17. Veri koruma yönetimi, envanter ve VERBİS

Bir kurumun kişisel verilerle ilgili kararları, günlük işleyişte farklı kişilerin ve sistemlerin elinden geçer. Hukuki kuralların uygulanabilmesi, amaç ve veri akışının bilinmesine, görevlerin belirlenmesine ve değişikliklerin izlenmesine bağlıdır. Veri koruma yönetimi; envanter, Sicil, aydınlatma ve saklama kararlarını bu işleyiş içinde bir araya getirir. Kurumun ölçeği kullanılan yöntemi etkiler; işlemenin hukuki dayanağı ve kişinin hakları ise değerlendirmenin ortak hareket noktasıdır.

17.1. Kurumsal görev dağılımı, yönetimin sorumluluğu ve uyumun sürdürülmesi

Bir kliniğin hasta kayıt yazılımını dışarıdan aldığı ve aydınlatma metnini bir danışmana hazırlattığı varsayılsın. Yazılımın değişmesi, yeni bir personelin göreve başlaması veya hastanın kaydına ilişkin talepte bulunması hâlinde kararın kim tarafından verileceği yine belirlenmelidir. Metin ve hizmet satın alınması, bu günlük soruları kendiliğinden çözmez. Veri koruma yönetimi, hukuki yükümlülüklerle kurumun karar, uygulama ve haberleşme düzeni arasında bağlantı kurar.

Tüzel kişi bakımından başlangıç, veri sorumlusunun tüzel kişiliğin kendisi olmasıdır. Veri Sorumluları Sicili Hakkında Yönetmelik’in 11. maddesi, Türkiye’de yerleşik tüzel kişinin yükümlülüklerinin onu temsil ve ilzama yetkili organ veya ilgili mevzuatta belirtilen kişiler aracılığıyla yerine getirileceğini düzenler. Yetkili organ bir veya birden fazla kişiyi görevlendirebilir; ancak görevlendirme tüzel kişinin sorumluluğunu ortadan kaldırmaz. Dolayısıyla görev dağılımı, sorumluluğu kurumdan çıkaran genel bir devir işlemi olarak kurulamaz.¹

İrtibat kişisinin atanması da bütün kararların bu kişiye bırakıldığı anlamına gelmez. Yönetmelik, irtibat kişisinin veri sorumlusunu temsile yetkili olmadığını açıkça belirtir. Sicil ve Kurumla iletişim göreviyle, hangi verinin hangi amaçla işleneceğine veya güvenlik için hangi erişimin açılacağına karar verme yetkisi ayrılmalıdır. 6.7’de açıklanan temsil ve irtibat ayrımı, burada görevlerin birbirini tamamlaması bakımından önem taşır: bir yazının alınması, içeriğine ilişkin kararın doğru yetkiliye ulaşmasını da gerektirir.²

Uygulamada görev düzeni, yalnız kişi adlarının bulunduğu bir listeyle sınırlanmamalıdır. Hangi kararın kim tarafından verileceği, kararı kimin uygulayacağı ve uygulamanın nasıl kontrol edileceği birlikte gösterilebilir. Klinik örneğinde hasta kaydının düzeltilmesi talebini kabul eden birimle yazılımda değişikliği yapan personel farklı olabilir. Ancak aralarındaki akış belirsizse talep cevapsız kalabilir veya yetkisiz değişiklik yapılabilir. Kanun’un güvenlik ve denetim ödevi, bu işleyişin yalnız teknik araca veya yalnız hukuk metnine bırakılmamasını gerektirir.³

Yönetimin rolü de bu düzeni onaylayan bir imzadan ibaret görülmemelidir. Görevlendirilen kişinin gereken bilgiye ulaşamaması, uygulamaya ilişkin yetkisinin bulunmaması veya farklı birimlerin birbiriyle çelişen talimatlar vermesi, görev dağılımının fiilen işlemesini güçleştirir. Kurumun işleyişine uygun politika ve prosedürler, bu bağlantıları kurmalıdır. Burada her kuruluşa aynı kurul, aynı unvan veya aynı sayıda çalışan öngörülmemektedir; seçilen düzenin somut faaliyet ve yükümlülükleri yerine getirebilmesi önemlidir.⁴

Kaya, hesap verebilirlik yaklaşımını açıklarken politika, insanlar ve süreçler arasında sürekli işleyen bir bağlantının kurulmasını vurgular. Bu görüş, uyumu tek seferlik belge hazırlığı olarak görmenin sınırını gösterir. Bununla birlikte hesap verebilirlik altında tartışılan her uluslararası araç, Türk hukukunda aynı ad ve kapsamla zorunlu hâle gelmiş sayılmaz. Kanuni yükümlülük, onu somutlaştıran kurum düzeni ve daha ileri iyi uygulama önerisi ayrı gösterilmelidir. Böylece kurumun gerçekten yapmak zorunda olduğu işlemlerle tercih edebileceği yönetim yöntemleri karışmaz.⁵

Uyumun sürdürülmesi, kurumun değiştiğini de kabul etmeyi gerektirir. Yeni yazılım, farklı veri alıcısı veya personelin görev değişikliği, eski metinde ve yetki düzeninde karşılığı bulunmayan bir veri akışı doğurabilir. Bu değişikliğin ilgili görevliye ulaşması, hukuki ve teknik sonuçlarının değerlendirilmesi ve gerekli güncellemenin uygulanması gerekir. Rehberin düzenli kontrol, belgeleme ve güncelleme açıklaması bu sürekliliği destekler; geçmişte hazırlanmış dosyanın bulunması, bugünkü işleyişin de aynı olduğunu göstermez.⁴

Görev dağılımının somutlaşabilmesi için kurumun hangi süreçte hangi veriyi topladığı, kullandığı ve aktardığı bilinmelidir. Kliniğin hasta kabulü, tedavi, ödeme ve personel işlemleri tek bir “veri işleme” satırına indirgenirse, farklı amaç ve erişimler görünmez kalabilir. Bu nedenle bir sonraki adım, süreçlerin ve veri akışlarının çıkarılmasıdır. Envanter, görev düzeniyle birlikte okunabildiğinde kararın dayandığı bilgi ile günlük uygulama arasındaki bağ kurulabilir.

