Kişisel veri işleyen kurumların iki temel yükümlülüğü, VERBİS kayıt sistemine dahil olmak ve verileri yurt dışına aktarırken mevzuata uymaktır. Bu rehber, 6698 sayılı Kişisel Verilerin Korunması Kanunu çerçevesinde bu iki başlığı ele alır.
VERBİS Yükümlülüğü Kimi Kapsar
Veri Sorumluları Sicil Bilgi Sistemi, belirli ölçütleri karşılayan veri sorumlularının kaydolmasını öngörür. Çalışan sayısı, yıllık mali büyüklük ve işlenen verinin niteliği kayıt zorunluluğunu belirleyen ölçütlerdir. Özel nitelikli veri işleyen bazı kurumlar, eşik değerlere bakılmaksızın kayıt yükümlüsü olabilir. Kapsam dışı kalındığı varsayımıyla kaydın atlanması, idari yaptırım riski doğurur.
Kayıt Öncesi Hazırlık
VERBİS kaydı teknik bir formdan ibaret değildir; arkasında bir envanter çalışması gerektirir:
- İşlenen veri kategorilerinin ve amaçlarının belirlenmesi
- Verilerin aktarıldığı taraf ve ülkelerin listelenmesi
- Saklama sürelerinin her veri türü için tanımlanması
- Alınan teknik ve idari tedbirlerin kayıt altına alınması
Yurt Dışı Aktarımın Koşulları
Kişisel verinin yurt dışına aktarılması, kanunda belirlenen koşullara bağlanmıştır. Aktarımın hukuka uygunluğu; ilgili kişinin açık rızası, aktarım yapılacak ülkenin sağladığı koruma düzeyi ve tarafların üstlendiği güvenceler ekseninde değerlendirilir. Bulut hizmetleri ve yurt dışı merkezli yazılımların kullanımı, çoğu zaman farkında olunmadan bir yurt dışı aktarımı doğurur.
Aydınlatma ve Rıza Ayrımı
Uygulamada en sık karıştırılan konu, aydınlatma yükümlülüğü ile açık rızanın farkıdır. Aydınlatma her veri işlemede yapılması gereken bir bilgilendirmedir; açık rıza ise yalnızca belirli hallerde gereken ayrı bir hukuki dayanaktır. Rızanın, aydınlatma metnine gömülmüş genel bir onay olarak alınması geçersizlik riskini beraberinde getirir.
Değerlendirme
Veri koruma yükümlülükleri, kurumun büyüklüğüne ve işlediği veriye göre farklılaşır. Eksik veya yanlış bir uyum çalışması idari yaptırıma yol açabilir. Süreci veri koruma alanında uzman biriyle planlamanız yerinde olur.