Kişisel verilerin yurt dışına aktarımı, uygulamada en çok hata yapılan başlıklardan biridir; çünkü pek çok yapıda aktarım, bulut hizmeti veya destek erişimi yoluyla farkında olunmadan gerçekleşir. 6698 sayılı KVKK açık rızanın geçerlilik şartlarını ve aktarım rejimini düzenler; 5651 sayılı Kanun ise trafik kayıtlarının saklanmasına ilişkin ayrı bir yükümlülük getirir. Bu rehber, bir denetimde delil olarak sunulacak belgelerin nasıl kurgulanacağına odaklanır.
Açık Rızanın Geçerlilik Unsurları
Açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Hizmetin verilmesi rızanın verilmesine bağlanmışsa, iradenin özgür olduğundan söz etmek güçleşir. Ayrıca rızanın her zaman geri alınabileceği ve geri alma talebinin nasıl işletileceği de sistemde önceden tanımlanmış olmalıdır.
Aktarımda Rızanın Yeri Değişti
Mevzuatta yapılan değişiklikle yurt dışına aktarım kademeli bir yapıya kavuşmuştur: önce yeterlilik kararı, bunun yokluğunda taraflar arasında uygun güvencelerin sağlanması, bunlar da mümkün değilse sınırlı ve süreklilik taşımayan arızi haller. Bu kademelenmede açık rıza, düzenli ve süreklilik arz eden aktarımlar için tek başına dayanak olarak kullanılamaz. Yıllardır rızaya dayandırılan aktarım akışlarının bu ölçütle yeniden gözden geçirilmesi gerekir.
Belgeleme Kontrol Listesi
- Veri envanteri, hangi verinin hangi ülkeye ve hangi hizmet sağlayıcıya gittiğini gösterecek şekilde güncellenir.
- Her aktarım için dayanılan hukuki kademe yazılı olarak kaydedilir.
- Uygun güvencelere dayanılıyorsa sözleşme metni ve gerekli bildirim kayıtları saklanır.
- Aydınlatma metinlerinin sürüm geçmişi tarihleriyle birlikte arşivlenir.
- Rıza ve rızayı geri alma kayıtları, zaman damgasıyla sistemde tutulur.
Denetimde Eksik Kalan Noktalar
- Aydınlatma ile açık rızanın aynı metinde ve tek onay kutusunda toplanması
- Alt yüklenici ve entegrasyonlar üzerinden gerçekleşen aktarımların envanterde görünmemesi
- Saklama sürelerinin tanımlı olmaması ve imha kayıtlarının bulunmaması
- Erişim yetkilerinin kim tarafından ne zaman verildiğine dair log tutulmaması
- Veri ihlali bildirim sürecinin yazılı bir prosedüre bağlanmamış olması
Erişim Kayıtları ve Kesişen Yükümlülükler
İnternet üzerinden hizmet sunan yapılar bakımından 5651 sayılı Kanun kapsamındaki kayıt tutma yükümlülüğü ile veri koruma mevzuatındaki en az veri ilkesi zaman zaman gerilim oluşturur. Bu iki yükümlülüğün nasıl bağdaştırıldığı yazılı olarak açıklanmadığında, denetimde her iki yönden de eleştiri gelebilir.
Bu içerik genel bilgilendirme amaçlıdır. Veri akışının teknik yapısı ve hizmet sağlayıcı sözleşmeleri sonucu değiştireceğinden, uyum çalışmasını bir hukukçu ve teknik ekiple birlikte yürütmeniz uygun olur.