Veri Sorumlusu Kendi Kurumunda Denetim Yapmak Zorunda mı?

Veri Sorumlusu Kendi Kurumunda Denetim Yapmak Zorunda mı?

İlgili çalışma alanı → Kişisel Verilerin Korunması: Veri güvenliği, ihlal bildirimi, idari para cezası ve Kurul kararları için çalışma alanı.

Kısa cevap: Evet. 6698 sayılı Kanun m. 12/3, veri sorumlusunun kendi kurum veya kuruluşunda Kanun hükümlerinin uygulanmasını sağlamak amacıyla gerekli denetimleri yapmasını veya yaptırmasını zorunlu kılar. Denetim, veri sorumlusunun büyüklüğüne bağlı olmayan, tüm veri sorumluları için geçerli bir yükümlülüktür.¹

---

1. Yükümlülüğün Kapsamı

Hüküm, denetimin kim tarafından yapılacağını bağlamaz: veri sorumlusu denetimi kendi birimleriyle yapabilir veya bağımsız bir kişiye yaptırabilir. Zorunlu olan, denetimin gerçekleşmesidir. Denetimin konusu, kurumda Kanun hükümlerinin fiilen uygulanıp uygulanmadığıdır; yani aydınlatmanın yapılması, güvenlik tedbirlerinin işlemesi, saklama sürelerine uyulması ve ilgili kişi başvurularının süresinde cevaplanması denetim kapsamındadır.

Yükümlülük m. 12'nin diğer fıkralarıyla birlikte düşünülmelidir. M. 12/1 tedbir alma, m. 12/2 veri işleyenle müşterek sorumluluk, m. 12/3 denetim, m. 12/4 sır saklama ve m. 12/5 ihlal bildirimi ödevlerini kurar. Denetim, diğer yükümlülüklerin işleyip işlemediğini sınayan halkadır.

---

2. Sıklık ve Belgeleme

Kanun denetim sıklığını belirtmemiştir. Bu nedenle sıklık, işlenen verinin niteliğine, ihlalin olası etkisine ve işleme faaliyetlerindeki değişikliğe göre veri sorumlusunca belirlenir. Özel nitelikli veri işleyen veya çok sayıda ilgili kişiyi kapsayan faaliyetlerde daha sık ve daha ayrıntılı denetim gerekir.

Denetimin ispatı belgeye bağlıdır. Denetim planı, tarih, kapsam, bulgular ve alınan düzeltici adımlar yazılı kayıt altına alınmalıdır. Kayıt bulunmayan denetim, Kurul incelemesinde yapılmamış sayılma riski taşır.

Önemli: Denetimin yalnızca bir kez, uyum çalışması sırasında yapılması yükümlülüğü karşılamaz. Hüküm, kurumda Kanunun sürekli uygulanmasını amaçladığından denetim de süreklilik taşımalıdır.

---

3. Veri İşleyenlerin Denetimi

M. 12/2 veri sorumlusunu, adına veri işleyenlerle birlikte tedbirlerin alınması bakımından müştereken sorumlu tutar. Bu nedenle denetim yükümlülüğü tedarikçi zincirine de uzanır. Veri işleyenle yapılan sözleşmede denetim hakkı, bilgi verme yükümlülüğü ve denetim sonucuna göre düzeltme taahhüdü bulunması uygulamada beklenen unsurlardır. Veri sorumlusu ile veri işleyen arasındaki sorumluluk dağılımı veri sorumlusu ile veri işleyen arasındaki fark sorusunda ele alınmıştır.

Denetim yükümlülüğünün ihlali, m. 12 kapsamında idari para cezası konusu olabilir. Yükümlülüklerin genel görünümü için KVKK'da veri sorumlusunun yükümlülükleri makalesine bakılabilir.

---

Uygulamada

Küçük ölçekli veri sorumlularında denetim, yıllık bir kontrol listesiyle yapılabilir: envanterin güncelliği, aydınlatma metinlerinin sunumu, erişim yetkileri, saklama süresi dolmuş verilerin imhası ve cevaplanan başvuruların süre kaydı. Kontrol listesi yazılı olmalı, sorumlusu ve tarihi bulunmalıdır.

Büyük ölçekli veri sorumlularında iç denetim ile bağımsız denetim birlikte kurgulanabilir. Çıkan bulgular için sorumlu ve süre belirlenmeli, bir sonraki denetimde bulguların giderilip giderilmediği ayrıca sınanmalıdır. Genel çerçeve için kişisel verilerin korunması rehberi esas alınabilir.

Dipnotlar

1. 6698 sayılı Kişisel Verilerin Korunması Kanunu, RG 07.04.2016/29677, md. 12 ve md. 18. ↩