Kişisel verilerin yurt dışına aktarılması, KVKK uyum çalışmalarının en çok hata üretilen başlığıdır. Şirketler çoğu zaman tek bir onay kutusuyla tüm aktarımların hukuki zemininin kurulduğunu varsayar. Oysa 6698 sayılı Kanun, açık rızayı istisnai bir dayanak olarak konumlandırır ve aktarımın kendisi için ayrı şartlar arar. Bu rehber, aktarım öncesi yapılması gereken denetimi konu alıyor.
Açık rıza neden son çare olarak düşünülmeli
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Hizmetin sunulması rızaya bağlandığında özgür irade tartışması doğar. Ayrıca rıza her zaman geri alınabildiğinden, üzerine kurulan operasyonel süreç kırılgan hâle gelir. Bu nedenle önce diğer işleme şartlarının uygulanabilirliği değerlendirilmelidir.
Aktarım envanterinde denetlenecekler
- Hangi veri kategorisinin, hangi ülkeye ve hangi alıcıya aktarıldığı
- Aktarımın amacı ve bu amaç için gerçekten gerekli olup olmadığı
- Bulut hizmeti kullanımında verinin fiilen nerede tutulduğu
- Alt işleyicilerin listesi ve sözleşmesel yükümlülükleri
- Saklama süresi ve süre sonunda imha yönteminin tanımlı olması
Uyum adımları
- Veri işleme envanterini güncelleyip aktarım içeren süreçleri ayrı işaretleyin.
- Her aktarım için hukuki dayanağı yazılı olarak belirleyin ve gerekçelendirin.
- Aydınlatma metni ile rıza metnini birbirinden ayrı belgeler hâlinde kurun.
- Rızanın alındığı anı, kanalı ve içeriğini kayıt altına alan bir sistem kurgulayın.
- Rızanın geri alınması hâlinde işleyecek teknik akışı önceden tanımlayın.
Usule aykırılığın görünür sonuçları
Aydınlatma yükümlülüğü ile rıza alma işleminin aynı metinde ve aynı onay kutusunda birleştirilmesi, rızanın geçerliliğini tartışmaya açar. Benzer biçimde, ilgili kişi başvurularına kanunda öngörülen süre içinde cevap verilmemesi, esasta uyumlu olan bir şirket için ayrı bir sorun kaynağı olur. Başvuruların kaydedildiği tek bir kanal bulunmaması da bu riski büyütür.
5651 boyutu
İnternet üzerinden hizmet sunan yapılarda trafik kaydı tutma yükümlülükleri ile veri minimizasyonu ilkesi birlikte değerlendirilmelidir. İki mevzuatın kesişiminde saklama süreleri ve erişim yetkileri ayrı ayrı belgelenmelidir.
Bu metin genel bilgilendirme amacı taşır; şirketinizin veri akışı ve sektörü uyum yolunu değiştirebilir. Aktarım kararını uygulamaya almadan önce süreçlerin hukuki incelemeden geçirilmesi önerilir.