VERBİS kaydı, çoğu şirkette bir kez doldurulup unutulan bir form olarak görülür. Oysa denetimde bakılan şey formun varlığı değil, beyan ile fiili işleme faaliyetinin örtüşüp örtüşmediğidir. Özellikle yurt dışına veri aktaran yapılarda beyandaki tek bir eksik satır, aktarımın hukuki dayanağını tartışmalı hâle getirir. KVKK (6698) ve ilgili düzenlemeler ile internet ortamındaki içerikler bakımından 5651 sayılı Kanun'un yükümlülükleri birlikte okunduğunda, uyumun periyodik olarak gözden geçirilmesi gerektiği görülür.
Beyan ile Gerçeğin Örtüşme Testi
- Kayıtta görünen veri kategorileri, gerçekte toplanan alanlarla birebir eşleşiyor mu?
- Aktarım yapılan alıcı grupları; bulut sağlayıcı, analitik araç ve destek hizmeti gibi dolaylı aktarımları da kapsıyor mu?
- Saklama süreleri, imha politikasında yazan sürelerle aynı mı?
- İrtibat kişisi bilgileri güncel mi; kurumsal e-posta çalışıyor mu?
- Yeni devreye alınan bir yazılım sonrası kayıt güncellendi mi?
Yurt Dışı Aktarımda Zemin Seçimi
Aktarımın hukuki dayanağı, aktarımın kendisinden önce belirlenmelidir. Uygulamada en sık görülen hata, hizmet sözleşmesi imzalandıktan sonra dayanak aramaya başlamaktır. Aktarımın hangi mekanizmaya dayandığı, hangi belgeyle kanıtlanacağı ve ilgili kişinin bu konuda nasıl aydınlatıldığı üç ayrı belge olarak dosyalanmalıdır. Sunucunun fiziksel konumu, alt yüklenici zinciri ve destek ekibinin erişim yetkisi de aktarım değerlendirmesinin parçasıdır; "veri Türkiye'de tutuluyor" beyanı, uzaktan erişim varsa tek başına yeterli olmaz.
Denetim Yazısı Geldiğinde Zaman Yönetimi
Kurumdan gelen bilgi talebi yazılarında verilen süre kısadır ve uzatma her zaman mümkün olmayabilir. Yazının tebliğ tarihi hemen kayda geçirilmeli, istenen belgeler madde madde eşleştirilmeli ve cevabın hangi biriminizde hazırlanacağı önceden belirlenmiş olmalıdır. Yaptırım kararı verilmesi hâlinde ise karara karşı başvuru penceresi tebligat tarihine bağlı olarak işler; bu tarihin geçmesi, esas bakımından haklı olsanız bile itiraz imkânını ortadan kaldırır.
Yıllık Gözden Geçirme Ritmi
- Envanteri sistem değişikliklerinden sonra değil, değişiklik planlanırken güncelleyin.
- Aydınlatma metinleri ile envanterdeki amaçları yılda en az bir kez karşılaştırın.
- Aktarım yapılan her sağlayıcı için sözleşme ve teknik tedbir dosyası tutun.
- İlgili kişi başvurularını tarih ve sonuç bilgisiyle kayıt altına alın.
Uyum, tek seferlik bir proje değil sürdürülen bir kayıt disiplinidir. Buradaki başlıklar genel çerçeve sunar; şirketinizin veri akışı, sektörü ve kullandığı sistemler farklı sonuçlar doğurabileceğinden uygulamaya geçmeden önce hukuki görüş alınması yerinde olur.