VERBİS kaydı ile yurt dışına veri aktarımı, birçok kurumda birbirinden bağımsız iki başlık gibi yürütülür. Oysa Sicile bildirilen alıcı grupları ile fiilen gerçekleşen veri akışının örtüşmemesi, KVKK (6698) kapsamındaki incelemelerde en hızlı fark edilen tutarsızlıklardandır. Aşağıdaki plan, aktarım kararının alınmasından bildirimlerin güncellenmesine kadar geçen süreci tek bir usul takvimine bağlamayı amaçlıyor.
Beyan ile fiilî veri akışını eşleştirme
İlk adım, işleme envanterindeki her faaliyet için "veri nereye çıkıyor" sorusunun yazılı olarak yanıtlanmasıdır. Bulut depolama, e-posta altyapısı, çağrı merkezi yazılımı veya grup şirketi raporlaması envanterde çoğu zaman yalnızca hizmet adıyla görünür; işlemin aktarım niteliği taşıdığı atlanır. Sicil beyanındaki alıcı grupları ile sözleşmelerdeki alt yüklenici listesi yan yana konulmadan yapılan güncelleme, sonradan düzeltilmesi zahmetli bir kayıt hatası doğurur.
Hazırlığın doğru sırası
Yurt dışına aktarımda önce hukuki dayanak belirlenmeli, belgeler sonra hazırlanmalıdır. Ters sırada çalışıldığında hazırlanan metinler seçilen dayanakla uyumsuz kalır ve baştan yazılır. Önerilen sıra şudur: aktarımın amacı ve kapsamının tanımlanması, dayanağın seçimi, alıcının bulunduğu ülkedeki statüsünün incelenmesi, taahhüt ve sözleşmesel belgelendirme, en sonda da aydınlatma metinlerinin güncellenmesi.
Usule aykırı işlem nerede doğuyor
- Aktarım fiilen başladıktan sonra dayanağın geriye dönük kurgulanması
- Sicil güncellemesinin yapılmaması veya eski alıcı grubuyla bırakılması
- Aydınlatma yükümlülüğünün aktarım boyutunu hiç içermemesi
- İlgili kişi başvurularının yazılı ve süresinde yanıtlanmaması
- Barındırma sağlayıcısı değiştiğinde 5651 kapsamındaki kayıt düzeninin gözden geçirilmemesi
Takvimi kontrol noktalarına bölmek
Tek bir "son tarih" yerine sözleşme imzası, teknik entegrasyon, canlıya geçiş ve Sicil güncellemesi ayrı kontrol noktaları olarak işaretlenmelidir. Uygulamada en sık görülen usul kırılması, belgelendirme tamamlanmadan canlıya geçiş tarihinin öne çekilmesidir. İlgili kişi başvurusuna yanıt süresi bu proje takviminden bağımsız işlediğinden, başvuru kayıt defteri ayrı tutulmalı ve sorumlusu tek kişi olmalıdır.
İnceleme ihtimaline karşı dosya düzeni
Şikâyet veya resen inceleme halinde istenen bilgiler kural olarak geçmişe dönüktür. Bu nedenle envanterin sürümleri tarih bilgisiyle saklanmalı; hangi kararın ne zaman alındığı yönetim onayı, komite tutanağı veya yazışma ile gösterilebilmelidir. Belgesi bulunmayan bir uygulama, denetimde uygulanmamış sayılma riski taşır.
Bu metin genel bilgilendirme amacı taşır; kurumun veri akışı, sektörü ve sözleşme yapısı sonucu değiştirebilir. Aktarım kararı verilmeden önce dosyaya özgü hukuki inceleme yapılması yerinde olur.