Veri sorumluları için uyum çalışmasının iki görünür ayağı vardır: VERBİS kaydının doğru ve güncel tutulması ile yurt dışına aktarımın hukuki dayanağının kurulması. 6698 sayılı KVKK çerçevesinde bu iki başlık birbirinden bağımsız değildir; sicile bildirilen işleme amaçları ile fiilen kullanılan altyapı örtüşmediğinde, denetim sırasında ilk fark edilen tutarsızlık bu olur.
Sicil Kaydının Envanterle Uyumu
VERBİS'e girilen bilgiler, kişisel veri işleme envanterinin özetidir. Veri kategorileri, alıcı grupları, saklama süreleri ve aktarım bilgileri envanterde ne yazıyorsa sicilde de aynı olmalıdır. Yeni bir yazılım, bulut hizmeti veya insan kaynakları uygulaması devreye alındığında envanter güncellenmiyorsa, kayıt kısa sürede gerçeği yansıtmayan bir belgeye dönüşür.
Yurt Dışına Aktarımın Dayanağı
Bulut sunucusu yurt dışında bulunan bir hizmet kullanılıyorsa, verinin fiilen nerede tutulduğu ve hangi ülkeye aktarıldığı belirlenmelidir. Aktarımın hangi hukuki mekanizmaya dayandığı, sözleşmesel güvenceler ve açık rıza alınmışsa rızanın kapsamı yazılı olarak kayıt altına alınmalıdır. Alt işleyicilerin varlığı da çoğu zaman gözden kaçar; hizmet sağlayıcının kendi tedarikçileri üzerinden gerçekleşen aktarımlar ayrıca değerlendirilmelidir.
- Kullanılan tüm yazılım ve hizmetlerin veri saklama ülkesi listelendi mi?
- Aydınlatma metinleri aktarım bilgisini de kapsayacak şekilde güncellendi mi?
- Veri işleyenlerle imzalanan sözleşmelerde güvenlik ve gizlilik hükümleri var mı?
- Saklama ve imha politikasındaki süreler fiilî uygulamayla örtüşüyor mu?
Tebligat Gecikmesi ve Kurum Yazışmaları
Kurumdan gelen bilgi ve belge talebi yazılarına verilecek cevap sürelidir. Şirketin kayıtlı elektronik posta adresinin izlenmemesi, irtibat kişisinin görevden ayrılmasına rağmen sicildeki bilginin güncellenmemesi ya da adres değişikliğinin bildirilmemesi, yazının geç öğrenilmesine yol açar. Cevabın süresinde verilmemesi hem idari sonuç doğurur hem de savunmanın eksik hazırlanmasına neden olur. İrtibat kişisi bilgisi bu nedenle uyum çalışmasının teknik değil, kritik bir kalemidir.
İlgili Kişi Başvurularının Yönetimi
Veri sorumlusuna yapılan başvurulara cevap verilmemesi, şikâyet yolunun açılmasına neden olur. Başvuruların tek bir kanaldan toplanması, kayıt numarası verilmesi ve cevap tarihlerinin izlenmesi; hem uyumu hem de olası bir incelemede savunmayı kolaylaştırır. 5651 sayılı Kanun kapsamındaki yükümlülükler internet üzerinden hizmet veren yapılar bakımından ayrıca gözetilmelidir.
Buradaki değerlendirmeler genel çerçeveyi anlatır; sektör, veri hacmi ve kullanılan altyapı yükümlülüklerin kapsamını değiştirir. Uyum çalışmanızı tamamlamadan önce mevcut sistemlerinizin haritasıyla birlikte hukuki bir gözden geçirme yapılması yerinde olur.