17.2. Süreçlerin ve veri akışlarının çıkarılması; envanterin hazırlanması

Bir kliniğin bilgisayarında “hasta verileri” adlı bir klasörün bulunması, bütün işleme faaliyetini açıklamaz. Aynı kişiye ait iletişim bilgisi randevu için, sağlık bilgisi tedavi için, ödeme kaydı ise farklı bir işlem için kullanılabilir. Bazı bilgiler yazılımda, bazıları basılı belgede veya hizmet sağlayıcıya gönderilmiş bir dosyada kalabilir. Süreç ve veri akışı incelemesi, bu bilgilerin hangi iş yapılırken elde edildiğini, kimlerce kullanıldığını ve nereye gittiğini görünür kılar.

Kişisel veri işleme envanteri bu incelemeyi hukuki alanlarla ilişkilendirir. Sicil Yönetmeliği’nin tanımında faaliyetlerin iş süreçlerine bağlı olması; amaç, hukuki sebep, veri kategorisi, alıcı ve kişi gruplarıyla ilişkilendirilmesi; süre, yabancı ülkelere aktarım ve güvenlik tedbirleriyle detaylandırılması öngörülür. Yönetmelik, Sicile kayıtla yükümlü veri sorumlularının envanter hazırlamasını ve Sicil bilgilerinin buna dayanmasını ister. Bu nedenle envanter yalnız kullanılan yazılımların veya elde tutulan dosyaların adlarının sıralanması değildir.⁶

İncelemeye kurumun yaptığı işten başlanması yararlıdır. Hasta kabulü, tedavi, ödeme, personel yönetimi ve tedarik gibi süreçler belirlendikten sonra, her süreçte kişisel veri içeren hangi bilgi ve belgelerin kullanıldığı araştırılabilir. Kurumun envanter rehberi de süreç ve faaliyet bazında tespiti, yalnız genel veri kategorisinin seçilmesinden ayırır. Bu yaklaşımda bilgi işlem birimi kullanılan sistemi, ilgili iş birimi ise verinin neden ve nasıl kullanıldığını açıklayabilir; tek bir birimin bilgisi bütün akışın yerine geçmeyebilir.⁷

Verinin hareketi yalnız kurum dışına gönderim olarak düşünülmemelidir. Hangi kaynaktan elde edildiği, hangi birim veya görevlinin eriştiği, başka ortama kopyalanıp kopyalanmadığı ve bir sağlayıcının işlemine girip girmediği de izlenmelidir. Kurum içindeki ekran erişimiyle ayrı bir tüzel kişiye aktarımın hukuki niteliği aynı olmasa da her iki akışın görülmesi gerekir. Aynı amaçla kullanılan ana sistem, çalışan tablosu ve basılı form arasında bağlantı kurulmazsa, envanter fiilen kullanılan kopyaları dışarıda bırakabilir. Bu anlatım, her kuruluşa tek tip şema çizme zorunluluğu değil, faaliyeti doğru belirleme ihtiyacını ifade eder.⁸

Envanter ile VERBİS kaydı da aynı ayrıntı düzeyinde değildir. Kurumun rehberi, VERBİS’e kategoriler üzerinden bilgi girildiğini; envanterin ise kurumun süreç ve faaliyetlerini daha ayrıntılı açıklamasını belirtir. Rehber ayrıca envanterin belirli bir dosya biçimine bağlanmadığını açıklar. Kaya da Sicilin kategorik yapısının tam bir hesap verebilirlik değerlendirmesine tek başına yetmeyeceğini, doğru ve güncel ana envanterin önemini vurgular. Dolayısıyla VERBİS ekranına girilmiş genel başlıkların bulunması, bütün kurum içi akışların tespit edildiğini göstermez.⁹

Bu ayrıntı ihtiyacı, bütün kişilerin tekil dosyalarının envantere yeniden kopyalanması şeklinde anlaşılmamalıdır. Örneğin sağlık verisinin hangi süreçte, hangi amaç ve erişim düzeniyle işlendiğinin gösterilmesiyle, bütün hastaların sağlık dosyalarının yeni bir tabloda toplanması farklıdır. Envanterin işleme faaliyetini açıklaması gerekir; hazırlanması sırasında işlenen kişisel veriler de genel ilkelere ve güvenliğe tabidir. İncelemenin kendisi, gereksiz yeni veri kopyaları üretme gerekçesi yapılmamalıdır.¹⁰

Aynı veri türünün birden fazla süreçte görünmesi ise her zaman hatalı tekrar değildir. Randevu iletişimiyle çalışan iletişim bilgisi aynı “iletişim” kategorisine girebilir; fakat kişi grubu, amaç, erişim ve saklama koşulları farklıdır. Rehber, aynı kişisel verinin farklı faaliyetlerde farklı amaç veya sürelerle işlenebilmesi nedeniyle bu ayrıntıların süreç bazında korunmasını önerir. Tekilleştirme yapılırken faaliyetler arasındaki hukuki farkın silinmemesi gerekir.⁷

Hazırlanan kaydın değeri, kurumun gerçek işleyişini ne ölçüde açıkladığıyla ilgilidir. Bir tablodaki her alanın dolu olması, o alana yazılan hukuki sebebin veya sürenin doğru olduğunu kendiliğinden kanıtlamaz. Süreç ve akış tespiti, bir sonraki değerlendirme için gerekli zemini sağlar: her faaliyetin amacı, hukuki sebebi, ilgili kişisi, alıcısı ve saklama süresi birbiriyle uyumlu olarak eşleştirilmelidir. Bu eşleştirme, envanterin yalnız mevcut uygulamayı kaydetmesini değil, uygulamanın hukuki sınırlarını da görünür kılmasını sağlar.

