Yurt dışına aktarımda en sık yapılan tercih açık rızaya dayanmaktır; oysa bu, hukuken en kırılgan zemindir. Rıza her an geri alınabilir, koşulları tartışmaya açıktır ve rızanın gerçekten "özgür iradeyle ve bilgilendirilmiş" olarak alındığını ispat yükü veri sorumlusundadır. Bu rehber 6698 sayılı KVKK çerçevesinde, aktarım yönteminin seçilmesi ve belgelendirme takviminin kurulmasına odaklanır.
Açık Rıza Neden Son Çare Olmalı
Mevzuat, yurt dışına aktarım için önce yeterlilik kararının bulunup bulunmadığına, yoksa uygun güvencelerin sağlanıp sağlanamayacağına bakılmasını öngörür. Standart sözleşme ve bağlayıcı şirket kuralları gibi araçlar kurumsal süreklilik sağlar; açık rıza ise kişi bazlıdır ve tek bir geri alma bildirimiyle aktarım hukuki dayanağını kaybeder. Hizmetin sunulmasını rıza şartına bağlamak da rızanın özgür iradeye dayanmadığı eleştirisini davet eder.
Aktarım Envanteri Çıkarmadan Adım Atmayın
- Hangi veri kategorisinin, hangi ülkeye, hangi alıcıya aktarıldığı
- Aktarımın amacı ve saklama süresi
- Alt işleyenlerin ve bulut sağlayıcılarının sunucu konumu
- Aktarılan veriler arasında özel nitelikli veri bulunup bulunmadığı
- Her aktarım için dayanılan hukuki sebep ve bu sebebin belgesi
Rıza Metnini ve Kaydını Kurgulamak
- Aydınlatma ile rıza metni ayrı belgeler halinde düzenlenir, tek metne sıkıştırılmaz.
- Aktarımın yapılacağı ülke ve alıcı grubu belirsiz ifadelerle değil, anlaşılır biçimde belirtilir.
- Rızanın alındığı an; tarih, saat, kanal ve metin sürümü ile birlikte kayda geçirilir.
- Metin güncellendiğinde eski sürümler arşivde saklanır, üzerine yazılmaz.
- Geri alma talebi için işleyen bir kanal tanımlanır ve talep süresi içinde sonuçlandırılır.
İlgili Kişi Başvurusu Geldiğinde İşleyen Takvim
Veri sahibinin başvurusu, veri sorumlusuna yapılan yazılı talep ile başlar; talebin cevaplanmaması veya yetersiz cevaplanması halinde Kurula şikâyet yolu açılır. Şikâyet için mevzuatta öngörülen süreler, veri sorumlusuna başvuru tarihine bağlı işlediğinden, gelen ve giden her yazının tarihi tek bir kayıt defterinde tutulmalıdır. Bu kayıt, denetim halinde ilk istenen belgedir.
Denetimde Sorulan Asıl Soru
İnceleme sırasında tartışma çoğunlukla metnin içeriğinden değil, sürüm yönetiminden çıkar: hangi kullanıcıya hangi tarihte hangi metnin gösterildiği gösterilemiyorsa, rızanın bilgilendirilmiş olduğu iddiası havada kalır. Teknik loglama ile hukuki dokümantasyonun birbirine bağlanması bu nedenle zorunludur.
Yazıda yer alan açıklamalar genel çerçeve sunar. Aktarımın yapısı ve alıcı ülkenin durumu yükümlülükleri değiştirebileceğinden, kurumunuza özel bir uyum değerlendirmesi yaptırmanız yerinde olacaktır.