Kişisel veri uyumunda iki başlık çoğu şirkette aynı anda sorun çıkarır: kayıt yükümlülüğünün doğru yerine getirilmemesi ve verinin yurt dışına aktarımının hukuki dayanağa oturtulmamış olması. Bu rehber, VERBİS kaydı ile yurt dışına aktarım pratiğini, uyum takvimini ve idari yaptırım hâlinde izlenecek yolu KVKK, 6698 ve 5651 sayılı Kanun ekseninde ele alır.
Kayıt Yükümlülüğü Bir Envanter İşidir
VERBİS kaydı, tek seferlik bir form doldurma işlemi değildir; kayıt, kişisel veri işleme envanterinin dışa yansıyan yüzüdür. Envanterle bildirim arasındaki tutarsızlık, incelemede ilk fark edilen başlıklardandır. Bu nedenle veri kategorileri, işleme amaçları, saklama süreleri, aktarılan taraflar ve alınan teknik idari tedbirler önce envanterde netleştirilmeli, bildirim ondan sonra güncellenmelidir. Faaliyet değiştiğinde, yeni bir yazılım hizmeti alındığında veya yeni bir tedarikçiyle çalışıldığında kaydın güncellenmesi gerekir.
Aktarımın Dayanağını Belirlemek
Yurt dışına aktarımda hukuki dayanak, aktarımın yapıldığı ülkeye ve kullanılan araca göre değişir. Uygulamada üç eksen öne çıkar: yeterlilik kararı bulunan ülkelere aktarım, uygun güvenceye dayanan aktarımlar ve istisnai hâllere dayalı arızi aktarımlar. Uygun güvence yolunda standart sözleşme ile bağlayıcı şirket kuralları gibi araçlar kullanılır ve bunların Kurula bildirimi veya onayına ilişkin usul ayrıca izlenmelidir. Bulut hizmetlerinde verinin fiilen hangi ülkedeki sunucuda tutulduğunun sözleşmede yazılı olması, sonradan yapılacak tartışmayı büyük ölçüde önler.
Uyum Dosyasında Bulunması Beklenenler
- Kişisel veri işleme envanteri ve saklama-imha politikası
- Aydınlatma metinleri ile gerekli hâllerde alınmış açık rıza kayıtları
- Yurt dışına aktarım için imzalanmış sözleşme örnekleri ve bildirim kayıtları
- Veri işleyenlerle yapılan sözleşmelerdeki gizlilik ve güvenlik taahhütleri
- İlgili kişi başvurularının kayıt altına alındığı takip sistemi
İnceleme Başladığında Süre Yönetimi
Kurul tarafından bilgi ve belge istendiğinde verilen cevap süresi kısadır ve cevabın geç ya da eksik verilmesi ayrı bir yaptırım konusu olabilir. Bu nedenle uyum dosyası, inceleme başladığında toplanacak bir yığın değil, önceden derlenmiş ve güncel tutulan bir bütün olmalıdır.
İdari Para Cezasına Karşı Yol
Kurul kararına ve verilen idari para cezasına karşı yargı yolu açıktır; ancak sürenin tebliğ tarihinden itibaren işlediği ve dava dilekçesinin hangi mahkemeye verileceğinin doğru belirlenmesi gerektiği unutulmamalıdır. Cezayı ödeyip süreci kapatmak ile dava açmak arasındaki tercih, yalnızca tutara göre değil; kararın gerekçesinin ileride benzer incelemelerde emsal oluşturma ihtimali gözetilerek verilmelidir. İnternet ortamındaki yayınlarla ilgili taleplerde ise 5651 sayılı Kanun kapsamındaki ayrı usul işletilir.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Veri akışının yapısı her kuruluşta farklı olduğundan, uyum takviminin kurum içi süreçler incelenerek bir hukukçuyla birlikte oluşturulması yerinde olur.