Kişisel veri uyumluluğunda en sık görülen tutarsızlık, VERBİS'e bildirilen kayıtla şirketin fiilen yaptığı yurt dışı aktarımın örtüşmemesidir. 6698 sayılı KVKK ve ilgili düzenlemeler ile internet ortamındaki faaliyet bakımından 5651 sayılı Kanun birlikte değerlendirildiğinde, bu tutarsızlığın denetim anında ilk fark edilen unsur olduğu görülür.
Kaydı Envanterle Eşleştirmek
VERBİS bildirimi, kişisel veri işleme envanterinin özetidir. Bu nedenle önce envanterin güncel olması gerekir. Kontrol şu sırayla yapılır: hangi veri kategorileri işleniyor, hangi amaçla, hangi hukuki sebeple, ne kadar süreyle saklanıyor ve kimlere aktarılıyor. Aktarım sütunu doldurulurken çoğu şirket yalnızca yurt içindeki iş ortaklarını yazar; oysa yurt dışında barındırılan bulut hizmetleri, e-posta altyapıları, analiz araçları ve müşteri destek yazılımları da aktarım doğurabilir.
Yurt Dışı Aktarımda Hukuki Sebep Zinciri
- Aktarımın yapıldığı ülke bakımından yeterlilik değerlendirmesinin bulunup bulunmadığı
- Uygun güvencelere dayanılıyorsa, standart sözleşme veya bağlayıcı şirket kuralları gibi araçların imzalı örneği
- İstisnai ve arızi hâllere dayanılıyorsa, bu niteliğin neden var olduğunun yazılı gerekçesi
- Aydınlatma metninde aktarımın açıkça belirtilmiş olması
- Alt işleyenler zinciri: hizmet sağlayıcının kullandığı üçüncü tarafların da kayda geçirilmesi
Her aktarım kalemi için tek bir satırda "kim, nereye, hangi araçla, hangi güvenceyle" bilgisinin bulunduğu bir tablo, denetim anında en hızlı savunma aracıdır.
Şikâyet veya Denetim Hâlinde Savunma Dosyası
Bir ilgili kişi başvurusu ya da inceleme talebi geldiğinde hazırlanacak dosya, iddiaya göre değil sürece göre kurulur: politika ve prosedür belgeleri, imzalı sözleşmeler, teknik ve idari tedbirlerin kanıtı (erişim yetkileri, loglama, şifreleme kayıtları) ve varsa daha önceki ihlal bildirimleri. Belgelerin tarihleri önemlidir; olay tarihinden sonra oluşturulmuş bir politika, o tarihteki uyumu göstermez.
İdari Yaptırıma Karşı Yol Seçimi
İdari para cezası ile karşılaşıldığında iki seçenek değerlendirilir: cezayı kabul edip uyum eksiğini kapatmaya odaklanmak ya da öngörülen itiraz yoluna başvurmak. Karar tebligatında gösterilen başvuru mercii ve süre esas alınmalı; süre tebliğ tarihinden itibaren takip edilmelidir. İtiraz yoluna gidilse dahi, tespit edilen eksikliklerin giderilmesi paralel olarak sürdürülmelidir; aynı eksikliğin tekrarı sonraki değerlendirmelerde ağırlaştırıcı bir unsur olarak okunabilir.
Bu metin genel bilgilendirme amaçlıdır. Şirketin faaliyet alanı, işlenen veri türleri ve kullanılan hizmet sağlayıcılar yükümlülüklerin kapsamını değiştireceğinden, uyum çalışmasının kuruma özgü biçimde yürütülmesi gerekir.