Kişisel verilerin yurt dışına aktarılması, veri sorumluları için hem teknik hem hukuki bir uyum başlığıdır. 6698 sayılı KVKK'nın aktarım rejiminde yapılan değişikliklerle birlikte, açık rızaya dayalı pratik alışkanlıkların gözden geçirilmesi gerekmiştir. Denetimde sorulan asıl soru şudur: aktarımın hukuki dayanağını hangi belgeyle gösteriyorsunuz?
Açık Rıza Aktarım İçin Tek Başına Yeterli mi
Mevcut çerçevede yurt dışına aktarım, öncelikle yeterlilik kararı, uygun güvenceler veya belirli istisnai hâller üzerinden kurgulanır. Açık rıza ise sınırlı ve arızi durumlar için tanınan bir yol olarak konumlanır; süreklilik arz eden aktarımların tamamını açık rızaya dayandırmak, uyum açısından kırılgan bir yapı oluşturur. Rıza alınacaksa da bunun bilgilendirmeye dayalı, özgür iradeyle açıklanmış ve belirli bir konuya ilişkin olması aranır; hizmetin kullanımını rıza şartına bağlayan kurgular tartışmaya açıktır.
İspat Yükü Veri Sorumlusundadır
Bir ihlal iddiası gündeme geldiğinde, aydınlatmanın yapıldığını ve dayanağın mevcut olduğunu gösterme yükü ilgili kişide değil veri sorumlusundadır. Bu nedenle uyum çalışması, süreçlerin yazılı hâle getirilmesi kadar bu yazılı hâlin zaman içinde doğrulanabilir olmasını da kapsar. Sonradan üretilen belgeler denetimde ikna edici olmaz.
Dosyada Bulunması Beklenen Kayıtlar
- Aktarımın konusu, alıcı ülke ve alıcı kategorilerini gösteren envanter kaydı.
- Aktarımın hangi hukuki dayanağa göre yapıldığını açıklayan iç değerlendirme notu.
- Aydınlatma metninin sürüm geçmişi ve hangi tarihte hangi metnin gösterildiğine dair kayıt.
- Rıza alınmışsa rızanın alındığı ana ait log ve geri alma mekanizmasının çalıştığını gösteren kayıt.
- Alıcı taraf ile yapılan sözleşme, güvenlik taahhütleri ve gerekiyorsa bildirim yükümlülüğünün yerine getirildiğine dair belge.
- Yurt içinde tutulan yedeklerin ve erişim yetkilerinin gösterildiği teknik doküman.
Burada Uzlaşma Değil, İhlali Giderme Süreci Vardır
Veri koruma alanındaki idari süreç, taraflar arası pazarlıkla kapatılabilen bir uyuşmazlık değildir. Şikâyet veya resen inceleme başladığında elde kalan tek gerçekçi strateji, ihlalin varsa hızla giderildiğini ve tekrarını önleyecek tedbirlerin alındığını belgeleriyle ortaya koymaktır. İdari yaptırım uygulanırsa buna karşı başvuru yolları da kısa sürelere tabidir; savunma dosyasının inceleme aşamasında düzgün kurulması, sonraki aşamanın da temelini oluşturur. 5651 sayılı Kanun kapsamındaki içerik ve erişim tartışmalarıyla veri koruma sürecinin ayrı yürüdüğü de gözden kaçırılmamalıdır.
Kapanış
Buradaki değerlendirmeler genel niteliktedir; sektör, aktarımın hacmi ve verinin türü uyum yükümlülüklerini değiştirebilir. Aktarım süreçlerinizi kurgularken veya bir inceleme yazısı aldığınızda, dosyanın hukuki ve teknik ekiple birlikte ele alınması yerinde olur.