet sürecinin başlangıcıdır; bu nedenle başvuru kanalları tek bir noktada toplanmalı ve yanıt süreleri takip edilmelidir.
Yukarıdaki açıklamalar genel bilgilendirme amacı taşır; işlenen verinin niteliği, faaliyet alanı ve kullanılan altyapı yükümlülükleri değiştirebilir. Aktarım yapısına ilişkin kararlar öncesinde hukuki ve teknik değerlendirmenin birlikte yapılması yerinde olur.