17.3. Amaç, hukuki sebep, ilgili kişi, alıcı ve saklama süresi eşleştirmesi

Envanterde “müşteri verileri — sözleşme — on yıl” yazılması, hangi işlemin neden yapıldığını anlamaya yetmez. Varsayımsal bir satıcının siparişi teslim etmek için müşterinin adını, adresini ve iletişim bilgisini kullandığı düşünülsün. Bu faaliyetin amacı teslimatın gerçekleştirilmesidir; hukuki sebebi ise sözleşmenin ifasıyla doğrudan ilgili olan gerekli işlemenin hangi şartları taşıdığı sorusuyla belirlenir. Aynı iletişim bilgisinin reklam için kullanılması, teslimat satırına eklenerek kendiliğinden hukuka uygun hâle gelmez. Envanterdeki eşleştirme, işin adını kişisel verinin kullanılabileceği sınırsız bir yetkiye dönüştürmemelidir.¹¹

Amaç, verinin hangi sonuç için işlendiğini; hukuki sebep, bu işlemenin hangi kanuni şarta dayandığını gösterir. “Sözleşme” veya “hukuki yükümlülük” ifadelerini bütün satırlara kopyalamak, şartın somut olayda gerçekleştiğini açıklamaz. Teslimat örneğinde müşterinin sözleşmenin tarafı olup olmadığı, kullanılan verinin ifayla doğrudan ilişkisi ve gerekliliği değerlendirilmelidir. Hukuki yükümlülüğe dayanıldığında ise yükümlülüğün hangi düzenlemeden doğduğu ve kişisel veri işlemenin onu yerine getirmek için neden zorunlu olduğu belirlenmelidir. Kurumun rehberi de her kişisel veri bakımından işleme şartı ile amacın ayrı tespitini ister. Envanter, eksik şartı tamamlayan bir izin belgesi değildir.¹²

Kişi grubu ile veri kategorisi de farklı soruları cevaplar. “Müşteri” verisi işlenen kişilerin grubunu; “iletişim” verinin ortak özelliğini; belirli teslimat adresi ise faaliyette kullanılan somut bilgi türünü gösterir. Siparişi veren kişiyle teslim alacak kişinin farklı olduğu durumda, sözleşmeye ilişkin değerlendirme her iki kişi için aynı varsayımla yapılamaz. Ayrıca müşteriye ilişkin her kayıt genel nitelikli değildir. Sağlık bilgisi gibi özel nitelikli bir veri işleniyorsa, yalnız 5. maddedeki genel şartın adıyla yetinilemez; 6. maddenin uygulanabilir şartı ve ek önlemler ayrıca değerlendirilir. Böylece kişi grubuna verilen genel ad, verinin niteliğini ve koruma düzeyini örtmez.¹³

Alıcı alanı, bilginin kimlere açıklandığını hukuki değerlendirmeye bağlar. Teslimatı gerçekleştirecek ayrı bir taşıma şirketine adres gönderiliyorsa, hangi verilerin gönderildiği, gönderimin amacı ve alıcının rolü belirlenmelidir. “Tedarikçi” kategorisinin seçilmesi, her tedarikçiye bütün müşteri dosyasının açıklanmasını haklı kılmaz. Alıcının veri işleyen veya bağımsız veri sorumlusu olması da yalnız sözleşmedeki başlıktan çıkarılmaz; 6. bölümdeki fiilî amaç ve araç değerlendirmesi korunur. Yurt içi aktarımda 8. madde, yurt dışına aktarım varsa ayrıca 9. maddenin rejimi incelenir. Yabancı ülkedeki alıcının envanterde gösterilmesi, gerekli aktarım şartlarının yerine geçmez.¹⁴

Süre alanının doldurulması da bir sayı seçmekten önce hukuki gerekçe kurmayı gerektirir. İlgili kayıt için uygulanacak mevzuat süresi, sürenin bağlandığı olay ve işleme amacının devamı birlikte belirlenmelidir. Teslimatın tamamlanmasından sonra bir hakkın korunması veya hukuki yükümlülük için belirli kayıtların tutulması gerekebilir; fakat bu ihtimal, bütün müşteri dosyasının bütün amaçlarla kullanılmaya devam edilmesini açıklamaz. Hangi bilginin hangi devam eden sebep için tutulduğu ayrılmalıdır. Saklamayı gerektiren sebeplerin ortadan kalkması hâlinde Kanun’un 7. maddesi uygulanır; ilk toplamanın hukuka uygun olması süresiz muhafaza yetkisi vermez.¹⁵

Sicil Yönetmeliği’nin 9. maddesi, sürelerin veri kategorileriyle eşleştirilerek bildirilmesini düzenler. Bir kategoride amaçlar ve süreler farklıysa, mevzuatta öngörülmüş azami süre; böyle bir süre yoksa bunların en uzunu Sicil bildirimi bakımından esas alınır. Bu bildirim yöntemi, daha kısa süreye tabi her faaliyetin kaydını en uzun süreye kadar tutma yetkisi olarak okunamaz. Nitekim rehber de aynı kişisel veri için farklı süreçlerde farklı saklama sürelerinin belirlenebileceğini açıklar. Envanterde süreç ayrıntısının korunması, kategorik Sicil bilgisiyle somut saklama kararının birbirine karışmasını önler.¹⁶

Bu tablo, tamamlanmış bir şirket envanteri değil, alanlar arasındaki bağın nasıl sorgulanabileceğini gösteren bir örnektir. Faaliyetin gerçek içeriğiyle bu alanlardan biri uyuşmuyorsa, çözüm yalnız tabloyu daha geniş ifadelerle doldurmak değildir. Örneğin teslimat için gerekmeyen verinin toplanması veya taşıyıcıya gereğinden fazla bilgi gönderilmesi, ilgili sürecin de düzeltilmesini gerektirir. Eşleştirme bu yönüyle mevcut uygulamayı tarif etmenin yanında, amaç, gereklilik, aktarım ve süre sınırlarının birlikte görülebildiği bir yönetim aracıdır.

