Veri sorumluları için uyum çalışması çoğu zaman VERBİS kaydıyla başlar; ancak kaydın kendisi tek başına uyumu göstermez. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun ekseninde bu rehber, kayıt yükümlülüğünden yurt dışına aktarım rejimine kadar uzanan zinciri ve itiraz aşamasında sık yapılan merci hatasını ele alıyor.
Kayıt Yükümlülüğü Kimi Kapsıyor?
Veri Sorumluları Sicili'ne kayıt kural olarak zorunludur; ancak işlenen verinin niteliği, çalışan sayısı ve yıllık mali bilanço gibi ölçütlere göre Kurul tarafından belirlenen istisnalar bulunur. İstisna kapsamında olduğu düşünülen kuruluşlarda bile bu değerlendirmenin gerekçesiyle birlikte yazılı hâle getirilmesi, sonraki denetimlerde savunmanın dayanağını oluşturur. Muafiyet ölçütleri Kurul kararlarıyla güncellendiğinden, değerlendirme dönemsel olarak tekrarlanmalıdır.
Kayıt ile Envanterin Uyumu
VERBİS bildirimi, kişisel veri işleme envanteri ile birebir örtüşmelidir. Uygulamada en çok karşılaşılan tutarsızlıklar şunlardır:
- Envanterde yer alan bir veri kategorisinin sicil bildiriminde bulunmaması.
- Saklama sürelerinin politika metni ile bildirimde farklı gösterilmesi.
- Aktarım yapılan alıcı gruplarının eksik bildirilmesi.
- Aydınlatma metninin envanterdeki işleme amaçlarını kapsamaması.
- Bilgi güvenliği tedbirlerinin genel ifadelerle geçiştirilmesi.
Yurt Dışına Aktarımda Sıralı Kontrol
Aktarım rejimi, önce hakkında yeterlilik kararı bulunan ülke, sektör veya kuruluşların varlığının kontrolünü gerektirir. Yeterlilik kararı yoksa, taraflar arasında uygun güvencelerin sağlanması yoluna gidilir; standart sözleşme, bağlayıcı şirket kuralları ve benzeri araçlar bu başlıkta değerlendirilir. Bunların da bulunmadığı hâllerde ancak sınırlı ve arızi nitelikteki istisnalara dayanılabilir. Standart sözleşmenin imzalanmasının ardından Kurul'a bildirim yapılması gerektiği ve bu bildirimin belirli bir süreye bağlandığı gözden kaçırılmamalıdır; güncel süre ve form Kurul duyurularından teyit edilmelidir.
Bulut Hizmetleri ve Gizli Aktarım
Sunucusu yurt dışında bulunan bir hizmet kullanılıyorsa, teknik olarak veri fiziken taşınmasa dahi erişim imkânı aktarım tartışmasını doğurur. Bu nedenle kullanılan yazılım, muhasebe ve iletişim uygulamalarının sunucu konumu envanterde ayrıca gösterilmelidir. Barındırma ve içerik yükümlülükleri bakımından 5651 sayılı Kanun kapsamındaki sorumluluklar da aynı tabloda değerlendirilmelidir.
Yaptırım Kararına Karşı Ne Yapılır?
Kurul kararlarına ve idari para cezalarına karşı başvurulacak yargı yolu, mevzuat değişiklikleriyle güncellenmiş bir konudur. Bu nedenle karar metninde yer alan başvuru yolu ve süre bilgisi esas alınmalı, tereddüt hâlinde güncel kanun metni üzerinden doğrulama yapılmalıdır. Yanlış mercie yapılan başvuru, kısa olan itiraz süresinin geçmesine yol açar. Tebliğ tarihinin ve tebligat evrakının saklanması bu nedenle önem taşır.
Bu metin genel bilgilendirme niteliğindedir. Faaliyet alanı, veri kategorileri ve kullanılan hizmet sağlayıcılar yükümlülüklerin kapsamını değiştirebileceğinden, uyum dosyası hazırlanırken hukuki ve teknik değerlendirmenin birlikte yürütülmesi önerilir.