Yurt dışına veri aktarımı, KVKK uyum çalışmalarının en çok gözden kaçan başlığıdır. 6698 sayılı Kanunda aktarıma ilişkin çerçeve kademeli bir yapı öngörür ve açık rıza bu yapının kalıcı bir bileşeni değildir. 5651 sayılı Kanun kapsamındaki yükümlülüklerle birlikte değerlendirildiğinde, aktarımın hukuki dayanağı belirlenmeden hiçbir takvim kurulamaz.
Önce Aktarım Yolu Belirlenir
Aktarımda izlenecek yol bir sıraya tabidir. İlk olarak ilgili ülke, sektör ya da uluslararası kuruluş bakımından yeterlilik kararı bulunup bulunmadığına bakılır. Yeterlilik kararı yoksa uygun güvencelerin sağlanması gündeme gelir: standart sözleşme, bağlayıcı şirket kuralları, taahhütname gibi araçlar bu başlıktadır. Bu araçların hiçbiri uygulanamıyorsa ancak arızi nitelikteki hâllerde istisnalara başvurulabilir.
Açık Rıza Neden Kalıcı Çözüm Sayılmaz
Açık rıza, aktarım için başvurulacak ilk dayanak değil, arızi durumlar için öngörülen istisnalardan biridir. Süreklilik arz eden aktarımların açık rızaya dayandırılması iki yönlü risk taşır: rıza her zaman geri alınabilir ve geri alındığı anda aktarımın hukuki dayanağı ortadan kalkar; ayrıca hizmetin kullanılmasının rıza şartına bağlanması, rızanın özgür iradeyle verilmediği tartışmasını doğurur. Açık rızanın aydınlatma yükümlülüğünden ayrı bir irade açıklaması olarak alınması ve kaydının tarihli tutulması gerekir.
Belgelendirme ve Bildirim Yükümlülüğü
Uygun güvenceye dayanan aktarımlarda, kullanılan aracın niteliğine göre Kurula bildirim ya da izin gereksinimi doğabilir. Bu adım tamamlanmadan aktarıma başlanması, teknik olarak sözleşme imzalanmış olsa dahi aykırılık oluşturur. Bildirim için kanunda öngörülen süre içinde hareket edilmemesi ise idari yaptırım riskini büyütür. Uygulamada en sağlam yaklaşım, aktarım envanterini veri kategorisi, alıcı, ülke, dayanak ve tarih sütunlarıyla tutmaktır.
Kontrol Listesi
- Hangi verinin, hangi amaçla, hangi alıcıya aktarıldığının yazılı dökümü
- Bulut hizmeti ve alt yüklenici kullanımının aktarım sayılıp sayılmadığının değerlendirilmesi
- Aydınlatma metninin aktarım bilgisini içerip içermediği
- Sözleşmelerdeki veri işleyen hükümlerinin güncelliği
- Saklama ve imha politikasının aktarım süresiyle uyumu
İlgili Kişi Başvurusu ve İdari Yol
Veri sahibi önce veri sorumlusuna başvurur; cevap verilmemesi ya da cevabın yetersiz bulunması hâlinde Kurula şikâyet yoluna gidilir. Her iki aşamada da kanunda öngörülen süreler işler ve bu süreler kaçırıldığında talep incelenmeden sonuçlanabilir. Kurul kararlarına karşı idari yargı yolu açıktır; bu aşamada da dava açma süresinin ayrıca hesaplanması gerekir.
Buradaki değerlendirmeler genel çerçeve sunar. Aktarımın niteliği, alıcının bulunduğu ülke ve verinin kategorisi yükümlülükleri değiştirebileceğinden, uyum çalışmasının dosya bazında yürütülmesi önerilir.