VERBİS kaydı çoğu şirkette bir kez yapılıp unutulan bir işlem olarak görülür; oysa kayıt, veri işleme faaliyetinin beyanıdır ve faaliyet değiştikçe güncellenmesi gerekir. 6698 sayılı Kanun kapsamındaki yurt dışına aktarım rejimi ile VERBİS beyanları arasındaki tutarsızlık, denetimde ilk göze çarpan noktalardan biridir. Bu rehber, iki başlığı tek bir uyum takviminde birleştirmeyi ele alıyor.
Beyan ile Gerçek Faaliyetin Örtüşmesi
Kayıt sırasında bildirilen veri kategorileri, alıcı grupları, saklama süreleri ve yurt dışına aktarım bilgileri, şirketin fiilen yaptığı işlemlerle karşılaştırılmalıdır. Uygulamada en sık rastlanan tutarsızlıklar şunlardır:
- Bulut tabanlı bir hizmetin kullanılmaya başlanması, ancak yurt dışına aktarım beyanının güncellenmemesi
- Yeni bir insan kaynakları veya müşteri ilişkileri yazılımının envantere eklenmemesi
- Saklama sürelerinin politikada yazılı olduğu hâlde sistemde uygulanmaması
- Grup şirketleri arasındaki veri paylaşımının hiç beyan edilmemesi
Yurt Dışına Aktarımda Dayanağı Belgelendirin
Aktarımın hukuki dayanağı, aktarımdan önce belirlenip yazılı hâle getirilmelidir. Şirket içi dokümantasyonda her aktarım için şu sorular cevaplanmış olmalıdır: hangi veri kategorisi, hangi ülkeye ve hangi alıcıya, hangi amaçla, hangi hukuki dayanakla ve hangi güvenlik tedbirleriyle aktarılıyor? Hizmet sağlayıcı sözleşmelerinde alt işleyicilerin kimler olduğu ve verinin fiilen hangi sunucularda tutulduğu açıkça yer almalıdır.
Yanlış Merciye Başvuru ve Muhatap Karışıklığı
Bu alanda muhatap karışıklığı iki yönlü işler. İlgili kişi bakımından kural, önce veri sorumlusuna başvurmak, cevap alınamazsa ya da cevap yetersizse kuruma şikâyette bulunmaktır; bu sıra atlandığında başvuru usulden dönebilir. İdari yaptırım kararlarına karşı ise izlenecek yol farklıdır ve kendi süresine tabidir. Ayrıca içerik kaldırma talepleri bakımından 5651 sayılı Kanun kapsamındaki usul ayrı işler; veri koruma başvurusu ile karıştırılmamalıdır.
Uyum Takvimini Yıllık Döngüye Bağlayın
- Veri envanteri yılda en az bir kez, ayrıca her yeni yazılım alımında güncellenir.
- Envanterdeki her değişiklik için VERBİS beyanının güncellenmesi bir görev olarak atanır.
- Aktarım yapılan hizmet sağlayıcıların sözleşmeleri ve alt işleyici listesi periyodik gözden geçirilir.
- Aydınlatma ve açık rıza metinleri, fiilî uygulamayla karşılaştırılarak doğrulanır.
- İhlal hâlinde izlenecek bildirim akışı, sorumlu kişilerle birlikte önceden yazılır.
Sonuç Yerine
Uyum, tek seferlik bir proje değil bakım gerektiren bir süreçtir; beyan ile gerçek faaliyet arasındaki mesafe büyüdükçe risk de büyür. Bu yazı genel bilgilendirme amacıyla hazırlanmıştır. Şirketin faaliyet alanı, işlediği verinin niteliği ve aktarım yapısı yükümlülükleri değiştirebileceğinden, uyum çalışmasının somut olarak yürütülmesi gerekir.