Sicile yapılan kayıt, çoğu şirkette bir defaya mahsus idari işlem gibi ele alınır; oysa VERBİS beyanı, şirketin veri işleme faaliyetine ilişkin kendi ifadesidir ve sonraki her incelemede bu ifadenin sahadaki uygulamayla tutarlılığı sorgulanır. Yurt dışı aktarım alanı, tutarsızlığın en görünür hâle geldiği bölümdür. Bu rehber, 6698 sayılı KVKK çerçevesinde aktarım beyanının nasıl doldurulacağını, güncelleme yükümlülüğünün nasıl takip edileceğini ve yazışma adresindeki aksaklıkların sonuçlarını ele alır.
Envanter ile Beyanın Tutarlılığı
Sicile girilen bilgiler, kişisel veri işleme envanterinin özetidir. Envanterde yer almayan bir aktarımın sicilde görünmesi ya da envanterde bulunan bir akışın beyan dışı bırakılması, incelemede ilk fark edilen çelişkidir. Bu nedenle beyan doldurulmadan önce şu eşleştirme yapılmalıdır: her veri kategorisi hangi amaçla işleniyor, hangi saklama süresine tabi, kime aktarılıyor ve bu aktarımın hukuki sebebi nedir.
Aktarım Alanında Sık Yapılan Hatalar
Uygulamada aynı hatalar tekrar eder:
- Bulut tabanlı yazılım kullanımının aktarım sayılmadığı varsayımıyla beyan dışı bırakılması
- Grup şirketleri arasındaki paylaşımın iç işlem olarak görülmesi
- Alıcı grubunun yalnızca hizmet sağlayıcı denilerek belirsiz bırakılması
- Özel nitelikli verilerin aktarımının genel kategoriler içinde eritilmesi
- Uzaktan destek ve bakım hizmetlerinin kayıt dışı kalması
Beyan alanları kısıtlı olduğundan, ayrıntının envanterde saklanması ve talep hâlinde sunulabilir olması gerekir.
Güncelleme Yükümlülüğünün Takibi
Kayıt bir kez yapılıp bırakılamaz; yeni bir yazılım alındığında, hizmet sağlayıcı değiştiğinde veya yeni bir veri kategorisi işlenmeye başlandığında beyanın güncellenmesi gerekir. Bunu sağlamanın pratik yolu, satın alma ve bilgi işlem süreçlerine bir kontrol adımı eklemektir: yeni bir sistem devreye alınmadan önce veri akışına ilişkin form doldurulur ve sicil kaydının güncellenmesi gerekip gerekmediği karara bağlanır. Şirket içi internet altyapısı ve barındırma ilişkileri bakımından 5651 sayılı Kanun kapsamındaki kayıt yükümlülükleri de aynı gözden geçirmede ele alınabilir.
Yazışma Adresi ve Tebligat Gecikmesi
Sicilde ve ticaret kayıtlarında görünen iletişim bilgisi, kuruma yapılacak bildirimlerin ve gelen yazıların ulaştığı adrestir. İrtibat kişisinin görevden ayrılması, kayıtlı elektronik posta kutusunun izlenmemesi veya evrakın merkezden ilgili birime geç iletilmesi, cevap süresinin şirketin haberi olmadan işlemesine yol açar. Bu riski azaltmak için irtibat bilgisi kişisel değil kurumsal bir adrese bağlanmalı, kutu için yedek erişim yetkisi tanımlanmalı ve gelen evrak aynı gün tarihli bir kütüğe işlenmelidir. Evrak geç fark edilmişse tebliğ tarihini gösteren belgeler mutlaka saklanmalıdır.
Bu içerik genel bilgilendirme amaçlıdır. Şirketin faaliyet alanı ve veri akışının yapısı yükümlülüklerin kapsamını değiştirebileceğinden, beyan güncellenmeden önce envanterin bir hukukçu tarafından incelenmesi önerilir.