KVKK Bir Bütün Müdür? Sadece VERBİS Kaydı Yeterli mi?

İş dünyasında ve sağlık kuruluşlarında danışmanlık görüşmelerimizde en sık karşılaştığımız cümle şudur: "Biz VERBİS kaydımızı geçen yıl yaptırdık, bizim KVKK işimiz tamamlandı." Oysa bu yaklaşım, şirketleri denetimlerde en ağır idari para cezalarına sürükleyen bir yanılsamadan ibarettir.

1. KVKK Bir Çınar Ağacıdır: VERBİS Sadece Bir Daldır

KVKK uyum sürecini görkemli ve köklü bir çınar ağacına benzetebiliriz:

• Kökler: Şirketinizin organizasyon yapısı, veri koruma bilinci ve kurumsal kültürüdür.
• Gövde: Kişisel Veri İşleme Envanteridir. Tüm sistem bu gövde üzerinden beslenir.
• Dallar: Aydınlatma Metinleri, Açık Rızalar, Saklama ve İmha Politikaları, Teknik Güvenlik Tedbirleri ve en nihayetinde VERBİS Kaydıdır.

Nasıl ki gövdesi ve kökleri olmayan bir dal tek başına havada asılı kalamaz ve kurursa; veri envanteri, aydınlatma metinleri ve teknik tedbirleri olmayan bir VERBİS kaydı da yasal olarak hiçbir koruma sağlamaz.

2. Sadece VERBİS Yaptırıp Diğer Adımları İhmal Edenleri Neler Bekliyor?

Bir çalışanın işten ayrılırken şikayette bulunması, bir müşterinin Kuruma başvurması veya Kurulun resen denetim başlatması durumunda Kurum müfettişlerinin sorduğu ilk sorular şunlardır:

• "VERBİS'e şu veri kategorisini beyan etmişsiniz; bu veriyi işlerken ilgili kişiye sunduğunuz Aydınlatma Metnini gösteriniz."
• "Şu departmanda işlediğiniz veriye dayanak olan Kişisel Veri Envanteri kopyanızı ibraz ediniz."
• "Bu verileri 5 yıl saklayacağınızı beyan etmişsiniz; 5 yılı dolduran verileri sildiğinizi kanıtlayan İmha Tutanağını sununuz."
• "Sistemlerinizde alınan Teknik ve İdari Tedbirleri (güvenlik duvarı raporları, log kayıtları, personel eğitim tutanakları) iletiniz."

Eğer şirketinizde bu belgeler yoksa veya VERBİS'teki beyanlarla birbiriyle çelişiyorsa, "Kayıtlı olmanıza rağmen gerçeğe aykırı beyanda bulunmak" ve "Veri güvenliği yükümlülüklerini yerine getirmemek" kabahatlerinden dolayı çok daha ağır cezalar uygulanır.

3. Tam Uyum İçin Olması Gereken Unsurlar

Şirketinizin ceza riskinden %100 arınması için aşağıdaki zincirin eksiksiz kurulması şarttır:

1. Kişisel Veri İşleme Envanteri: Departman bazlı veri haritası.
2. VERBİS Bildirimi: Envanterin resmi sicile aktarılması.
3. Aydınlatma Metinleri: Müşteri, personel, tedarikçi ve web sitesi için özel aydınlatmalar.
4. Açık Rıza Prosedürleri: Kanunen açık rıza gerektiren hallerde ispatlanabilir onay mekanizmaları.
5. Gizlilik Sözleşmeleri & Taahhütler: Çalışanlar ve veri aktarılan üçüncü taraflarla yapılan sözleşmeler.
6. Veri Saklama ve İmha Politikası: Periyodik imha takviminin işletilmesi.
7. Teknik Tedbirler: Yetki matrisi, güncel antivirüs/firewall, güçlü parola politikaları ve erişim logları.