Kişisel verilerin yurt dışına aktarıldığı süreçlerde aydınlatma yükümlülüğü, çoğu kurumda bir metin hazırlama işi olarak görülür. Oysa 6698 sayılı KVKK bakımından asıl mesele metnin varlığı değil, o metnin ilgili kişiye hangi anda ve hangi içerikle sunulduğunun sonradan gösterilebilmesidir. Bir şikâyet veya inceleme gündeme geldiğinde ispat yükü veri sorumlusunun üzerindedir ve kayıt tutulmamışsa, doğru hazırlanmış bir metin dahi savunmaya yetmez.
Aydınlatmanın Zamanı Kaydın Konusudur
Aydınlatma, verinin elde edildiği sırada yapılır. Bu nedenle saklanması gereken şey yalnızca metin değil, metnin gösterildiği andır. Çevrimiçi formlarda gösterim zamanının ve metin sürümünün birlikte kaydedilmesi, fiziki süreçlerde ise imzalı nüshanın tarihiyle arşivlenmesi gerekir. Metin güncellendiğinde eski sürümlerin silinmesi, geçmiş dönem başvurularında savunmasız kalınmasına yol açan yaygın bir hatadır.
Aktarım Zincirinin Belgelenmesi
Yurt dışı aktarımında verinin izlediği yol çoğu zaman tek adımdan ibaret değildir: bir hizmet sağlayıcı, onun kullandığı altyapı ve altyapının bulunduğu ülke arka arkaya gelir. Aydınlatma metninde aktarımın varlığından söz edilip alıcı grubu ve amacı belirtilmediğinde, metin biçimsel olarak vardır ancak içeriksel olarak eksiktir. Zincirin her halkasının sözleşme, hizmet tanımı ve sunucu konumu bilgisiyle birlikte kayda geçirilmesi, inceleme sırasında sorulan soruların çoğunu baştan karşılar.
Dosyada Bulunması Gereken Kayıtlar
- Aydınlatma metninin tarihli sürümleri ve hangi tarih aralığında yürürlükte olduğu
- Metnin ilgili kişiye sunulduğunu gösteren sistem kaydı, ekran akışı veya imzalı nüsha
- Aktarımın dayandığı hukuki sebebin belirlendiği iç değerlendirme notu
- Alıcı taraflarla imzalanan sözleşmeler ve veri işleme ekleri
- Veri envanteri ile aydınlatma metnindeki kategori tanımlarının örtüştüğünü gösteren karşılaştırma
Açık Rıza ile Aydınlatmanın Karıştırılması
Uygulamada en sık rastlanan delil sorunu, aydınlatma ile açık rızanın tek bir onay kutusunda birleştirilmesidir. Bu birleştirme, hem rızanın özgür iradeye dayandığını gösterme imkânını zayıflatır hem de aydınlatmanın ayrıca yapıldığını ispatlamayı güçleştirir. İki işlemin ayrı kaydedilmesi, ayrı zaman damgası taşıması ve rızanın geri alınmasına ilişkin talebin de aynı sistemde izlenebilmesi gerekir.
Başvuru Geldiğinde Neye Bakılır
İlgili kişinin başvurusu ulaştığında yanıt süresi işlemeye başlar ve bu süre içinde üretilen belgeler sonradan tarih taşımaz. Bu nedenle yanıt hazırlanırken mevcut kayıtlara dayanılması, eksik olan noktanın kabul edilerek giderim planının açıklanması, geriye dönük belge oluşturulmasından daha savunulabilir bir tutumdur. Web sitesi üzerinden yürütülen süreçlerde 5651 sayılı Kanun kapsamındaki trafik kayıtlarıyla KVKK kapsamındaki işleme kayıtlarının farklı amaçlara hizmet ettiği de gözden kaçırılmamalıdır.
Bu içerik genel bir çerçeve sunar; aktarımın yapısı, alıcı ülke ve veri kategorisi değerlendirmeyi değiştirebileceğinden kurumsal süreç kurulurken hukuki destek alınması tavsiye edilir.