Uyum çalışmalarında sık yapılan hata, VERBİS kaydını bir formalite, yurt dışına aktarımı ise ayrı bir teknik konu saymaktır. Oysa 6698 sayılı KVKK mantığında ikisi aynı envanterin iki farklı görünümüdür: kayıtta beyan edilen aktarım bilgisi ile fiilen kullanılan altyapı birbirini tutmadığında, uyumsuzluk kurumun kendi beyanıyla ortaya çıkar.
Envanter Olmadan Kayıt Eksik Kalır
Kişisel veri işleme envanteri, VERBİS ekranındaki alanların kaynağıdır. Envanter hazırlanırken hangi veri kategorisinin hangi amaçla, hangi hukuki sebeple işlendiği ve nerede saklandığı tek tabloda görülmelidir. Özellikle bulut tabanlı e-posta, müşteri ilişkileri yazılımı, çağrı kaydı ve analitik araçları çoğu kurumda farkında olmadan yurt dışı aktarımı doğurur. Envanter bu araçları kapsamıyorsa, kayıt da eksik olur.
Aktarımın Hukuki Dayanağını Seçmek
- Aktarımın gerçekten gerekli olup olmadığı sorgulanır; yurt içi alternatif varsa maliyeti karşılaştırılır.
- Aktarımın hangi mekanizmaya dayandığı belirlenir ve yazılı hâle getirilir.
- Alıcı taraf ile imzalanan sözleşmelerdeki veri koruma hükümleri gözden geçirilir.
- Aydınlatma metinleri aktarımı açıkça yansıtacak biçimde güncellenir.
- Alt yüklenici zinciri çıkarılır; alıcının kendi tedarikçilerine aktarımı da haritalanır.
Kayıt ile Sahayı Senkron Tutmak
Uyum tek seferlik bir proje değildir. Yeni bir yazılım satın alındığında, sunucu taşındığında veya bir departman yeni bir hizmet sağlayıcıyla çalışmaya başladığında envanterin güncellenmesi gerekir. Pratik çözüm, satın alma ve bilgi işlem süreçlerine küçük bir kontrol adımı eklemektir: yeni araç devreye alınmadan önce veri kategorisi ve barındırma konumu sorulmadan onay verilmez. Bu adım, sonradan yapılacak toplu düzeltme çalışmasından çok daha az emek gerektirir.
İnceleme Başlarsa: Düzeltme mi, İtiraz mı
Bir şikâyet veya resen inceleme başladığında kurumun önünde iki yaklaşım vardır. Tespit edilen eksiklik gerçekten mevcutsa, savunma sürerken teknik ve idari tedbirleri tamamlayıp bunu belgelemek genellikle daha sağlıklıdır; giderilmiş bir eksiklik ile giderilmemiş bir eksiklik aynı ağırlıkta değerlendirilmez. Tespit hatalıysa, itiraz teknik gerekçelerle ve mimari şemalarla desteklenmelidir. İdari yaptırım kararına karşı yargı yoluna gidilmesi hâlinde ise sürenin dava açma takviminde ayrıca izlenmesi gerekir. 5651 sayılı Kanun kapsamındaki içerik ve trafik kaydı yükümlülükleri varsa, bu hat da ayrıca değerlendirilmelidir.
Yukarıdaki çerçeve genel bilgilendirme amaçlıdır. Kurumun sektörü, veri hacmi ve kullandığı altyapı gereklilikleri değiştirebileceğinden, uyum kararları öncesinde hukuki ve teknik değerlendirmenin birlikte alınması yerinde olur.