Yurt dışına aktarım tartışmalarında en sık yapılan hata, her aktarımı açık rıza ile çözmeye çalışmaktır. Bu rehber, 6698 sayılı KVKK ekseninde aktarım yolunun seçimini ve başvuru takvimini birlikte inceler.
Açık Rıza Hangi Durumda Uygun Bir Dayanaktır?
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Hizmetin verilmesi rızaya bağlanmışsa özgür iradeden söz edilmesi güçleşir. Süreklilik taşıyan aktarımlarda rızanın her an geri alınabilir olması operasyonel bir kırılganlık yaratır; bu nedenle rıza, uygun yöntemlerin bulunmadığı hâllerde başvurulacak bir seçenek olarak konumlandırılmalıdır.
Aktarım Yolunu Seçmeden Önce Yapılacak Envanter
- Hangi veri kategorisinin hangi ülkeye ve hangi alıcı grubuna aktarıldığı
- Alıcının veri sorumlusu mu yoksa veri işleyen mi olduğu
- Bulut hizmetlerinde sunucu konumu ve erişim yetkileri
- Aktarımın süreklilik mi yoksa arızi nitelik mi taşıdığı
- Aydınlatma metinlerinin aktarım gerçeğiyle uyumu
Takvimi Kaçıran Nokta: Belgelendirme Süresi
Aktarım mekanizmalarının kurulması sözleşme müzakeresi, imza ve bildirim adımlarını içerir. Bu adımların tamamlanması zaman aldığından, hizmet başlangıç tarihinden geriye doğru bir takvim kurulmalıdır. Aktarım fiilen başladıktan sonra belge tamamlamaya çalışmak, denetim aşamasında en zayıf noktayı oluşturur.
İç kontrol takvimi
- Envanterin güncellenmesi ve aktarım haritasının çıkarılması
- Sözleşme ve taahhüt metinlerinin hazırlanması, imza sürecinin izlenmesi
- Bildirim gereken hâllerde bildirimin yapılması ve kaydının saklanması
- Aydınlatma ve varsa rıza metinlerinin yenilenmesi
- Yıllık gözden geçirme tarihinin sabitlenmesi
İlgili Kişi Başvurusu Geldiğinde Süre İşlemeye Başlar
İlgili kişinin veri sorumlusuna yaptığı başvuru, hem yanıt süresini hem de sonrasındaki şikâyet yolunu tetikler. Yanıtın gecikmesi ya da hiç verilmemesi, ilgili kişi bakımından Kurula başvuru hakkını doğurur; veri sorumlusu bakımından ise savunma imkânını zayıflatır. Bu nedenle başvurular tek bir kayıt defterinde tarihleriyle izlenmelidir. Kurul kararlarına karşı yargı yoluna başvuru da ayrı ve kısa bir süreye bağlıdır; tebliğ tarihi mutlaka kayıt altına alınmalıdır.
Burada anlatılanlar genel çerçeveyi göstermektedir. Aktarım yapılarında sektör, alıcı ülke ve veri kategorisi sonucu değiştirdiğinden, kendi süreç haritanız üzerinden hukuki değerlendirme yapılmasında yarar vardır.