Kişisel veri uyumluluğunda en sık karşılaşılan tablo, kâğıt üzerinde tamamlanmış görünen bir yapının fiili veri akışıyla örtüşmemesidir. VERBİS bildirimi yapılmış olsa bile, kullanılan bulut hizmetleri, yurt dışı merkezli yazılımlar ve grup şirketi paylaşımları envantere yansımadığında, aktarım kalemleri görünmez kalır. 6698 sayılı Kişisel Verilerin Korunması Kanunu ve ilgili ikincil düzenlemeler çerçevesinde hazırlanan bu liste, denetim öncesinde bu boşluğu kapatmayı amaçlar.
Envanteri Aktarım Haritasıyla Eşleştirmek
İlk adım, veri işleme envanterinin yanına bir aktarım haritası koymaktır. Her veri kategorisi için verinin fiziksel olarak nerede tutulduğu, hangi hizmet sağlayıcısının eriştiği ve bu erişimin yurt içinden mi yurt dışından mı gerçekleştiği yazılmalıdır. Uygulamada en çok gözden kaçan kalemler; müşteri ilişkileri yazılımları, e-posta altyapıları, çağrı merkezi hizmetleri, analitik araçları ve insan kaynakları platformlarıdır.
Aktarım Dayanağının Belgelenmesi
Yurt dışına aktarımda kritik soru, aktarımın hangi hukuki zemine dayandığıdır. Dayanak ne olursa olsun, buna ilişkin belgenin dosyada fiilen bulunması gerekir: sözleşme ekleri, taahhüt metinleri, alınan onaylar ve ilgili kişiye yapılan aydınlatmanın metni. Aydınlatma metninde aktarımın hiç anılmaması veya genel bir cümleyle geçiştirilmesi, en sık rastlanan eksikliklerdendir.
Bildirim ile Fiili Durum Arasındaki Fark
- VERBİS kaydındaki veri kategorileri güncel iş süreçleriyle uyuşuyor mu?
- Saklama süreleri politika metninde yazan sürelerle aynı mı?
- Kayıtta belirtilen alıcı grupları gerçek tedarikçi listesiyle örtüşüyor mu?
- İrtibat kişisi bilgileri güncel mi, bildirimler takip ediliyor mu?
- Yeni devreye alınan yazılımlar için kayıt güncellemesi yapıldı mı?
İnceleme Başladığında İzlenecek Yol
Bir şikâyet veya resen inceleme sürecinde istenen bilgi ve belgelerin süresinde ve tutarlı biçimde sunulması, sonucu doğrudan etkiler. Farklı birimlerden gelen cevapların birbiriyle çelişmesi, teknik ve hukuki anlatımın ayrışması sık görülen sorunlardır. Bu nedenle yanıt tek bir metin hâlinde hazırlanmalı, ekler numaralandırılmalı ve teknik iddialar sistem kayıtlarıyla desteklenmelidir.
İdari Yaptırım Karşısında Tutum Belirlemek
Yaptırım kararı sonrasında iki yol açılır: gereğini yerine getirip süreci kapatmak veya karara karşı yargı yoluna başvurmak. Bu tercih yapılırken kararın gerekçesinde hangi eksikliğin belirleyici olduğu, aynı eksikliğin diğer süreçlerde de bulunup bulunmadığı ve düzeltmenin operasyonel maliyeti birlikte değerlendirilmelidir. Yalnızca yaptırımın tutarına odaklanan bir karar, aynı gerekçenin başka süreçler için de gündeme gelme ihtimalini gözden kaçırır.
Yukarıdaki değerlendirmeler genel niteliktedir. Veri işleme faaliyetinin ölçeği, sektör ve kullanılan altyapı yükümlülükleri değiştirdiğinden, uyum çalışmasının dosyaya özgü biçimde yürütülmesi ve hukuki görüş alınması yerinde olur.