VERBİS kaydı, çoğu kurumda bir kez doldurulup unutulan bir formalite gibi görülür. Oysa 6698 sayılı Kanun bakımından bu kayıt, veri sorumlusunun kendi beyanıdır ve denetimde ilk karşılaştırma noktasıdır. Kayıtta yurt dışına aktarım yapılmadığı beyan edilmişken fiilen yurt dışındaki bir bulut hizmetine veri gönderiliyorsa, ortaya beyan ile uygulama arasında doğrudan bir çelişki çıkar. 5651 sayılı Kanun kapsamındaki log tutma yükümlülükleri de bu tabloya eklenmelidir.
Kayıt ile Envanterin Aynı Kaynaktan Beslenmesi
VERBİS kaydının dayanağı kişisel veri işleme envanteridir. Envanter güncellenmeden kayıt güncellenirse ya da tersi yapılırsa, iki belge birbirini yalanlar. Doğru işleyiş, envanterin tek gerçek kaynak olarak tutulması ve her değişikliğin kayda yansıtılmasıdır. Yeni bir yazılım, yeni bir tedarikçi ya da yeni bir pazarlama aracı devreye alındığında envanterin gözden geçirilmesi bir süreç adımı hâline getirilmelidir.
Aktarım Kalemlerinin Kayda Yansıması
- Sunucusu yurt dışında bulunan e-posta, CRM, muhasebe ve destek yazılımları
- Analitik ve reklam etiketleri aracılığıyla üçüncü taraflara giden veriler
- Grup şirketleri arasındaki insan kaynakları ve müşteri verisi paylaşımları
- Yedekleme ve felaket kurtarma sunucularının fiziksel konumu
- Uzaktan destek veren alt yüklenicilerin erişim yetkileri
Bu kalemlerin çoğu teknik ekip tarafından bilinir ama hukuk tarafına hiç bildirilmez. Kaydın doğru olması için iki ekibin ortak bir listede çalışması gerekir.
Denetimde İstenen Belgeler
İnceleme başladığında yalnızca VERBİS ekranı değil; envanter, saklama ve imha politikası, aydınlatma metinleri, veri işleyen sözleşmeleri, erişim yetki matrisi ve ihlal bildirim kayıtları istenir. Bu belgelerin tarih ve sürüm bilgisi taşıması, güncelliğin ispatı bakımından önemlidir. Aktarım için dayanılan mekanizmaya ilişkin belgeler de hazır bulundurulmalıdır.
Güncelleme ve Bildirim Takvimi
VERBİS'te beyan edilen bilgilerde değişiklik olduğunda, kayıt belirli bir süre içinde güncellenmelidir. Bir veri ihlali yaşandığında ise bildirim için ayrı ve çok daha kısa bir süre işler; gecikme ayrı bir aykırılık olarak değerlendirilir. Bu nedenle kayıt güncelleme, ilgili kişi taleplerine cevap ve ihlal bildirimi için üç ayrı kontrol noktası tanımlanmalı; sorumluluk tek bir kişiye değil, yedeği bulunan bir role bağlanmalıdır.
Buradaki açıklamalar genel niteliktedir. Kurumun büyüklüğü, işlenen veri kategorileri ve kullanılan yazılım altyapısı yükümlülüklerin kapsamını değiştirdiğinden, uyum çalışması öncesinde kuruma özgü hukuki inceleme yapılması gerekir.