Kişisel veri mevzuatında bir işletmenin karşılaştığı iki farklı yükümlülük kümesi vardır: kayıt ve şeffaflık tarafında VERBİS bildirimleri, işleme tarafında ise yurt dışına aktarımın hukuki dayanağı. Bu iki başlık sıklıkla aynı denetimde birlikte gündeme gelir ve idari süreç başladığında şirketlerin en çok zorlandığı nokta, hangi işlemin hangi mercie taşınacağıdır.
İki Yükümlülük, Tek Denetim Dosyası
VERBİS kaydı, veri işleme envanterinin dışa dönük özetidir. Envanterde yer almayan bir aktarımın sicilde beyan edilmiş olması ya da tersi durum, denetimde ilk sorulan çelişkidir. Yurt dışına aktarım söz konusu olduğunda ise dayanağın hangi mekanizmaya oturduğu — açık rıza, yeterlilik kararı ya da uygun güvence sağlayan araçlar — belge düzeyinde gösterilebilmelidir. Sözleşmede yer alan tek bir cümle, aktarımın hukuki dayanağını tek başına kurmaz.
Kurul Süreci Başladığında İzlenecek Sıra
- Bilgi ve belge talebi yazısının tebliğ tarihi kaydedilir; cevap süresi bu tarihe bağlanır.
- Sorulan her başlık için ayrı bir belge klasörü oluşturulur; envanter, aydınlatma metinleri, rıza kayıtları ve aktarım sözleşmeleri ayrıştırılır.
- Cevap yazısında beyan edilen her bilgi, sunulan belgeyle birebir eşleştirilir.
- Ek süre talebi gerekiyorsa, sürenin sonunu beklemeden ve gerekçeli biçimde iletilir.
- Tespit edilen eksiklik için düzeltme takvimi hazırlanır ve dosyaya eklenir.
Kararın Türüne Göre Değişen Başvuru Yolu
Bu alandaki en kritik usul ayrımı burada ortaya çıkar. İdari para cezasına karşı gidilecek yol ile Kurul'un idari nitelikteki diğer kararlarına karşı gidilecek yol aynı değildir. İdari yaptırım kararlarına itiraz, kabahatler mevzuatının öngördüğü usule tabidir; Kurul'un diğer işlemleri ise idari yargı denetimine açıktır. Aynı tebligat içinde hem para cezası hem de talimat niteliğinde bir karar bulunabileceği için, tek bir dilekçeyle tek bir mercie gidilmesi çoğu zaman sürenin kaçırılması sonucunu doğurur.
Sık Yapılan Dört Hata
- Tebliğ zarfının atılması ve tebliğ tarihinin yalnızca hafızaya dayandırılması
- Grup şirketleri arasındaki aktarımın iç işlem sayılarak beyan dışı bırakılması
- Bulut hizmet sağlayıcı kullanımının aktarım olarak değerlendirilmemesi
- Açık rızanın, hizmetin ön şartı haline getirilerek alınması
Savunmayı Güçlendiren Belge Seti
Veri işleme envanteri, saklama ve imha politikası, aydınlatma metinlerinin sürüm geçmişi, teknik ve idari tedbirlerin kayıtları, erişim yetkisi matrisi ve hizmet sağlayıcılarla imzalanan sözleşmeler; savunmanın omurgasını oluşturur. Bu belgelerin tarih bilgisi taşıyan sürümleriyle saklanması, sonradan hazırlandığı yönündeki eleştirinin önüne geçer.
Anlatılanlar genel çerçeve niteliğindedir; işletmenizin veri akışı, sektörü ve kullandığı hizmet sağlayıcılar sonucu doğrudan etkiler. Denetim yazısı elinize ulaştığında süre işlemeye başladığından, cevap hazırlanmadan önce hukuki destek almanız uygun olur.