Bulut hizmeti kullanan, yurt dışındaki grup şirketiyle veri paylaşan ya da yabancı bir sağlayıcıya insan kaynakları süreçlerini devreden her yapı, aynı soruyla karşılaşır: aktarımın hukuki dayanağı nedir? KVKK ve 6698 düzeninde açık rıza bu sorunun tek cevabı değildir ve çoğu zaman en kırılgan olanıdır. Aşağıdaki liste, denetim öncesi yapılacak iç kontrolü sıralar.
Açık Rızanın Zayıf Halkası
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle açıklanmış olmalıdır. Hizmetin sunulması rıza vermeye bağlanmışsa özgür irade koşulu tartışmalı hâle gelir. Çalışan ile işveren arasındaki bağımlılık ilişkisi de rızayı zayıflatır. Ayrıca rıza her zaman geri alınabilir; geri alındığında aktarımın dayanağı ortadan kalkar ve yurt dışındaki kayıtların akıbeti sorun olur. Bu nedenle süreklilik arz eden aktarımlarda rıza, tek başına sürdürülebilir bir zemin değildir.
Rıza Dışındaki Aktarım Mekanizmaları
- Yeterlilik kararı bulunan ülkelere aktarım.
- Standart sözleşme hükümlerinin taraflarca imzalanması ve öngörülen süre içinde Kuruma bildirilmesi.
- Grup şirketleri için bağlayıcı şirket kurallarının onaylanması.
- Yazılı taahhütname yoluyla ve izin alınarak yapılan aktarım.
- Mevzuatta sayılan arızi durumlara dayalı, süreklilik taşımayan aktarımlar.
Denetim Öncesi İç Kontrol
- Veri envanteri, hangi verinin hangi ülkeye hangi sağlayıcı üzerinden gittiğini gösteriyor mu?
- Alt işleyenler zinciri çıkarıldı mı; sağlayıcının kullandığı üçüncü taraf sunucular biliniyor mu?
- Aydınlatma metni, aktarımın amacını ve alıcı grubunu somut biçimde belirtiyor mu?
- Açık rıza, aydınlatmadan ayrı bir irade beyanı olarak mı alınıyor; aynı kutucuğa sıkıştırılmış mı?
- Standart sözleşme kullanılıyorsa metin, imza tarihinden itibaren öngörülen sürede bildirildi mi?
- VERBİS kaydı ve saklama imha politikası güncel mi?
Yaptırımla Karşılaşıldığında
İdari para cezasıyla karşılaşan veri sorumlusunun ilk yapması gereken, karar metnindeki başvuru yolu ve süre bilgisini okumaktır. Bu alandaki başvuru mercii mevzuat değişiklikleriyle güncellendiğinden, geçmiş uygulamaya göre hazırlanan bir dilekçe süre kaybına yol açabilir. Kararın gerekçesinde hangi aktarımın hangi dayanaktan yoksun sayıldığı ayrıştırılmalı; itiraz, tüm karara değil bu tespitlere odaklanmalıdır.
Çevrimiçi hizmet sunan yapılarda barındırma ve erişim kayıtlarına ilişkin 5651 yükümlülükleri de aynı anda gündeme gelebilir. İki mevzuatın gerektirdiği saklama süreleri farklı olduğundan, tek bir imha takvimi kurulurken her iki rejim birlikte okunmalıdır.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Aktarımın yapısı, alıcı ülke ve veri kategorisi uyum stratejisini değiştireceğinden, kurumsal süreçlerinizi hukuki destekle yeniden gözden geçirmeniz uygun olur.