Yurt dışına veri aktarımını açık rızaya dayandırmak, çoğu şirkette metnin içeriğinden çok metnin nasıl alındığı ve nasıl saklandığıyla ilgili bir sorundur. 6698 sayılı KVKK açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar; aktarım söz konusu olduğunda bu üç unsurun her biri ayrı ayrı ispatlanabilir olmalıdır. Aşağıdaki akış, hem rıza altyapısının kurulmasını hem de ilgili kişi başvurusunun ya da resmi yazışmanın geç tebliğ edilmesi hâlinde doğan süre baskısını konu alır.
Rızayı Aktarıma Özgü Hâle Getirmek
Hizmet sözleşmesinin kabulüyle aynı kutuya bağlanan onaylar, özgür irade unsurunu zayıflatır. Aktarım rızası; üyelik, ticari elektronik ileti ve çerez onaylarından ayrı bir tercih olarak sunulmalı, reddedildiğinde hizmetin hangi kısmının çalışmaya devam ettiği açıkça yazılmalıdır. Katmanlı aydınlatma kullanılıyorsa ikinci katmanda kalan bilgilerin rıza anında erişilebilir olduğu teknik olarak kayıt altına alınmalıdır.
Rıza metninde şu başlıklar tereddüde yer bırakmayacak biçimde yer almalıdır:
- Aktarılan veri kategorileri ve bunların özel nitelikli veri içerip içermediği
- Alıcının kimliği veya alıcı grubu ile aktarımın yapılacağı ülke
- Aktarımın amacı ve amaçla sınırlı kalma taahhüdü
- Rızanın geri alınma yöntemi ve geri alma sonrası veri akışının durumu
- Yurt dışındaki saklama yaklaşımı ve süre sonunda uygulanacak imha yöntemi
Aktarım Öncesi Belge ve Teknik Hazırlık
Rıza tek başına eksiksiz bir savunma üretmez; aktarımın hangi teknik yolla yapıldığı da denetime konu olur. Bulut hizmeti, uzaktan erişim ve alt yüklenici ilişkileri veri işleyen sözleşmeleriyle desteklenmeli; erişim kayıtları kimin hangi tarihte hangi veriye ulaştığını gösterecek ayrıntıda tutulmalıdır. Şirket içi envanter ile sahadaki gerçek akışın uyuşmaması, uygulamada en sık rastlanan tutarsızlıktır.
Tebligat Gecikmesi Neden Belirleyici
İlgili kişi başvurusuna verilecek cevap ve idari süreçler bakımından süreler, evrakın şirkete ulaştığı ana bağlıdır. Kayıtlı elektronik posta adresinin izlenmemesi, sicildeki adresin güncellenmemesi veya evrakın şube kayıtlarında bekletilmesi, süre işlemeye başlamışken şirketin haberdar olmaması sonucunu doğurur. Bu risk şu önlemlerle azaltılır:
- KEP ve fiziki posta için tek bir sorumlu ile yedek sorumlu belirlenmesi
- Gelen her evrakın aynı gün tarih kaydıyla dijital kütüğe işlenmesi
- Cevap taslağının son güne bırakılmadan hazırlanması
- Başvurulacak merciin karar metnindeki bilgilendirmeden teyit edilmesi
Evrak geç görülmüşse tebliğin usulüne uygun yapılıp yapılmadığı ayrıca incelenmelidir; usulsüz tebligat ileri sürülecekse öğrenme anını gösteren kayıtlar en baştan korunmalıdır.
Buradaki değerlendirmeler genel niteliktedir; her aktarım senaryosunun hukuki dayanağı, veri kategorisi ve alıcı ülkeye göre farklılaşır. Şirketinizin somut veri akışı için dosya bazlı bir hukuki inceleme yaptırmanız yerinde olur.