Denetimine girdiğim şirketlerde en sık karşılaştığım sahne şudur: klasörden özenle ciltlenmiş bir uyum raporu çıkar, kapağındaki tarihe bakarım, üç yıl öncesine aittir. O tarihten sonra siteye eklenen bülten formu, yeni kampanya sayfası, canlı destek eklentisi raporun hiçbir satırında yoktur. Rapor yanlış değildir; sadece artık var olmayan bir siteyi anlatmaktadır.
Mevzuat da site de yerinde durmuyor
Uyum metinlerinin "bir kez yazılıp bitirilecek iş" olduğu varsayımı iki yönden birden çöker. Birincisi mevzuat cephesi: son yıllarda ikincil düzenlemeler art arda geldi — çerez rehberi (2022), fiyat ve indirim kuralları, sosyal medya etkileyicileri kılavuzu. Yayına alındığı gün kusursuz olan bir metin, bu düzenlemelerden herhangi biriyle birlikte sessizce eskir.
İkincisi sitenin kendi cephesi: site canlı bir organizmadır.
- Pazarlamanın eklediği her yeni form, yeni bir aydınlatma noktası demektir.
- Her kampanya sayfası, fiyat ve indirim sunumuyla yeni bir reklam riski taşır.
- Siteye eklenen her üçüncü taraf araç, çerez envanterini sessizce değiştirir.
Denetlenecek nesne her hafta değişirken, denetimin yılda bir fotoğraf çekmesi tanım gereği yetersiz kalır.
Denetim bir tercih değil, kanuni yükümlülük
Sık atlanan nokta şu: periyodik denetim iyi niyetli bir "en iyi uygulama" değildir. 6698 sayılı KVKK'nın 12. maddesi, veri sorumlusuna veri güvenliğine ilişkin gerekli denetimleri yapma veya yaptırma yükümlülüğünü bizzat getirir. Kişisel Verilerin Silinmesi, Yok Edilmesi veya Anonim Hale Getirilmesi Hakkında Yönetmelik de aynı mantığı takvime bağlar: saklama ve imha politikası hazırlamakla yükümlü veri sorumluları, periyodik imhayı en geç altı aylık aralıklarla gerçekleştirir. Mevzuatın kendisi denetimi ritim olarak kurgular; proje olarak değil.
İhlal günü masaya ne koyacaksınız?
Periyodik denetimin en az konuşulan değeri, en kötü günde ortaya çıkar. Bir ihlal yaşandığında sorulacak soru yalnızca "ne oldu" değil, "siz o güne kadar ne yapıyordunuz" sorusudur. Tarihli denetim kaydı ve raporu, özen yükümlülüğünün yerine getirildiğini gösteren belgedir; hiç bakmamış bir şirketle düzenli bakan ama bir noktayı gözden kaçırmış bir şirket, aynı yerde durmaz.
Pratik test: Sitenize en son eklenen formu açın ve iki soru sorun. Bu form yayına alınırken aydınlatma metni gözden geçirildi mi? Bu kontrolün yapıldığını gösteren tarihli bir kayıt var mı? İkisine de "evet" diyemiyorsanız, denetiminiz proje olarak yapılmış; ritim olarak yaşamıyor demektir.
Ritmi kurmak sanıldığı kadar pahalı değildir: sabit bir tarama takvimi, her taramanın tarihli kaydı ve bulgudan düzeltmeye giden kısa bir yol çoğu site için yeterlidir. Legalitify tam bu ritmi otomatikleştirir: sitenizi periyodik olarak tarar, her bulguyu tek tıkla düzeltmeye bağlar ve her turu tarihli bir denetim izine dönüştürür.