Kişisel veri uyumunda iki başlık, denetim yazısı geldiğinde en çok soru doğuranlardır: VERBİS kaydının kapsamı ve verinin yurt dışına aktarımının hukuki dayanağı. Bu iki konu genellikle ayrı ele alınır; oysa 6698 sayılı KVKK bakımından envanter ile aktarım dayanağı birbirini besleyen tek bir dosyadır. Envanterde görünmeyen bir aktarım, denetimde açıklanamayan bir aktarımdır.
VERBİS Kaydı Bir Form Doldurma İşi Değildir
Kayıt yükümlülüğü, veri işleme envanterine dayanır. Envanter hazırlanmadan yapılan kayıt, beyanla fiili durum arasında çelişki üretir ve denetimde ilk yakalanan nokta budur. Envanterde her işleme faaliyeti için şu alanlar tutarlı olmalıdır: işleme amacı, veri kategorisi, alıcı grupları, saklama süresi, aktarım yapılan ülkeler ve alınan güvenlik tedbirleri.
Yurt Dışına Aktarımda Dayanak Sıralaması
Aktarım için önce genel işleme şartının bulunması, ardından aktarıma özgü bir mekanizmanın seçilmesi gerekir. Uygulamada başvurulan başlıca yollar şunlardır:
- Aktarım yapılacak ülke veya sektör bakımından verilmiş bir yeterlilik kararı bulunması.
- Yeterlilik kararı yoksa uygun güvencelerin sağlanması: taraflar arasında standart sözleşme, taahhütname ya da şirketler topluluğu için bağlayıcı kurallar.
- Bunların hiçbiri yoksa, mevzuatta sınırlı biçimde sayılan arızi hallere dayanılması. Bu son yol istisnaidir ve süreklilik arz eden aktarımlar için kullanılamaz.
Sık yapılan hata, yurt dışı sunucu kullanan bir bulut hizmetini iç işleyiş sayıp aktarım olarak nitelendirmemektir. Verinin fiziken nerede tutulduğu ve kimin erişebildiği belirleyicidir.
Bulut, SaaS ve Alt Yükleniciler
Muhasebe yazılımı, e-posta altyapısı, müşteri ilişkileri sistemi, analitik araçları ve destek hatları çoğu zaman ayrı ayrı yurt dışı aktarımı doğurur. Her bir tedarikçi için sözleşmede veri işleyen sıfatının tanımlanması, alt işleyen kullanımına ilişkin izin ve ihlal bildirim yükümlülüğü açıkça yazılmalıdır. Ayrıca 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülükleri ile saklama sürelerinin çakışması ayrıca kontrol edilmelidir.
Yaptırım ve İtiraz Yolunda Mercii Riski
İdari para cezası tebliğ edildiğinde en kritik nokta, itirazın hangi yargı koluna ve hangi süre içinde yapılacağıdır. Bu konudaki düzenleme yakın dönemde değişikliğe uğramıştır; tebliğ evrakındaki başvuru yolu bilgisi ile yürürlükteki güncel metin birlikte kontrol edilmeden dilekçe verilmemelidir. Yanlış yargı koluna yapılan başvuru esasa girilmeden reddedilir ve bu sırada süre işlemeye devam eder.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Uyum düzeyi her kurumun veri akışına göre farklılaştığından, envanter ve aktarım dayanaklarının denetim öncesinde yerinde incelenmesi önerilir.