Kişisel veri uyum dosyalarında en sık görülen boşluk, uygulamanın kâğıt üzerinde var olup kayıt altında bulunmamasıdır. 6698 sayılı KVKK kapsamında aydınlatma yükümlülüğünün yerine getirildiğini ispat yükü veri sorumlusundadır; yurt dışına aktarım söz konusu olduğunda bu yük daha da ağırlaşır. Bu rehber, aktarım senaryolarında aydınlatmanın nasıl belgeleneceğine odaklanır.
İspat Yükü Nerede Duruyor?
Bir inceleme veya şikâyet sürecinde ilgili kişinin aydınlatılmadığını ispat etmesi beklenmez; aydınlatmanın yapıldığını göstermek veri sorumlusuna düşer. Bu nedenle aydınlatma metninin varlığı tek başına yeterli değildir. Metnin hangi tarihte, hangi kanalda ve hangi sürümüyle sunulduğunun izlenebilir olması gerekir.
Aktarım Zincirini Kayda Almak
Yurt dışına aktarım çoğu zaman doğrudan bir gönderim olarak değil, kullanılan hizmetlerin altyapısı üzerinden gerçekleşir. Bulut depolama, e-posta altyapısı, analitik araçlar ve müşteri ilişkileri yazılımları bu kapsamda değerlendirilmelidir.
- Hangi verinin hangi hizmet sağlayıcı üzerinden işlendiğini gösteren envanter kaydı
- Sunucu ve veri merkezi konumuna ilişkin sağlayıcı beyanları
- Sağlayıcıyla imzalanan sözleşmeler ve veri işleme ekleri
- Aktarımın hangi hukuki dayanağa göre yapıldığını gösteren iç değerlendirme notu
Aydınlatma ile Açık Rıza Aynı Şey Değildir
Uygulamada en sık rastlanan hata, aydınlatma metni ile rıza beyanının tek bir kutucukta birleştirilmesidir. Bu birleştirme hem aydınlatmanın hem de rızanın geçerliliğini tartışmalı hâle getirir. İki metnin ayrı sunulması ve rızanın ayrı bir iradeyle alındığının kayıt altına alınması, sonraki aşamada en çok işe yarayan belgedir.
İnceleme Sürecinde Sunulacak Dosya
Bir başvuru veya şikâyet geldiğinde hazırlanacak dosyanın kendi kendini anlatır nitelikte olması gerekir. Ekran akışının hangi sırayla ilerlediğini gösteren kayıtlar, metnin yayımlandığı tarihi gösteren sürüm bilgisi ve ilgili kişinin başvurusuna verilen cevabın tarihli örneği birlikte sunulmalıdır. Elektronik ortamda yürütülen hizmetlerde 5651 sayılı Kanun kapsamındaki kayıt yükümlülükleri de ayrıca gözden geçirilmelidir.
Delil Eksikliğinin Tipik Görünümü
- Aydınlatma metninin güncellendiği ancak eski sürümlerin saklanmadığı hâller
- Aktarım yapılan sağlayıcı listesinin fiilen değişmesine rağmen envanterin güncellenmemesi
- Başvuruya süresinde cevap verildiğinin gösterilememesi
- Çalışan verileri bakımından ayrı bir aydınlatma yapılmamış olması
Bu metin genel bilgilendirme amacı taşır. Veri kategorileri, aktarım yapısı ve işleme amaçları uyum yükümlülüklerini değiştirebileceğinden, kurumsal süreç kurulmadan önce ayrıntılı bir değerlendirme yapılması önerilir.