Veri sorumlusu sicilindeki kayıt bilgileri ile şirketin fiilen yaptığı yurt dışı aktarımların örtüşmemesi, denetim anında en hızlı fark edilen uyumsuzluklardan biridir. Bu rehber, VERBİS kaydını yurt dışına aktarım gerçeğiyle hizalamanın pratik adımlarını ve gecikmenin nerede telafisi güç hale geldiğini anlatıyor.
Kaydın Beyan Değil, Envanterin Aynası Olması
VERBİS bildirimi çoğu şirkette bir kez doldurulup unutulan bir form gibi ele alınır. Oysa bildirim, kişisel veri işleme envanterinin dışa dönük özetidir. Envanter güncellenmeden yapılan bildirim, ilk incelemede beyan ile fiili durum arasında çelişki yaratır.
- İşleme amaçları ile kayıtlı amaç başlıklarının birebir karşılaştırılması
- Veri kategorileri: özel nitelikli veri işleniyorsa bunun ayrıca görünüyor olması
- Saklama sürelerinin gerçekten uygulanıp uygulanmadığı, imha kayıtlarının varlığı
- Aktarım yapılan alıcı gruplarının, bulut hizmeti kullanılıyorsa sunucu konumunun netliği
Yurt Dışı Aktarımı Fark Etmeden Yapmak
Uygulamadaki en yaygın hata, aktarımın "veri gönderme" olarak dar yorumlanmasıdır. Yurt dışında konumlu bir e-posta altyapısı, müşteri destek yazılımı, muhasebe bulutu, analitik aracı veya grup şirketinin ortak insan kaynakları sistemi kullanılıyorsa ortada aktarım vardır. Şirketlerin ciddi bölümü bu tür araçları bilgi teknolojileri kararıyla devreye alır ve hukuk tarafı olaydan sonradan haberdar olur. Bu nedenle uyum çalışmasının başlangıcı hukuk metinleri değil, kullanılan yazılımların ve tedarikçilerin dökümüdür.
Aktarım Meşruiyetinin Kurgulanması
6698 sayılı KVKK, yurt dışına aktarımı belirli koşullara bağlar. Uygulamada yapılması gereken, her aktarım kalemi için hangi hukuki zemine dayanıldığının ayrı ayrı yazılı hale getirilmesidir. Tek bir genel açık rıza metniyle tüm aktarımların kapatılmaya çalışılması, hem rızanın özgür iradeye dayanması ölçütü hem de aktarımın kapsamı bakımından tartışmaya açıktır. Aktarım kalemleri; alıcı, ülke, veri kategorisi, amaç ve dayanak sütunlarıyla tablolaştırıldığında hem eksikler hem de gereksiz aktarımlar görünür hale gelir. Elektronik ortam sağlayıcıları söz konusu olduğunda 5651 sayılı Kanun kaynaklı trafik bilgisi yükümlülüklerinin de bu tabloya işlenmesi gerekir.
Gecikmenin Telafisi Güç Hale Geldiği Noktalar
- Kayıt yükümlülüğü doğduktan sonra bildirime hiç başlanmaması
- Yeni bir yurt dışı hizmet sağlayıcısına geçildiği halde kaydın güncellenmemesi
- Bir ilgili kişi başvurusu geldikten sonra envanterin aceleyle oluşturulması
- İhlal bildirimi gündeme geldiğinde kayıt ile fiili durumun çelişkili görünmesi
Sürdürülebilir Uyum İçin Kontrol Ritmi
Uyumu tek seferlik proje olarak kurgulamak yerine, tedarikçi değişikliği ve yeni yazılım devreye alma süreçlerine bir kontrol adımı eklemek daha gerçekçidir. Yeni bir araç satın alınırken "veri nereye gidiyor" sorusunun cevabı alınmadan sözleşme imzalanmaması, sonradan yapılacak düzeltmelerin çoğunu gereksiz kılar.
Bu metin genel bilgilendirme amacı taşır. Şirketinizin ölçeği, sektörü ve kullandığı altyapı, yükümlülüklerin kapsamını değiştirebilir; somut uyum planı için hukuki destek almanız önerilir.