17.4. VERBİS kapsamı, kayıt istisnaları ve kayıt/güncelleme süreçleri

Bir işletmenin Sicilde görünmemesi iki farklı durumu ifade edebilir: işletme kayıt yükümlülüğünden istisna olabilir veya yerine getirmesi gereken kaydı yapmamış olabilir. Bu nedenle değerlendirmeye Sicil sorgusunun sonucundan değil, faaliyetin ve veri sorumlusunun hukuki durumundan başlanır. Kanun’un 16. maddesi, kişisel veri işleyen gerçek ve tüzel kişiler için işlemeye başlamadan önce kayıt kuralını kurar; Kurula objektif ölçütlerle istisna belirleme yetkisi verir. Türkiye’de yerleşik olmayan veri sorumluları bakımından da Yönetmelik, veri sorumlusu temsilcisi aracılığıyla kayıt öngörür. Yerleşim, faaliyet ve uygulanabilir istisna birlikte incelenmeden yalnız işletmenin büyüklüğünden sonuç çıkarılamaz.¹⁷

Sicil istisnasıyla Kanun’un uygulanmaması aynı değildir. Kanun’un 28. maddesindeki tam ve kısmi istisnalar kendi koşullarıyla değerlendirilir. Özellikle ikinci fıkrada belirli faaliyetler için 16. maddenin uygulanmaması, Kanun’un amacına ve temel ilkelerine uygunluk ve orantılılık koşuluna bağlıdır. Kurulun kayıt istisnası ise Sicile ilişkin yükümlülüğü sınırlar; Yönetmelik’in 5. maddesi, 28. madde saklı kalmak üzere diğer kanuni yükümlülüklerin devamını açıkça belirtir. Küçük bir işletmenin Sicile kayıt yaptırmaması, aydınlatma, uygun işleme şartı veya güvenliğin gereksiz olduğu anlamına gelmez.¹⁸

Kurul kararları, farklı türde istisnalar getirmiştir. Örneğin yalnız otomatik olmayan yollarla veri kayıt sisteminin parçası olarak kişisel veri işleyenlere ve belirli meslekleri yürütenlere ilişkin istisnalarla, çalışan sayısı ve mali bilanço toplamına dayanan istisna aynı koşullara sahip değildir. Bir avukatın mesleki faaliyeti için öngörülen istisna, ayrı bir şirketin her faaliyetinin de istisna olduğu sonucunu doğurmaz. Önce veri sorumlusunun kimliği, ardından dayanılan kararın kapsamı belirlenmelidir. Bütün istisnaları tek bir “küçük işletme muafiyeti” başlığı altında toplamak, bu farkları kaybettirir.¹⁹

Sayısal ölçütler bakımından ana faaliyet konusu ayrıca önem taşır. Özel nitelikli veriyle herhangi bir biçimde karşılaşmakla, ana faaliyet konusunun bu verileri işlemek olması aynı değildir. Kurul, 2025 yılında ana faaliyet konusu özel nitelikli veri işleme olan belirli küçük ölçekli veri sorumlularını da çalışan ve bilanço ölçütleriyle istisnaya dahil etmiştir. Dolayısıyla bu alanda faaliyet gösteren her veri sorumlusunun büyüklüğüne bakılmaksızın mutlaka kayıt yükümlüsü olduğu yönündeki eski genelleme kullanılamaz. Güncel sayısal sınırlar ve uygulama ayrımı, 23 Ekim 2026 tarihli Sicil eşiği tablosunda gösterilmiştir.²⁰

Ölçütlerin uygulanmasında bilanço toplamıyla gelir veya ciro da karıştırılmamalıdır. Kurumun yayımladığı uygulama açıklamasında, bilanço esasına göre defter tutanlar bakımından çalışan sayısı ve bilanço ölçütlerinin birlikte dikkate alınması; bu esasa göre defter tutmayanlarda ise bilanço toplamı bilgisi bulunmadığından yalnız çalışan sayısının esas alınması kabul edilmiştir. Bu son durumda bulunmayan bilanço bilgisini sıfır sayıp iki ölçütü sağlanmış göstermek doğru bir açıklama değildir. İstisnanın gerekçesi, veri sorumlusunun tabi olduğu uygulama düzenine bağlanmalıdır.²¹

Kayıtla yükümlü veri sorumlusu, envantere dayanan bildirimini VERBİS üzerinden yapar. Yönetmelik’in 10. maddesi, 9. maddede belirtilen bilgilerin sisteme yüklenmesiyle kayıt yükümlülüğünün yerine getirilmiş sayılacağını düzenler. Bu bildirim, kişisel verilerin işlenmesi için verilmiş genel bir uygunluk ruhsatı değildir. Bilgilerin eksiksiz, doğru, güncel ve hukuka uygun olmasının sorumluluğu veri sorumlusunda kalır. Sicile kayıt, işleme şartını, aktarım güvencesini veya fiilen uygulanması gereken güvenlik tedbirini ikame etmez.²²

