Veri sorumlusu sıfatı taşıyan işletmeler için uyum yükümlülüğü tek bir kayıttan ibaret değildir. 6698 sayılı KVKK kapsamında VERBİS bildirimi, aktarım hukuka uygunluk temeli ve ilgili kişi başvurularının yönetimi birbirine bağlı üç halkadır. Bu rehber, özellikle yurt dışına veri aktarımı yapan yapılar için uyum adımlarını ve başvuru mercii sıralamasını ele almaktadır.
VERBİS Bildirimi Bir Envanterle Başlar
VERBİS kaydı, sisteme birkaç başlık girmekle tamamlanan bir formalite değildir. Bildirimin dayanağı, kişisel veri işleme envanteridir. Envanter kurulurken her işleme faaliyeti için şu alanlar doldurulmalıdır: veri kategorisi, ilgili kişi grubu, işleme amacı, hukuki sebep, saklama süresi, alıcı grupları ve aktarımın yurt içi mi yurt dışı mı olduğu. VERBİS beyanı ile envanterin çelişmesi, denetim halinde ilk sorulan konudur.
Yurt Dışı Aktarımda Dayanağı Yazılı Kurmak
Bulut hizmetleri, uzaktan destek merkezleri ve grup şirketi paylaşımları çoğu zaman farkında olunmadan yurt dışı aktarım doğurur. Bu nedenle önce şu tespit yapılmalıdır: veri fiilen nerede saklanıyor ve kimin erişimi var? Ardından aktarımın hangi hukuka uygunluk mekanizmasına dayandığı belgelenmelidir. Uygulamada üç nokta ihmal ediliyor:
- hizmet sağlayıcı sözleşmelerinde veri işleyen yükümlülüklerinin yazılı olmaması,
- alt işleyen zincirinin (sunucu, analitik, destek) hiç haritalanmaması,
- aydınlatma metninde aktarımın yurt dışına yapıldığının açıkça belirtilmemesi.
Açık rızaya dayanılıyorsa, rızanın hizmet şartına bağlanmamış ve ayrı alınmış olması gerekir.
Şikayet Zincirinde Sıra Atlamamak
İlgili kişi bir ihlal fark ettiğinde doğrudan Kurula gitme refleksi gösterir. Oysa kural olarak önce veri sorumlusuna başvurulur; ancak bu başvuru reddedilir, yetersiz yanıtlanır ya da süresinde cevaplanmazsa Kurula şikayet yolu açılır. Yanlış merciye başvuru burada iki yönlüdür: ilgili kişi açısından ön başvuru atlandığında şikayet incelenmeyebilir; veri sorumlusu açısından ise Kurul kararına karşı itirazın idari yargıda açılacak iptal davasıyla yapılacağı gözden kaçırılabilir. İdari para cezasına karşı hangi yolun izleneceği, cezanın dayanağına göre ayrıca değerlendirilmelidir.
Denetime Hazır Dosya
- İşleme envanteri güncellenir ve VERBİS beyanıyla karşılaştırılır.
- Aydınlatma metinleri, açık rıza formları ve saklama imha politikası tarihli olarak dosyalanır.
- Yurt dışı aktarım yapılan her sağlayıcı için sözleşme ve dayanak belgesi eşleştirilir.
- İlgili kişi başvuruları için kayıt defteri tutulur; başvuru ve yanıt tarihleri yazılır.
- İhlal bildirimi prosedürü, kimin hangi sürede ne yapacağı belirtilerek yazılı hale getirilir.
Uyum çalışması, işletmenin veri akışına göre farklılaşır. Buradaki açıklamalar genel çerçeve sunar; kendi yapınızdaki aktarım zincirini bir hukukçu eşliğinde çıkarmanız yerinde olacaktır.