Kişisel verilerin yurt dışına aktarımı, KVKK uygulamasının en çok denetim çeken başlıklarından biridir. Şirketler çoğunlukla aktarımın hukuka uygun olduğunu düşünür; sorun, bunu belgeyle gösterememektir. 6698 sayılı Kanun bakımından ispat yükü büyük ölçüde veri sorumlusundadır ve açık rızaya dayanılan hâllerde bu yük daha da ağırlaşır.
Açık Rıza Neden En Kırılgan Dayanaktır?
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Hizmetin görülmesi için zorunlu tutulan, iptali sonucu doğuran ya da genel bir onay kutusuna sıkıştırılan rıza, denetimde geçersiz sayılabilir. Bu nedenle aktarım için önce diğer hukuka uygunluk sebeplerinin uygulanabilirliği değerlendirilmeli, açık rıza son çare olarak konumlandırılmalıdır.
Aktarımı Görünür Kılan Kayıt Seti
- Veri envanteri: hangi veri kategorisi, hangi ülkeye, hangi amaçla
- Aydınlatma metninin aktarım tarihindeki sürümü ve yayın kaydı
- Rıza kaydının zaman damgası, kanalı ve geri alma imkânının izi
- Alıcı taraf ile imzalanan sözleşme ve taahhüt belgeleri
- Bulut ve alt işleyici zinciri: sunucuların fiziki konumu
Sürüm Yönetimi: Sessiz Hata Kaynağı
Denetimlerde sıkça görülen tablo şudur: şirket bugünkü aydınlatma metnini sunar, oysa şikâyete konu aktarım iki yıl önce, farklı içerikli bir metin yürürlükteyken yapılmıştır. Metinlerin tarih ve sürüm numarasıyla arşivlenmemesi, aslında uygun yürüyen bir süreci bile ispatsız bırakır. Rıza kayıtlarının aktarım tarihiyle eşleştirilebilir olması bu riski kapatır.
Usule Aykırı İşlem ve Süre Yönetimi
İlgili kişi başvurusu geldiğinde en sık yapılan hata, cevabın gecikmesi ya da başvurunun teknik ekip içinde kayıtsız dolaşmasıdır. Başvuru, geliş tarihi ve kanalıyla kayıt altına alınmalı; verilen yanıtın tebliğ edildiği an belgelenmelidir. Kuruma yapılan şikâyet aşamasında bu zaman çizelgesi, iyi niyetin somut göstergesi olur.
Şirket içi sorumluluk dağılımı da yazılı olmalıdır. "Kim onayladı" sorusunun cevabı bulunamayan aktarımlar, ihlal iddiası karşısında savunmasız kalır.
İhlal İhtimaline Karşı Hazırlık
Aktarımın yapıldığı ülkedeki bir güvenlik olayı, yurt içindeki veri sorumlusu için de bildirim ve müdahale yükümlülüğü doğurabilir. Bu nedenle sözleşmelerde olay bildirimi süresi ve iş birliği yükümlülüğü açıkça düzenlenmeli; olay anında kimin neyi ne zaman öğrendiği kronolojik olarak tutulmalıdır.
Yukarıdaki çerçeve genel bir yol göstericidir; sektör, veri kategorisi ve alıcı ülke değiştiğinde uygulanacak mekanizma da değişir. Mevcut süreçlerinizin hukuki incelemeden geçirilmesi, denetim öncesinde eksikleri görmenin en pratik yoludur.