Kişisel verilerin yurt dışına aktarımında en sık başvurulan ancak en kırılgan dayanak açık rızadır. 6698 sayılı Kanun kapsamında yapılan denetimlerde veri sorumlusuna yöneltilen ilk soru genellikle şudur: rızanın özgür iradeyle, bilgilendirilmiş biçimde ve aktarımın kendisine özgü olarak alındığını nasıl belgeliyorsunuz? Bu rehber, aktarım dosyasının ispat tarafına ve başvuru takvimine odaklanır.
Açık Rıza Neden Zayıf Bir Dayanaktır?
Yurt dışına aktarım rejimi kademeli bir yapıya sahiptir: önce yeterlilik kararı, bulunmuyorsa uygun güvenceler, bunlar da yoksa sınırlı istisnalar. Açık rıza bu sıralamada istisnalar arasında konumlanır ve süreklilik arz eden aktarımlar için sağlam bir zemin oluşturmaz. Ayrıca rıza her an geri alınabilir; geri alma anından itibaren aktarımın hukuki dayanağı ortadan kalkar. Hizmetin sunulmasını rıza vermeye bağlayan kurgular ise rızanın özgür iradeyle verilmediği yönünde değerlendirilmeye açıktır.
Rızanın Geçerliliğini Kanıtlayan Kayıtlar
- Rızanın alındığı ekranın o tarihteki tam görünümü ve metin sürümü
- Sürüm numarası ve yürürlük tarihiyle birlikte arşivlenmiş aydınlatma metni
- Rıza kaydının zaman damgası, kanalı ve kullanıcı eylemine ilişkin log kaydı
- Geri alma taleplerinin işlenme süresi ve sonucunu gösteren kayıtlar
- Aktarımın hangi ülkeye, hangi alıcı grubuna ve hangi amaçla yapıldığını gösteren envanter satırı
Envanter ile Sözleşmeyi Aynı Masada Okumak
Uygulamada en sık rastlanan tutarsızlık, envanterde yer almayan bir aktarımın hizmet sözleşmesinden çıkmasıdır. Bulut altyapısı, analiz araçları, müşteri destek yazılımları ve pazarlama entegrasyonları çoğu zaman fark edilmeden aktarım yaratır. Bu nedenle tedarikçi sözleşmelerindeki veri işleme ekleri, alt işleyen listeleri ve sunucu konumu taahhütleri envanterle satır satır eşleştirilmelidir. Uygun güvence yoluna geçilecekse öngörülen bildirim yükümlülüğünün kısa bir süreye bağlandığı unutulmamalıdır.
Başvuru ve Şikâyet Takvimi
İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusunun yanıt vermesi için tanınan süre ile yanıtın olumsuz olması veya hiç verilmemesi hâlinde Kurula şikâyet için tanınan süre birbirini izler. Bu zincirde en çok kaçırılan halka, başvuruya verilen yanıtın tebliğ tarihidir. Veri sorumlusu açısından ise ihlal bildiriminin gecikmesi başlı başına bir yaptırım sebebi olabilir; bu nedenle olay müdahale prosedüründe saatlerin kaydı tutulmalıdır.
Denetime Hazırlık Kontrolü
- Aktarım yapılan her alıcı için hukuki dayanak tek tek yazılır.
- Açık rızaya dayanan satırlar işaretlenip alternatif dayanağa geçiş planı kurulur.
- Aydınlatma metninin her sürümü tarihiyle arşivlenir.
- Geri alma ve silme taleplerinin işlenme süreleri ölçülür.
- Sunucu konumu ve alt işleyen değişikliklerini bildiren sözleşme hükmü kontrol edilir.
Bu değerlendirme genel çerçeveyi anlatır; şirketinizin veri akışına göre uygun dayanak ve belge seti değişir. Aktarım yapısını yeniden kurgulamadan önce hukuki ve teknik ekiplerin ortak incelemesini önermek yerinde olur.