Sonradan kayıt yükümlüsü hâline gelen veri sorumlusu, Yönetmelik’in 8. maddesine göre yükümlülük altına girmesini izleyen otuz gün içinde kaydolur. Fiilî, teknik veya hukuki imkânsızlık hâlinde ek süre kendiliğinden doğmaz: imkânsızlığın ortaya çıkmasından itibaren en geç yedi iş günü içinde gerekçeli yazılı başvuru gerekir; Kurum bir defaya mahsus ve otuz günü geçmeyen ek süre verebilir. Dönemsel özel uzatma kararları ise yalnız belirtilen veri sorumluları ve dönem için okunmalıdır. Geçmiş bir yılın genel kayıt takvimi, daha sonra doğan her yükümlülüğün başlangıç tarihi yapılamaz.²³

Kayıt tamamlandıktan sonra da işleme faaliyeti değişebilir. Kanun değişikliklerin derhâl bildirilmesini, Yönetmelik ise Sicildeki bilgilerin değişmesinden itibaren yedi gün içinde VERBİS üzerinden bildirim yapılmasını düzenler. Kurumun değişikliği fark etmesini sağlayan iç haberleşme, bu nedenle kayıt kadar önemlidir. Kayıt yükümlülüğünü gerektiren faaliyetin sona ermesi veya ortadan kalkması hâlinde silinme için başvurulur; Sicil kaydının silinmesi, kayıtlı olunan dönemdeki yükümlülükleri ortadan kaldırmaz. Kurum içi kayıtlar, kamuya açıklanan bilgiler ve fiilî uygulama arasındaki tutarlılık bu sürekliliğin bir sonraki unsurudur.²⁴

17.5. Envanter, aydınlatma, saklama politikası ve fiilî uygulama tutarlılığı

Bir kliniğin aydınlatmasında randevu bilgilerinin yalnız kurum içinde kullanıldığı açıklanırken, randevu yazılımının bu bilgileri dış hizmet sağlayıcısına gönderdiği varsayılsın. Envanterin de yalnız iç kullanımı göstermesi, belgeleri birbirleriyle uyumlu kılabilir; fakat gerçek akışla aralarındaki çelişkiyi ortadan kaldırmaz. Tutarlılık incelemesinin hareket noktası, belgelerin aynı ifadeleri kullanması kadar, işlemeyi doğru ve hukuka uygun olarak açıklayıp açıklamadıklarıdır. Yanlış bir bilginin bütün belgelere kopyalanması, doğruluk sağlamaz.²⁵

Envanter, aydınlatma ve saklama politikası aynı işlevi görmez. Envanter kurumun faaliyetini süreç ve veri alanlarıyla ayrıntılandırır. Aydınlatma, ilgili kişinin verisine ne yapıldığını ve haklarını anlayabilmesini sağlar. Saklama ve imha politikası ise kapsamındaki ortamlar, saklama ve imha sebepleri, görevler, yöntemler ve süreler arasında uygulama bağı kurar. Bu işlevler nedeniyle bütün belgelerin aynı uzunlukta olması veya aynı tabloyu içermesi beklenmez. Uyum, ortak konuya ilişkin bilgilerin birbirini yanlışlamaması ve her belgenin kendi hukuki işlevini yerine getirmesidir.²⁶

Sicil Yönetmeliği, aydınlatma, ilgili kişi başvuruları ve açık rızanın kapsamı bakımından envantere dayalı Sicil bilgilerini esas alır. Aydınlatma Tebliği de kayıt yükümlülüğü varsa kişiye verilecek bilgilerin Sicile açıklanan bilgilerle uyumlu olmasını ister. Bununla birlikte kategorik Sicil ifadelerinin kişiye aynen aktarılması her zaman yeterli değildir. Aydınlatmada amaç ve hukuki sebebin açık olması; aktarım amacı ve alıcı gruplarının belirtilmesi; yanlış, eksik veya yanıltıcı bilgi bulunmaması gerekir. Envanterden yararlanmak, kişinin anlayamayacağı iç süreç tablosunu ona sunmakla özdeş değildir.²⁷

Saklama politikasında yazılı süreyle sistemde uygulanan sürenin karşılaştırılması da aynı nedenle gereklidir. Politikada belirli kayıtların imha edileceğinin açıklanması, bu kayıtların yazılımda ve diğer kayıt ortamlarında gerçekten aynı kurala tabi olduğunu göstermez. İmha Yönetmeliği bunu açık bir ayrımla düzenler: politikanın hazırlanmış olması, saklama ve imhanın mevzuata uygun yapıldığı anlamına gelmez. Politika kapsamındaki görevlinin, işlemin ne zaman ve hangi yöntemle yapılacağını bilmesi; uygulamanın bu kararı gerçekleştirebilmesi gerekir. Sürelerin ve periyodik imhanın ayrıntıları 14. bölümdeki ayrımlar korunarak işletilmelidir.²⁸

Bir çelişki bulunduğunda önce hangi bilginin ve işlemin yanlış olduğu belirlenmelidir. Klinik örneğinde hizmet sağlayıcısına gönderim hukuka uygunsa gerçek akışın envanterde, uygulanabilir aydınlatmada ve ilgili diğer belgelerde karşılığı kurulmalıdır. Gönderim için gereken şartlar yoksa, yalnız aydınlatmaya geniş bir alıcı cümlesi eklemek eksikliği gidermez; işlemin kendisi de düzeltilmelidir. Amaç değişmişse Tebliğ’in yeni amaç için işleme faaliyetinden önce aydınlatma kuralı ayrıca gözetilir. Aydınlatmanın güncellenmesiyle yeni amacın maddi hukuka uygunluğu birbirinden ayrı sorulardır.²⁹

