VERBİS kaydı çoğu şirkette bir kez doldurulup unutulan bir form gibi görülür. Oysa kayıt, şirketin kendi beyanıdır ve bir denetim ya da şikayet halinde ilk karşılaştırma bu beyanla fiili durum arasında yapılır. Yurt dışına veri aktarımı yapan yapılarda ise beyan ile gerçek akış arasındaki fark, KVKK bakımından en görünür uyumsuzluk kalemine dönüşür. Bu rehber 6698 sayılı Kanun ekseninde kayıt ve aktarımı tek takvimde yönetmeye odaklanır.
Kayıt ile aktarım envanterini aynı tabloda tutmak
Uygulamada iki ayrı belge üretilir: VERBİS bildirimi ve kişisel veri işleme envanteri. Bu ikisi farklı zamanlarda güncellenirse tutarsızlık kaçınılmazdır. Doğru yöntem, envanterin her satırına aktarımın alıcısını, alıcının bulunduğu ülkeyi, aktarımın hukuki sebebini ve saklama süresini eklemek; VERBİS güncellemesini bu tablodan türetmektir. Yeni bir bulut hizmeti, yeni bir analiz aracı ya da yurt dışındaki bir grup şirketine erişim yetkisi verilmesi, tabloya yeni satır eklenmesini gerektiren olaylardır.
Aktarım mekanizmasını doğru seçmek
Yurt dışına aktarım için mevzuat kademeli bir yapı öngörür: yeterlilik kararı bulunan ülkelere aktarım, yeterlilik kararı yoksa uygun güvencelerin sağlandığı yollar (standart sözleşme, bağlayıcı şirket kuralları, protokol veya taahhütname) ve bunların da bulunmadığı hallerde sınırlı istisnai durumlar. Buradaki en sık hata, istisnai halin süreklilik arz eden bir akış için kullanılmasıdır; istisna arızi işlemler içindir, şirketin günlük veri trafiğinin kalıcı dayanağı olamaz. Standart sözleşme kullanılan hallerde ise imzalı metnin Kuruma bildirim yükümlülüğü kanunda öngörülen kısa süre içinde yerine getirilmelidir; bu bildirim atlanırsa aktarımın dayanağı tartışmalı hale gelir.
Denetime ve şikayete hazırlık
- Aydınlatma metinlerinde aktarımın ve alıcı kategorisinin açıkça yer alıp almadığı.
- Açık rızaya dayanan aktarımlarda rızanın özgür irade ile ve hizmet şartına bağlanmadan alındığının kanıtı.
- İşleyen sözleşmelerde veri işleyen sıfatının ve talimat ilişkisinin yazılı olarak tanımlanması.
- Erişim yetkilerinin kim tarafından, hangi tarihte verildiğini gösteren kayıtlar.
- İlgili kişi başvurularının hangi sürede ve nasıl yanıtlandığını gösteren başvuru defteri.
Sık görülen usul hataları
- Kayıt yükümlülüğü bulunup bulunmadığının hiç değerlendirilmemesi; muafiyet varsayımının belgelenmemesi.
- Grup şirketleri arasındaki erişimin aktarım sayılmadığının düşünülmesi.
- Sunucusu yurt dışında olan bir hizmetin, sözleşmesi Türkiye'de imzalandığı için yurt içi işleme sayılması.
- Şikayet yazısına verilen yanıtın, envanterle çelişen genel bir metinden ibaret bırakılması.
Aktarım yapısı her şirkette farklı kurulduğu için burada anlatılan çerçeve bir başlangıç noktasıdır. Kendi veri akışınızın haritasını çıkarmadan mekanizma seçimi yapmamanızı, gerekiyorsa teknik ekiple birlikte hukuki görüş almanızı öneririz.