Bulut hizmetleri, yurt dışı merkezli yazılımlar ve grup şirketleri arasındaki paylaşımlar nedeniyle neredeyse her veri sorumlusu bir noktada aktarım sorusuyla karşılaşır. KVKK kapsamında yapılan düzenlemelerle birlikte yurt dışına aktarım, kademeli bir yapıya kavuşmuştur ve açık rıza bu kademelerin en sonunda, arızi hâller için öngörülen dayanaktır. Aşağıdaki kontrol listesi, açık rızaya yaslanmanın yarattığı kırılganlığı azaltmaya yöneliktir.
Açık Rıza Neden Zayıf Bir Dayanaktır
- Her zaman geri alınabilir; geri alındığı anda aktarımın hukuki temeli ortadan kalkar.
- Hizmetin sunulması rızaya bağlanamaz; koşula bağlanan rıza özgür iradeye dayanmaz.
- Belirli bir konuya ilişkin ve bilgilendirmeye dayalı olması gerekir; genel ve toplu alınan rızalar geçersiz sayılabilir.
- Süreklilik arz eden aktarımlar için uygun bir araç değildir.
Aktarım Öncesi Envanter Çalışması
- Hangi veri kategorisinin, hangi ülkeye, hangi alıcı grubuna aktarıldığı listelenir.
- Özel nitelikli veri bulunup bulunmadığı ayrıca işaretlenir.
- Aktarımın amacı, saklama süresi ve alt işleyicilerin varlığı kaydedilir.
- Verinin fiziken nerede barındırıldığı, hizmet sağlayıcının sözleşmesinden teyit edilir.
- Uzaktan erişimin de aktarım sayılabileceği göz önünde bulundurulur.
Sıralamayı Doğru Kurmak
Aktarımda öncelikle ilgili ülke, sektör veya uluslararası kuruluş bakımından yeterlilik kararı bulunup bulunmadığına bakılır. Böyle bir karar yoksa, taraflar arasında uygun güvencelerin sağlanması gündeme gelir; standart sözleşme ve bağlayıcı şirket kuralları bu araçlar arasındadır. Standart sözleşme kullanıldığında, imzalanmasının ardından Kurula bildirim yapılması gerektiği unutulmamalıdır. Bu kademeler tüketilmeden doğrudan açık rızaya geçilmesi, denetim hâlinde en sık eleştirilen noktalardan biridir.
Sözleşme ve Aydınlatma Metinlerinin Uyumu
- Aydınlatma metninde aktarımın yapıldığı ülke ve amacı açıkça yer alıyor mu?
- Rıza metni, hizmet sözleşmesinin kabulünden ayrı ve seçimlik olarak sunulmuş mu?
- Hizmet sağlayıcıyla imzalanan sözleşmede veri güvenliği, alt işleyici ve ihlal bildirimi maddeleri var mı?
- Rıza geri alındığında verinin silinmesini sağlayacak teknik akış tanımlanmış mı?
Bildirim ve Süre Takibi
İlgili kişi başvuruları, Kurul yazışmaları ve veri ihlali bildirimleri kısa süreli takvimlere bağlıdır. Kurumsal elektronik posta adresinin veya tebligat adresinin güncel tutulmaması, yazının geç okunması ve cevap süresinin kaçırılması sonucunu doğurur. Başvurunun geldiği tarih, yanıt tarihi ve varsa Kurula intikal tarihi tek bir kayıtta izlenmeli; irtibat kişisi bilgileri güncel tutulmalıdır.
Yukarıdaki başlıklar genel bir uyum çerçevesi sunar; veri kategorisi, sektör ve aktarım hacmi yükümlülükleri değiştirir. Aktarım yapısını kurgulamadan önce süreçlerinizi bir hukukçuyla birlikte gözden geçirmeniz uygun olacaktır.