Bu ilişki, Sicile kayıt istisnası olan veri sorumlularında da önemini korur. Envanter ve saklama politikası hazırlama yükümlülüğünün kapsamı, aydınlatma ve imha ödevlerinin kapsamıyla aynı değildir. Kurumun aydınlatma rehberi, Sicile kayıt yükümlüsü olmayanlarda da envanter hazırlanmasını yararlı bir yöntem olarak önerir; bunu herkes için aynı biçimde zorunlu envanter kuralı olarak kurmaz. İmha Yönetmeliği de politika hazırlama yükümlülüğü bulunmayanların saklama ve imha ödevlerinin devam ettiğini belirtir. Böylece belge yükümlülüğündeki istisna, uygulamanın hukuki denetimden çıkması sonucuna bağlanmaz.³⁰

Tutarlılığın sürdürülmesi için değişikliğin yalnız bir metinde bırakılmaması gerekir. Yeni yazılımın devreye alınması, veri alıcısının değişmesi veya saklama gerekçesinin sona ermesi; etkilenen faaliyet, aydınlatma, süre kararı ve erişim düzeni bakımından birlikte değerlendirilebilir. Eski belgeye göre hareket eden görevliye yeni kararın ulaşması ve uygulanan sürümün belirlenebilmesi bu bağın parçasıdır. Kaya’nın politikaları hesap verebilirlik araçları arasında değerlendirmesi de bu işlev üzerinden anlam kazanır: politika, varlığıyla her işlemeyi hukuka uygun kılan bir belge değil, kurumun kararını uygulamaya taşıyan bir araçtır. Bu bağın düzenli kontrolü ise iç denetim ve değişiklik yönetimini gerektirir.³¹

17.6. İç denetim, eğitim, tedarikçi seçimi ve değişiklik yönetimi

Bir kurumun erişim politikasında görevden ayrılanların yetkilerinin kaldırılacağı yazılı olduğu hâlde, eski bir çalışanın hesabının açık kaldığı varsayılsın. Bu eksiklik yalnız politikanın yeniden yazılmasıyla giderilmez. Hesabın neden açık kaldığı, ayrılma bilgisinin kime ulaştığı ve yetki kaldırma işleminin nasıl doğrulandığı araştırılmalıdır. İç denetim, kabul edilen kuralla fiilî işlem arasındaki bu bağı sınar. Kanun’un 12. maddesinin üçüncü fıkrası, veri sorumlusuna kendi kurum veya kuruluşunda Kanun’un uygulanmasını sağlamak için gerekli denetimleri yapma veya yaptırma ödevi yükler. Bu görev yalnız bir ihlal gerçekleştikten sonra doğmaz.³²

Denetimin konusu, yalnız hazırlanan belgelerin varlığı olmamalıdır. Seçilmiş bir veri akışı üzerinden toplama alanlarının amaçla ilişkisi, erişim yetkileri, alıcıya gönderilen bilgiler ve süresi dolan kaydın durumu karşılaştırılabilir. İncelemenin neyi kapsadığı ve hangi sınırlara sahip olduğu da gösterilmelidir; birkaç kullanıcı hesabının kontrolü bütün sistemin incelendiği şeklinde sunulmamalıdır. Kurumun güvenlik rehberi, düzenli kontrolü, kontrollerin belgelenmesini, geliştirilecek hususların belirlenmesini ve güncelleme sonrasında kontrole devam edilmesini birlikte ele alır. Her kuruluş için aynı takvimi veya tek bir denetim belgesini zorunlu saymak yerine, kontrolün faaliyete ve riske uygun kurulması gerekir.³³

Eğitim, bu kontrollerde görülen sorunun uygulamadaki nedenine cevap verebilmelidir. Yanlış alıcıya dosya gönderilmesi hâlinde yalnız genel bir mevzuat sunumu yapmakla yetinilmesi, dosyanın gönderim öncesinde nasıl kontrol edileceğini personele öğretmeyebilir. İlgili görevde çalışan kişinin veriye neden eriştiğini, hangi kullanımdan kaçınacağını ve hata fark ettiğinde kime başvuracağını bilmesi gerekir. Rehber, görev ve sorumlulukların belirlenmesini; politika ve prosedürlerde önemli değişiklik olduğunda yeni eğitimlerle çalışanların bilgilendirilmesini vurgular. Eğitim kaydının bulunmasıyla bilginin günlük işte uygulanması aynı şey değildir; kontrol sonuçları bu farkı değerlendirmeye yardımcı olur.³⁴

Tedarikçi seçimi de sözleşmenin imzalanmasından önce başlayan bir değerlendirmedir. Sağlayıcının hangi kişisel verilere erişeceği, bunları nerede ve hangi hizmet zincirinde işleyeceği, güvenliğe ve hizmet sonunda iade veya imhaya ilişkin düzeni anlaşılmalıdır. Her hizmet sağlayıcı otomatik olarak veri işleyen sayılmaz; ancak başkası adına işleme varsa Kanun’un 12. maddesinin ikinci fıkrasındaki güvenlik sorumluluğu ayrıca dikkate alınır. Rehberde sözleşme, talimat, amaç ve kapsamla uyum ile sistem üzerinde denetim birlikte ele alınır. Bir sertifika veya standart sözleşme, seçilen hizmetin somut veri akışına uygunluğunu tek başına kanıtlamaz. Sözleşmenin ayrıntıları 15.6’daki açıklamalarla birlikte değerlendirilmelidir.³⁵

Kurumun değişiklik yönetimi, bu dört alanın birbirinden kopmasını önleyebilir. Yeni yazılım, başka bir sağlayıcı veya yeni veri kullanımı kararlaştırılırken, uygulama başlamadan önce amaç, şart, aktarım, erişim ve saklama bakımından etki değerlendirilmelidir. Bu, her değişikliğe aynı ad ve biçimde zorunlu bir form yüklemek anlamına gelmez; işleme şartı veya güvenlik eksikliğinin sistem kurulduktan sonra fark edilmesini önlemeye yönelik bir yöntemdir. Değişiklik kararıyla birlikte etkilenen kayıt ve metinlerin, görev dağılımının ve çalışan bilgisinin de güncellenmesi gerekir. Teknik değişikliğin küçük olması, kişisel veriler üzerindeki hukuki etkisinin de küçük olduğunu göstermez.³⁶

