VERBİS kaydı çoğu kurumda bir kez yapılıp unutulan idari bir işlem gibi görülür. Oysa denetim aşamasında bakılan şey kaydın varlığı değil, kayıttaki beyanların gerçek veri işleme faaliyetiyle örtüşmesidir. Yurt dışı aktarım kalemleri bu bakımdan en çok tutarsızlık üreten alandır ve 6698 sayılı KVKK kapsamındaki sorumluluğu doğrudan etkiler.
Kayıt Yükümlülüğünün Kapsamını Doğrulamak
Her veri sorumlusu aynı kapsamda değildir; çalışan sayısı, mali büyüklük ve işlenen verinin niteliği yükümlülüğü belirler. İstisna kapsamında olunduğu düşünülüyorsa bu değerlendirmenin dayanağı yazılı olarak dosyada bulunmalıdır. Faaliyet değiştiğinde ya da yeni bir hizmet başlatıldığında istisna durumunun devam edip etmediği yeniden gözden geçirilmelidir; bir kez yapılan değerlendirmeye süresiz güvenmek yaygın bir hatadır.
Envanter ile Bildirimin Uyuşması
- Kişisel veri işleme envanterindeki kategoriler ile bildirimdeki kategorilerin birebir eşleşmesi
- Saklama sürelerinin envanterde, politikada ve bildirimde aynı şekilde görünmesi
- Alıcı gruplarının gerçek iş akışıyla uyumlu tanımlanması
- İmha politikasının fiilen uygulandığını gösteren kayıtların bulunması
- İrtibat kişisi bilgisinin güncel olması ve tebligatın ulaşabilmesi
Aktarım Kalemlerinin Bildirimdeki Görünümü
Bulut hizmeti, e-posta altyapısı, muhasebe yazılımı, çağrı merkezi ve analitik araçlar çoğu kurumda yurt dışı aktarım doğurur; ancak bildirimde yalnızca doğrudan sözleşme yapılan hizmet sağlayıcı yazılır, alt yükleniciler görünmez kalır. Sunucu konumu sözleşmede belirtilmemişse sağlayıcıdan yazılı teyit alınmalıdır. 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülükleri ile saklama uygulamalarının birbiriyle çelişmemesi de ayrıca kontrol edilmelidir.
Yaptırım Aşamasında Merci ve Süre
İdari yaptırım kararı tebliğ edildiğinde yapılacak ilk iş, karar metnindeki başvuru yolu ve süre bilgisini dikkatle okumaktır. Uygulamada başvurulacak yargı yolu konusunda tereddüt yaşanabildiğinden, süre kısa olduğu için gecikmeye yol açacak tartışmalara girmeden başvurunun zamanında yapılması önceliklidir. Yanlış mercie yapılan başvuru evrakı yönlendirilse bile süre riski doğurur. Ayrıca kararın gerekçesinde hangi yükümlülüğün ihlal edildiği net biçimde tespit edilmeli; savunma bu tespite göre kurulmalıdır.
Buradaki başlıklar genel bilgilendirme amacıyla derlenmiştir. Her kurumun veri işleme mimarisi ve tedarikçi zinciri farklı olduğundan, kayıt güncellemesi veya savunma hazırlığı öncesinde kurum kayıtları üzerinden hukuki değerlendirme yapılması yerinde olur.