Veri sorumluları için iki başlık birbirini doğrudan etkiler: sicile bildirilen envanterin doğruluğu ve verinin yurt dışına hangi hukuki dayanakla aktarıldığı. Sicilde beyan edilenle fiilî işleme faaliyeti arasındaki fark, denetim anında ilk göze çarpan usul zaafıdır.
Sicil Beyanı ile Envanterin Örtüşmesi
VERBİS'e yapılan bildirim, kişisel veri işleme envanterinden türetilir. Bu iki belge arasında sapma varsa beyan güvenilirliğini yitirir. Kontrol edilmesi gereken alanlar:
- Veri kategorileri ile fiilen toplanan alanların birebir eşleşmesi
- Aktarım yapılan alıcı gruplarının eksiksiz gösterilmesi
- Saklama sürelerinin, saklama ve imha politikasındaki sürelerle tutarlı olması
- Özel nitelikli veri işleniyorsa buna ilişkin ek tedbirlerin beyan edilmiş olması
- İrtibat kişisi bilgilerinin güncel olması
Yurt Dışı Aktarımda Dayanak Seçimi
6698 sayılı KVKK'nın aktarım düzeni kademelidir. Öncelikle hakkında yeterlilik kararı bulunan ülke veya sektör bakımından aktarım mümkündür. Böyle bir karar yoksa uygun güvenceler devreye girer: taraflar arasındaki standart sözleşme, bağlayıcı şirket kuralları, uluslararası sözleşme niteliğindeki metinler veya yazılı taahhütname. Bu mekanizmaların her birinin kendi bildirim veya izin usulü vardır ve usul adımı atlanırsa aktarımın hukuki dayanağı boşa düşer. Açık rızaya dayalı aktarım ise istisnai ve arızi hallere yönelik bir çözümdür; sürekli aktarım için kalıcı bir zemin oluşturmaz.
Bulut ve Alt Yüklenici Zinciri
- Hizmet aldığınız her sağlayıcı için verinin fiziken nerede tutulduğu yazılı olarak sorulur.
- Alt işleyici kullanımı sözleşmede kayıt altına alınır; zincirin tamamı listelenir.
- Sunucu konumu değiştiğinde bildirim yükümlülüğü öngören bir hüküm konulur.
- Erişim yetkileri rol bazında sınırlandırılır ve log kayıtları saklanır.
Denetime Hazırlık Kontrol Listesi
- Aydınlatma metinleri aktarım gerçeğini ve alıcı gruplarını yansıtıyor mu?
- Açık rıza alınıyorsa, rıza metni aydınlatmadan ayrı ve serbest iradeye dayalı biçimde mi kurgulanmış?
- İlgili kişi başvurularına ilişkin bir yanıt akışı ve kayıt sistemi mevcut mu?
- Veri ihlali halinde bildirim yapılacak kişiler ve zaman planı önceden belirlendi mi?
- 5651 kapsamındaki trafik kaydı yükümlülükleri ile KVKK'daki saklama ilkesi birlikte değerlendirildi mi?
Şikâyet ve İtiraz Aşaması
Kurul kararına karşı idari yargı yolu açıktır. Bu aşamada savunmanın gücü, denetim öncesinde üretilmiş belgelere dayanır: politika metinleri, eğitim kayıtları, teknik tedbir raporları ve sözleşme ekleri. Sonradan hazırlanan belgeler, ihlal anındaki durumu göstermediği için sınırlı etki doğurur.
Bu içerik genel bilgi amacı taşır. Sektör, veri hacmi ve kullanılan hizmet sağlayıcılar uyum yükümlülüklerini değiştirdiğinden, kurumsal bir uyum çalışmasına başlamadan önce dosyaya özgü değerlendirme yapılmalıdır.