Kişisel verilerin yurt dışına aktarıldığı yapılarda denetim genellikle tek bir soruyla başlar: beyan ettiğiniz tablo ile fiilen yaptığınız işleme aynı mı? KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun kapsamındaki saklama yükümlülükleri birlikte düşünüldüğünde, VERBİS kaydı bir formalite değil; kurumun kendi veri akışına dair resmi beyanıdır. Bu rehber, o beyanın belgeyle desteklenmesine odaklanır.
VERBİS Bir Beyandır, Envanterle Örtüşmelidir
Kayıt ekranındaki veri kategorileri, alıcı grupları, saklama süreleri ve aktarım bilgileri kişisel veri işleme envanterinden türetilir. Envanter güncellenmeden yeni bir uygulama, yeni bir bulut hizmeti veya yeni bir alt yüklenici devreye alındığında beyan ile gerçeklik ayrışır. Denetimde ilk sorulan da bu ayrışmadır: sistemde görülen aktarım, kayıtta neden yok?
Aktarımda Hangi Dayanağa Yaslanıyorsunuz
Yurt dışına aktarımın hukuki zemini tek başına açık rıza değildir. Mevzuat, yeterlilik kararı bulunan ülkelere aktarım, uygun güvencelere dayalı aktarım ve istisnai hallerde aktarım şeklinde kademeli bir yapı öngörür. Her kademenin kendi belgesi vardır: taahhütname, standart sözleşme, grup içi bağlayıcı kurallar veya rıza metni. Uygulamada en sık görülen hata, farklı kademelerin belgelerinin karıştırılması ve hiçbirinin eksiksiz tamamlanmamasıdır.
Rızaya Dayanmanın Sınırı
Açık rıza, hizmetin verilmesi için zorunlu bir aktarımda tek dayanak yapıldığında kırılgan kalır; rızanın geri alınması halinde akışın nasıl duracağı teknik olarak planlanmamışsa yükümlülük yerine getirilemez.
Denetimde İstenen Belge Seti
- Güncel kişisel veri işleme envanteri ve VERBİS ekran çıktısı
- Aktarım yapılan her alıcı için imzalı sözleşme veya taahhüt metni
- Aydınlatma metinlerinin sürüm geçmişi ve yayınlandığı tarihler
- Saklama ve imha politikası ile periyodik imha tutanakları
- Erişim yetkileri, log kayıtları ve sızma testi raporları
Sık Görülen Uyumsuzluklar
- Yurt dışında barındırılan e-posta veya CRM hizmetinin aktarım sayılmadığının varsayılması
- Alt yüklenicilerin zincir halinde eklenip kayda yansıtılmaması
- Aydınlatma metninde aktarım amacının genel ifadelerle geçiştirilmesi
- İmha süresi dolan verinin sistemde teknik olarak durmaya devam etmesi
Kapanış
Yukarıdaki çerçeve genel bir uyum haritasıdır. Her kurumun veri akışı, kullandığı yazılımlar ve grup yapısı farklı yükümlülükler doğurur; kendi yapınız için kapsam çalışmasını hukuki destekle yürütmeniz uygun olur.