Kişisel verinin yurt dışına aktarılması, KVKK uygulamasında en çok denetlenen başlıklardan biridir. Veri sorumlusu tarafında sorun genellikle aktarımın yapılmış olması değil, hangi hukuki sebebe dayanıldığının belgelenememesidir. İlgili kişi tarafında ise başvurunun zamanında ve doğru mercie yapılmaması hak kaybı doğurur. 6698 sayılı Kanun ve internet yayınlarına ilişkin 5651 sayılı Kanun bu alanda birlikte gündeme gelebilir.
Açık Rızanın Üç Unsurunu Kayıt Altına Almak
Açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Bu üç unsurun her biri ayrı bir kayıtla desteklenmelidir: aktarımın kapsamını gösteren metin, bilgilendirmenin kullanıcıya sunulduğu ekran ve onayın verildiği an ile birlikte tutulan sistem kaydı. Hizmetin alınmasının rıza şartına bağlandığı hallerde, iradenin özgür sayılmayacağı yönündeki eleştiriye karşı hazırlıklı olunmalıdır.
Rıza Dışındaki Aktarım Yollarını Belgelemek
Aktarım açık rızaya değil de mevzuatta öngörülen diğer mekanizmalara dayanıyorsa, bu tercihin dayanağı yazılı hale getirilmelidir. Taraflar arasındaki sözleşme metinleri, taahhütnameler, grup şirketleri arasındaki kurallar ve alıcı ülkedeki koruma düzeyine ilişkin değerlendirme notu dosyada bulunmalıdır. Denetim sırasında istenen ilk belge çoğu zaman bu değerlendirmenin kendisidir.
Envanter ile Uygulamanın Örtüşmesi
Kâğıt üzerindeki kişisel veri işleme envanteri ile sistemlerin fiilen yaptığı aktarım arasındaki fark, en sık rastlanan uyumsuzluktur. Bulut hizmetleri, analiz araçları, müşteri destek yazılımları ve pazarlama entegrasyonları çoğu zaman envantere yansımadan aktarım yapar. Bu nedenle teknik ekipten alınacak bağlantı listesi ile hukuki envanterin dönemsel olarak karşılaştırılması gerekir.
İlgili Kişi Başvurusunda Süre Yönetimi
İlgili kişi, önce veri sorumlusuna başvurmak durumundadır; bu adım atlanarak doğrudan Kurula gidildiğinde başvuru usulden değerlendirilmeden kalabilir. Başvurunun gönderildiği tarih, kullanılan kanal ve teslim edildiğine dair kayıt saklanmalıdır. Verilen cevabın veya cevapsız geçen sürenin ardından şikâyet yolunun açıldığı an, takvimde ayrı bir kontrol noktası olarak işaretlenmelidir.
Cevap Metninin Sonraki Aşamaya Etkisi
Veri sorumlusunun verdiği cevap, yalnızca o talebi karşılamaz; sonraki aşamada dosyanın çerçevesini de belirler. Aktarımın varlığını kabul eden, ancak dayanağını göstermeyen bir cevap, ilgili kişi bakımından güçlü bir dayanak oluşturur. Aynı şekilde veri sorumlusu açısından, cevap metninin özensiz hazırlanması sonradan düzeltilmesi güç bir beyan haline gelir.
Bu metin genel bilgilendirme amacı taşır. Aktarımın niteliği, alıcının bulunduğu ülke ve verinin özel nitelikli olup olmaması sonucu değiştirebilir; kurumsal uyum çalışmalarında ayrıca hukuki görüş alınması yerinde olur.