Denetimde saptanan eksiklik için sorumlu görevlinin ve düzeltmenin belirlenmesi, sonucu izlenebilir hâle getirir. Açık hesabın kapatılması ilk düzeltmedir; benzer hesapların bulunup bulunmadığının ve ayrılma akışının düzelip düzelmediğinin kontrolü ise aynı sorunun yeniden ortaya çıkmasını önlemeye yöneliktir. Kaya’nın politika, insanlar ve süreçler arasındaki dinamik bağlantıya ilişkin açıklaması burada somutlaşır. İç denetim, eğitim, tedarikçi seçimi ve değişiklik yönetimi birbirinden bağımsız dosyalar olmaktan çıkarak kurumun aynı veri koruma düzeninin parçaları hâline gelir.³⁶

17.7. Etki değerlendirmesi ve tasarımdan itibaren koruma; yükümlülük ile iyi uygulama ayrımı

Yeni bir müşteri portalı hazırlanırken her kullanıcıdan doğum tarihi, ayrıntılı adres ve kimlik belgesi görüntüsü alınmasının önerildiği varsayılsın. İşin sonunda bir gizlilik metni eklemek, bu bilgilerin neden gerekli olduğu sorusunu cevaplamaz. Tasarımdan itibaren koruma, veriyle ilgili kararları sistemin kuruluşuna taşır: hangi bilgi toplanacak, kim erişecek, ne kadar saklanacak ve ilgili kişi haklarını nasıl kullanacaktır? Varsayılan koruma ise kullanıcı veya görevli ayarı değiştirmediğinde işleyecek başlangıç düzenini bu amaçlarla sınırlar. Kavramların 7.7’deki açıklaması burada proje kararına uygulanır.³⁷

Etki değerlendirmesi, planlanan işlemenin kişiler bakımından doğurabileceği sonuçları sistematik biçimde inceleme yöntemidir. Kurumun yalnız kendi mali kaybını veya itibar riskini hesaplaması yeterli değildir; değerlendirme, kişisel verisi işlenen kişinin hak ve özgürlüklerine yönelir. Hangi kişilerin etkileneceği, gereksiz veri toplanması, yetkisiz erişim, yanlış kayda dayanan sonuç veya hak kullanmanın güçleşmesi gibi riskler işlemle ilişkilendirilmelidir. Sonuç yalnız “risk var” ifadesi değil, daha az müdahaleci alternatifin ve uygun tedbirin neden seçildiğini gösteren gerekçe olmalıdır.³⁸

AB hukukunda bu araçların özel normatif yapısı vardır. GDPR’ın 25. maddesi tasarımdan ve varsayılan olarak korumayı; 35. maddesi ise özellikle yeni teknolojilerle bağlantılı olarak işlemenin niteliği, kapsamı, bağlamı ve amaçları dikkate alındığında yüksek risk doğurması muhtemel faaliyetlerde işleme öncesi veri koruma etki değerlendirmesini düzenler. Her işleme aynı 35. madde değerlendirmesinin otomatik uygulanmasıyla, 25. maddedeki koruma ödevinin sürmesi farklıdır. Değerlendirmenin içeriğinde işlemin ve amacın açıklanması, gereklilik ve orantılılık, kişi haklarına yönelik riskler ve bunlara karşı tedbirler yer alır. Bu yabancı hukuk yapısı Türk hukukundaki her veri sorumlusuna kendiliğinden aktarılmaz; GDPR’ın ayrıca uygulanabildiği faaliyetler kendi koşullarında değerlendirilir.³⁹

Türk hukukunda Kanun’un genel ilkeleri ve 12. maddesindeki önleme, uygun güvenlik ve denetim ödevleri, sistem kurulurken de gözetilmelidir. Bununla birlikte bu hükümlerden, GDPR’ın 35. maddesindeki bütün eşikleri, usulü ve sonuçları aynı biçimde içeren genel bir kanuni rejim çıkarılamaz. Bayram, etki analizinin uyum aracı olarak değerini savunurken, hesap verebilirlik ve buna bağlı ödevlerin hukuki güvenlik ve belirlilik bakımından açıkça düzenlenmesinin önemini vurgular. Bu görüş, riskin önceden incelenmesinin yararıyla aracın hangi hukuki dayanak ve kapsamla zorunlu tutulabileceğinin ayrı sorular olduğunu gösterir. Belirli sektör veya seçilen hukuki araç için öngörülmüş özel koşullar ise ayrıca incelenmelidir.⁴⁰

Kurumun üretken yapay zekâ rehberi de tasarımdan ve varsayılan olarak mahremiyeti destekleyici yaklaşımlar arasında ele alır; yaşam döngüsü boyunca risklerin tanımlanması, değerlendirilmesi ve yönetilmesi için veri koruma etki değerlendirmesini iyi uygulama örneği olarak niteler. Bu tavsiyenin değeri, tek başına yeni bir genel kanuni yükümlülük yaratmasından kaynaklanmaz. Kurumun somut faaliyette mevcut ilke ve ödevleri zamanında yerine getirmesine yardımcı olabilir. Buna karşılık zorunlu olan bir güvenlik tedbirinin “iyi uygulama” başlığı altında anılması, o tedbiri isteğe bağlı hâle getirmez.⁴¹

