Kişisel veri uyumunda denetimlerin çıkış noktası çoğu zaman aynıdır: bildirilen kayıt ile şirketin gerçekte işlediği veri örtüşmüyordur. VERBİS bildirimi bir formalite gibi görülüp güncellenmediğinde, yurt dışına aktarım gibi hassas başlıklarda savunma zemini baştan zayıflar. Bu rehber, KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun kapsamındaki saklama yükümlülükleri ekseninde bir uyum denetimi listesi sunar.
Bildirim ile Envanterin Örtüşmesi
- Kişisel veri işleme envanterinin, bildirimdeki veri kategorileri ve alıcı gruplarıyla satır satır karşılaştırılması.
- Yeni başlatılan hizmet, uygulama veya pazarlama faaliyetlerinin envantere eklenip eklenmediği.
- Saklama sürelerinin her kategori için ayrı belirlenmiş ve fiilen uygulanıyor olması; süresi dolan verinin gerçekten silindiğinin kontrolü.
- İrtibat kişisi ve iletişim bilgilerinin güncel olması.
- İşleyen tarafların, yani hizmet alınan tedarikçilerin listesinin bildirimle uyumu.
Yurt Dışı Aktarımda Hukuki Zemin Seçimi
Bulut hizmeti, e-posta altyapısı, analitik araçlar ve grup şirketi paylaşımları çoğu zaman fark edilmeden bir yurt dışı aktarımı doğurur. Bu nedenle ilk adım, hangi verinin hangi ülkedeki hangi sunucuya gittiğini gösteren bir akış haritası çıkarmaktır. Ardından aktarımın hangi hukuki zemine dayandığı belirlenir: yeterlilik kararı bulunan bir ülke söz konusu mu, uygun güvence sağlayan bir mekanizma mı devrededir, yoksa istisnai bir hal mi ileri sürülmektedir. Uygun güvence yollarında bildirim veya izin gerektiren bir usul varsa, bunun süresi içinde tamamlanmaması tek başına bir uyumsuzluk başlığıdır.
Aydınlatma ve Rıza Metinlerinin Denetimi
- Aydınlatma metninin aktarım yapılan ülkeleri ve amaçları kapsayacak biçimde güncellenmiş olması.
- Açık rızanın, hizmetin verilmesi şartına bağlanmaması ve ayrı bir irade beyanı olarak alınması.
- Rıza kayıtlarının, tarih ve kanal bilgisiyle birlikte gösterilebilir olması.
- Çerez ve izleme araçlarının, verilen bilgilendirmeyle örtüşmesi.
İhlal Halinde Zaman Yönetimi
Bir ihlal tespit edildiğinde bildirim yükümlülüğü kısa sürelidir ve süre, ihlalin öğrenilmesiyle başlar. Bu nedenle olay müdahale prosedüründe kimin karar vereceği, hangi kayıtların toplanacağı ve bildirimin kim tarafından yapılacağı önceden yazılı hale getirilmelidir. İlgili kişilere yapılacak bilgilendirmenin içeriği de aynı dosyada hazır tutulmalıdır.
Yaptırıma İtiraz Yolunu Doğru Belirlemek
İdari para cezasıyla karşılaşıldığında en sık yapılan hata, itirazın yanlış merciye yöneltilmesidir. İtirazın hangi mercie ve hangi süre içinde yapılacağı, tebliğ edilen karar metnindeki bilgilendirme bölümünden doğrulanmalı; tebliğ tarihi ayrıca kayıt altına alınmalıdır. Yanlış yere yapılan başvuru süreyi korumaz.
Bu içerik genel bilgilendirme amaçlıdır. Veri akışının yapısı ve şirketin faaliyet alanı yükümlülükleri değiştirebileceğinden, uyum çalışmasının kurum verileri üzerinden yürütülmesi önerilir.