6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında yurt dışına aktarım, uygulamada en çok yanlış kurgulanan başlıklardan biridir. Yaygın hata, aktarım için tek dayanak olarak açık rıza alınmasıdır. Oysa kanundaki sıralama farklıdır ve rızaya dayalı kurgu, süreklilik arz eden aktarımlarda hem hukuken kırılgan hem de operasyonel olarak sürdürülemezdir.
Dayanak Sırasını Doğru Kurmak
- Aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunup bulunmadığı kontrol edilir.
- Yeterlilik kararı yoksa uygun güvencelerden biri seçilir: standart sözleşme, bağlayıcı şirket kuralları, taahhütname veya kamu kurumları arasındaki anlaşma.
- Bu güvenceler de sağlanamıyorsa, kanunda sınırlı sayıda ve arızi olma şartıyla düzenlenen istisnalar değerlendirilir; açık rıza bu son grupta yer alır.
Açık Rızanın Kırılgan Olduğu Noktalar
- Rıza, hizmetin verilmesinin ön şartı hâline getirilirse özgür iradeye dayanmadığı için geçersiz sayılabilir.
- Rıza metni belirli bir aktarımı değil, genel ve süresiz bir izni ifade ediyorsa bilgiye dayalı olma unsuru zayıflar.
- İlgili kişi rızasını her zaman geri alabileceğinden, bulut altyapısı gibi kesintisiz aktarımlar rıza üzerine kurulduğunda süreç aniden dayanaksız kalabilir.
- Çalışan verilerinde işveren ile çalışan arasındaki bağımlılık ilişkisi, rızanın geçerliliğini tartışmalı hâle getirir.
Süre Riskini Doğuran Yükümlülükler
Uyum tarafındaki hak kaybı riski çoğunlukla süre kaçırmaktan doğar. Standart sözleşmeye dayanan aktarımlarda, imzalanan metnin öngörülen süre içinde Kurula bildirilmesi gerekir. Veri ihlali gerçekleştiğinde ise ilgili kişiye ve Kurula yapılacak bildirimlerin gecikmesi ayrı bir yaptırım sebebidir. İlgili kişi başvurusu geldiğinde de cevap için tanınan süre içinde yazılı yanıt verilmemesi, doğrudan Kurula şikâyet yolunu açar; şikâyet süresi cevabın tebliğinden itibaren işlemeye başlar.
Aktarım Envanteri Kontrol Listesi
- Hangi verinin, hangi ülkedeki hangi alıcıya, hangi teknik yolla aktarıldığı tek tabloda gösterilir.
- Alt işleyenler ve bulut sağlayıcının veri merkezi konumları ayrıca yazılır.
- Her aktarım için dayanak, saklama süresi ve imha planı eşleştirilir.
- Aydınlatma metninde aktarımın amacı ve alıcı grupları açıkça belirtilir; aydınlatma ile rıza metni fiziken ayrılır.
- Özel nitelikli veri aktarılıyorsa ek güvenlik tedbirleri belgelenir.
Denetime Hazırlık
Bir inceleme başladığında istenen ilk belgeler genellikle envanter, politika ve sözleşme ekleridir. Bu belgelerin tarihli sürümlerinin saklanması, uyum çabasının aktarım tarihinde de mevcut olduğunu göstermek bakımından önemlidir.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Aktarımın yapısı, alıcı ülkedeki mevzuat ve veri kategorisi değerlendirmeyi değiştirebilir; kurumsal süreçler için ayrıntılı bir uyum incelemesi yaptırmanız yerinde olur.