Kişisel verilerin korunması mevzuatına uyum çalışmalarının çoğu, bir aydınlatma metni hazırlanmasıyla başlıyor. Oysa aydınlatma metni, uyum çalışmasının çıktısıdır; girdisi değil. Şirketin hangi veriyi işlediği bilinmeden yazılan metin, gerçekte yapılan işi anlatmadığı için bir denetimde işlevini göremiyor.
Envanter çalışmasının sırası
Pratikte işleyen sıra şu şekilde kuruluyor:
- Departman bazında veri toplama noktalarının çıkarılması (İK, satış, muhasebe, bilgi işlem)
- Her veri kategorisi için işleme amacının ve hukuki sebebinin yazılması
- Saklama sürelerinin belirlenmesi ve imha yönteminin kararlaştırılması
- Aktarım yapılan üçüncü tarafların ve yurt dışı aktarımların listelenmesi
- Ancak bundan sonra aydınlatma metinleri, rıza formları ve politikaların yazılması
Sık atlanan alanlar
Envanter çalışmalarında en sık atlanan noktalar; işe alım sürecinde toplanan ve alınmayan adaylara ait özgeçmişler, kamera kayıtları, ziyaretçi defterleri ve çalışanların şirket cihazlarındaki verileri oluyor. Bunların her biri ayrı bir işleme faaliyeti olarak ele alınmayı gerektiriyor.
Sözleşme tarafı
Veri işleyen konumundaki tedarikçilerle (bulut sağlayıcı, bordro firması, çağrı merkezi) yapılan sözleşmelerin de envanterle uyumlu olması gerekiyor. Uygulamada envanter ile sözleşme metinleri arasındaki tutarsızlık, ihlal bildirimi anında en çok sorun çıkaran başlık.
Bu yazı genel bilgilendirme amaçlıdır ve somut bir uyuşmazlığa ilişkin hukuki görüş niteliği taşımaz.