Portal örneğinde kurum, her alanın amacını açıklayıp gerekli olmayan bilgiyi toplamaktan vazgeçebilir; görevine göre erişim, uygun saklama ve kullanılabilir başvuru mekanizmasını başlangıçta kurabilir. Karar kaydı, değerlendirilen seçenekleri, seçimin gerekçesini ve uygulama sorumlusunu gösterebilir. Sistemin kapsamı veya riski değiştiğinde önceki değerlendirme de yeniden ele alınmalıdır. EDPB’nin tasarımdan koruma rehberi, bu yaklaşımın eski sistemlerde ve işlem devam ederken de sürmesini vurgular. Burada önerilen proje kaydı tek tip zorunlu form değil, uygulamanın gerekçesini görünür kılan bir yöntemdir; kurumun ölçeği ve faaliyeti yöntemin ayrıntısını etkiler.⁴²

17.8. Küçük işletme, kamu kurumu ve çok uluslu yapı için ölçeklendirme

Veri koruma yönetiminin her kurumda aynı örgüt şemasıyla kurulması beklenemez. Birkaç kişinin çalıştığı işletmeyle farklı ülkelerde hizmet sunan bir grubun görev, veri akışı ve kontrol ihtiyacı farklıdır. Bununla birlikte ölçeklendirme, temel hakların kurumun bütçesine göre azaltılması anlamına gelmez. Kaya, yönetim programının faaliyet, veri boyutu ve hassasiyetine göre farklılaşmasını esnekliğin bir gereği olarak açıklar. Güvenlik rehberi de tedbirlerin riskin gerçekleşme ihtimali ve ilgili kişi bakımından doğurabileceği sonuçlarla ilişkilendirilmesini ister. Bu nedenle çalışan sayısı, yönetim düzeninin tek ölçütü değildir.⁴³

Küçük bir işletmede görevler az sayıda kişi üzerinde toplanabilir. Örneğin müşteri kaydını tutan işletme sahibi, başvuruyu da karşılıyor olabilir. Bu durumda karmaşık komiteler yerine, hangi talebin nasıl alınacağı, kayda kimin erişeceği ve hizmet sağlayıcısına hangi bilginin gönderileceği açık bir işleyişle belirlenebilir. Sicil istisnası uygulanabiliyorsa bunun koşulları ayrıca kaydedilmelidir; istisna, güvenlik ve aydınlatma ödevlerinin yerine geçmez. Küçük bir kuruluşun hassas veri işlemesi de mümkündür. Dolayısıyla basit örgütlenme, gerekli tedbirlerden veya sürelerin takibinden vazgeçme gerekçesi yapılmamalıdır.⁴⁴

Kamu kurumunda ise kanuni görevle veri işleme faaliyeti arasındaki bağ ve birimler arasındaki yetki düzeni öne çıkar. Bir hizmeti yürütme görevi, her birimin kurumda bulunan bütün verilere erişmesini kendiliğinden gerektirmez. Hizmeti sunan, kayıt sistemini işleten ve başvuruyu cevaplayan görevlilerin bilgi akışı belirlenmelidir. Sicil Yönetmeliği, kamu kurum ve kuruluşlarında irtibat kişisi için koordinasyonu sağlayacak üst düzey yönetici tarafından belirlenen daire başkanı veya üstü yönetici düzenini ayrıca öngörür. Bu özel görev, kurum içindeki bütün kararları tek kişinin aldığı veya her işleme bakımından sınırsız temsil yetkisi bulunduğu şeklinde genişletilemez.⁴⁵

Çok uluslu yapıda ortak yazılım, politika ve uzmanlık kullanılması tutarlılığı kolaylaştırabilir; fakat ayrı tüzel kişilerin aynı veri sorumlusu hâline geldiğini göstermez. Hangi şirketin hangi amaç ve araçları belirlediği, ortak sistemde hangi veriye eriştiği ve diğer şirket adına işlem yapıp yapmadığı faaliyet bazında değerlendirilir. Yerel görevlinin grup içindeki yetkiliye ulaşabilmesi kadar, ilgili kişinin doğru veri sorumlusuna ulaşabilmesi de önemlidir. Türkiye’de yerleşik olmayan veri sorumlusunun temsil ve Sicil işlemleri, grup merkezinin hazırladığı genel görev listesiyle özdeş değildir. Kurumsal birlik, hukuki sıfatların belirlenmesinin yerine geçmez.⁴⁶

Grup içinde kullanılan ortak sistemin yurt dışına veri aktarması hâlinde, şirketlerin aynı toplulukta olması tek başına aktarım şartı oluşturmaz. Envanterde ülke dışındaki alıcı ve hizmet zincirinin görünmesi; 13. bölümdeki uygun aktarım yolunun kendi koşullarıyla kurulması gerekir. Benzer biçimde grup politikasında yazılı saklama süresi, Türkiye’deki belirli kayıt için uygulanacak hukuk ve amaç değerlendirilmeden aynen alınmamalıdır. Ortak politika, yerel yükümlülüğün yerine geçmekten çok, bu yükümlülüğün günlük sistemde uygulanmasını sağlayabildiği ölçüde işlev görür.⁴⁷

Bu üç yapıda ortak soru, işleme kararının kim tarafından verildiği ve uygulandığının nasıl anlaşılacağıdır. Küçük işletmede açık bir görev kaydı, kamu kurumunda yetkili birimler arasında işleyen koordinasyon, çok uluslu yapıda ise yerel ve grup düzeyleri arasındaki sorumluluk bağlantısı önem kazanabilir. Kullanılan aracın adı veya hacmi kadar, başvurunun karşılanması, yanlış verinin düzeltilmesi, süresi dolanın imhası ve güvenliğin sürdürülmesi bakımından iş görmesi değerlendirilmelidir. Yönetim düzeni böylece hem kurumun yapısına uyarlanır hem de kişisel verisi işlenen kişinin haklarını kullanabileceği somut bir muhatap ve süreç oluşturur.⁴³

Dipnotlar