Kişisel veri uyumunda iki başlık çoğu zaman ayrı ayrı ele alınır ve bu yüzden birbiriyle çelişir: VERBİS kaydı ile fiilen yapılan yurt dışı aktarımlar. KVKK, 6698 sayılı Kanun ve barındırma bakımından 5651 çerçevesinde, bu iki başlığı aynı tabloda tutmanın ve denetim yazışmalarını yönetmenin yolunu ele alıyoruz.
Kayıt ile Gerçek Veri Akışı Aynı Şeyi Söylemeli
Bir denetimde ilk bakılan şey genellikle beyan ile uygulama arasındaki farktır. VERBİS’te bildirilen veri kategorileri, saklama süreleri ve aktarım alıcı grupları; şirketin kullandığı bulut hizmetleri, analiz araçları, çağrı merkezi ve muhasebe yazılımlarıyla karşılaştırıldığında sıklıkla uyuşmaz. Bu nedenle envanter, satın alma ve bilgi işlem kayıtlarıyla birlikte güncellenmeli; her yeni tedarikçi sözleşmesinde envanter satırı da gözden geçirilmelidir.
Aktarımın Hukuki Zemini Kayıt Altına Alınır
Yurt dışına yapılan her aktarım için hangi hukuki zemine dayanıldığı belgelenmelidir. Uygulamada dosyada bulunması gerekenler:
- Aktarımın amacı, kapsamı ve alıcı ülkedeki alıcının niteliği
- Dayanılan hukuki mekanizma ve buna ilişkin imzalı belgeler
- Aktarılan veri kategorileri ile aktarımın süresi ve sıklığı
- Alıcı tarafından uygulanan teknik ve idari tedbirlere ilişkin taahhütler
- İlgili kişilerin aydınlatılmasında aktarımın açıkça belirtilip belirtilmediği
Sunucunun yurt dışında bulunduğu hizmetlerde, verinin fiziksel olarak nerede tutulduğu barındırma sözleşmesinden teyit edilmelidir; sözleşmede yer almayan bir yerleşim iddiası denetimde savunulamaz.
Denetim Yazısı Geldiğinde Süre Yönetimi
Kuruldan gelen bilgi ve belge talebi yazılarında verilen süre kısadır ve uzatma talebi kendiliğinden kabul edilmez. Yazının kayda giriş tarihi, talep edilen belgelerin listesi ve her belgenin sorumlusu ilk gün bir tabloya işlenmelidir. Cevap metninde, sorulmayan konulara girmeden ancak sorulan her kaleme ayrı ayrı yanıt vermek esastır; eksik bırakılan bir kalem, sonraki aşamada aleyhe yorumlanabilir.
İdari Yaptırım Kararına Karşı Yol
Yaptırım kararı tebliğ edildiğinde izlenecek kanun yolu ve süre, kararın kendi metninde gösterilir; bu bilgi başka kaynaklardan varsayımla tamamlanmamalıdır. Başvuru dilekçesi hazırlanırken tartışmanın esas mı yoksa ölçülülük mü olduğu belirlenmeli, uyum için alınan tedbirler tarih sırasıyla ortaya konmalıdır.
Uyum Yoluyla Kapatmak mı, İtiraz mı
- Tespit edilen aykırılık halen sürüyor mu, yoksa giderildi mi?
- Giderme işlemleri belgelenebiliyor mu?
- İtiraz edildiğinde tartışılacak hukuki soru, sektörün tamamını ilgilendiren bir yorum farkı mı?
- Kararın kamuoyuna yansımasının ticari maliyeti nedir?
Yukarıdaki başlıklar genel bir uyum çerçevesi çizer. Her veri işleme faaliyeti kendi teknik gerçekliğiyle değerlendirildiğinden, karar almadan önce envanteriniz üzerinden hukuki görüş alınması yerinde olur.