Kişisel veri uyumunda iki başlık, denetim yazışmalarının büyük bölümünü oluşturur: VERBİS kaydının güncelliği ve verinin yurt dışına aktarımının hukuki zemini. 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde bu iki başlık birbiriyle bağlantılıdır; çünkü sicile bildirilen envanter ile fiilen yürütülen aktarım birbirini tutmadığında uyumsuzluk kendiliğinden görünür hâle gelir.
VERBİS Kaydında Sık Görülen Uyumsuzluklar
- Kayıt yapıldıktan sonra yeni işleme faaliyetlerinin sicile yansıtılmaması
- Veri kategorileri ile saklama sürelerinin envanterle çelişmesi
- İrtibat kişisi bilgisinin güncellenmemesi
- Aktarım yapılan alıcı gruplarının eksik gösterilmesi
- Grup şirketleri arasındaki paylaşımın hiç bildirilmemesi
Sicil kaydı bir formalite değil, kurumun beyanıdır. Bu nedenle kayıt güncellemesi, kişisel veri işleme envanteri güncellendiğinde eş zamanlı yapılmalıdır.
Yurt Dışı Aktarımda Zemin Seçimi
Verinin yurt dışına aktarılması, yurt içi işlemeden ayrı bir hukuki temel gerektirir. Bulut hizmeti kullanımı, yurt dışında barındırılan e-posta altyapısı, analitik araçlar ve grup içi insan kaynakları sistemleri çoğu zaman aktarım doğurur; kurumlar bunu bazen aktarım olarak görmez. Uygulamada ilk adım, hangi verinin hangi ülkeye ve hangi sağlayıcıya aktığını gösteren bir akış haritası çıkarmaktır. Zemin seçimi, mevzuatın öngördüğü mekanizmalar arasından somut duruma göre yapılmalı ve gerekli belgeler önceden hazırlanmalıdır.
Aydınlatma ile Açık Rızayı Karıştırmamak
Aydınlatma yükümlülüğü her hâlde yerine getirilmesi gereken bir bilgilendirmedir; açık rıza ise yalnızca belirli hâllerde başvurulan bir hukuki sebeptir. İkisinin aynı metinde birleştirilmesi, rızanın özgür iradeye dayanmadığı eleştirisini doğurur. Metinlerin ayrı düzenlenmesi, rızanın hizmet şartı hâline getirilmemesi ve geri alma yolunun açık bırakılması gerekir.
Denetim ve İdari Yaptırım Sürecinde Usul
Kuruma yapılan bir şikâyet ya da resen başlatılan inceleme sonrasında bilgi ve belge talebi gelir. Bu yazıya verilecek cevabın süresi ve içeriği, sürecin geri kalanını belirler. Cevapta yalnızca sorulanla yetinilmeli, ancak kurumun aldığı teknik ve idari tedbirler somut biçimde gösterilmelidir. Verilen idari para cezasına karşı yargı yolu açıktır; bu aşamada dosyaya sunulacak belgelerin cevap yazısıyla çelişmemesi kritik önemdedir.
Uyum Takvimini Kuruma Yerleştirmek
Uyum, tek seferlik bir proje değil süreklilik gerektiren bir işleyiştir. Envanter gözden geçirme, saklama sürelerinin dolduğu verilerin imhası, sözleşmelerdeki veri hükümlerinin yenilenmesi ve çalışan farkındalık eğitimleri takvime bağlandığında denetim anında sunulacak bir kanıt seti de kendiliğinden oluşur.
Buradaki açıklamalar genel çerçeve sunar; kurumun faaliyet alanı, veri hacmi ve kullandığı altyapı gerekli adımları değiştirebilir. Aktarım yapıları kurgulanmadan önce mevzuatın güncel hâlini kontrol etmek ve hukuki görüş almak yerinde olacaktır.