Kişisel veri uyum süreçlerinde en çok zaman kaybı, kayıt yükümlülüğü ile aktarım rejiminin ayrı ayrı ele alınmasından doğar. VERBİS kaydı yapılmış bir şirket, verilerini yurt dışındaki bir sunucuda işlemeye devam ederken uyumlu olduğunu varsayabilir. Bu rehber, 6698 sayılı KVKK ve 5651 kesişiminde kayıt ile aktarımın birlikte planlanmasını ve kurumdan gelen yazılara zamanında cevap verilmemesinin sonuçlarını ele alır.
Envanter Olmadan Kayıt Anlamsızdır
VERBİS bildirimi, veri işleme envanterinin özetidir. Envanter güncel değilse bildirim de gerçeği yansıtmaz ve bu tutarsızlık denetim sırasında ilk fark edilen husustur. Envanter çalışmasında her veri kategorisi için işleme amacı, hukuki sebep, saklama süresi, aktarılan taraflar ve aktarımın yurt içi mi yurt dışı mı olduğu ayrı sütunlarda gösterilmelidir. Bulut hizmetleri, e-posta altyapısı, analitik araçlar ve müşteri destek yazılımları çoğu şirkette gözden kaçan aktarım noktalarıdır.
Yurt Dışı Aktarımda Sorulması Gereken Sorular
- Veri hangi ülkeye, hangi hizmet sağlayıcısı üzerinden aktarılıyor
- Aktarımın dayanağı hangi hukuki zemine oturuyor ve bu zemin belgelenmiş mi
- Sağlayıcıyla imzalanan sözleşmede veri güvenliği ve alt işleyen hükümleri var mı
- Aktarım yalnızca depolama mı, yoksa erişim ve işleme de içeriyor mu
- İlgili kişilere yapılan aydınlatmada bu aktarım açıkça belirtilmiş mi
Kurum Yazısına Cevap Süresi: En Sık Kaçırılan Eşik
Bir şikâyet üzerine kuruma bilgi ve belge sunulması istendiğinde, yazının şirkete tebliğ edildiği tarihten itibaren cevap süresi işlemeye başlar. Bu yazılar çoğu zaman genel şirket adresine veya elektronik tebligat kutusuna ulaşır ve ilgili birime geç iletilir. Elektronik tebligat kutusunu düzenli izlemeyen şirketlerde cevap süresi fiilen tükenmiş olarak öğrenilir. Bu riski önlemek için tebligat kutusundan sorumlu kişi belirlenmeli, gelen yazının aynı gün hukuk ve bilgi işlem birimlerine iletileceği bir iç akış kurulmalıdır.
Uyum Planını Aşamalara Bölmek
- Veri haritası çıkarılır ve aktarım noktaları işaretlenir.
- Aydınlatma metinleri ve açık rıza alınan alanlar ayrıştırılır.
- Sözleşmelere veri koruma ekleri ilave edilir.
- Saklama ve imha politikası fiilen uygulanabilir sürelerle yazılır.
- İhlal halinde kimin ne yapacağını gösteren müdahale planı hazırlanır.
Yaptırım Bildirimi Geldiğinde
İdari para cezası bildirildiğinde, tebliğ tarihi ile itiraz yolunun kullanılacağı takvim aynı gün kaydedilmelidir. İtiraz dilekçesinde yalnızca cezanın ağırlığından değil, tespit edilen aykırılığın hangi noktada gerçekte bulunmadığından da söz edilmelidir. Uyum çalışmalarının ceza öncesinde başladığını gösteren belgeler bu aşamada değer taşır.
Buradaki değerlendirmeler genel niteliktedir. Şirketinizin veri akışı ve kullandığı hizmet sağlayıcıları farklı sonuçlar doğurabileceğinden, uyum çalışmasının hukuki denetimden geçirilmesi yerinde olur.