Kişisel veri uyuşmazlıklarında veri sorumlusunun en sık düştüğü hata, yükümlülüğü yerine getirmiş olmakla bunu ispat edebilmeyi aynı şey sanmasıdır. KVKK ve 6698 sayılı Kanun çerçevesinde aydınlatma yapıldığının gösterilmesi veri sorumlusuna aittir; yurt dışı aktarım söz konusu olduğunda ise ispat konusu bir kat daha teknikleşir.
Aydınlatmanın Yapıldığı Nasıl Gösterilir
Metnin sitede bir yerde bulunması tek başına yeterli sayılmayabilir. Aranan şey, ilgili kişiye veri işleme faaliyetinden önce ve anlaşılır biçimde ulaşıldığının kanıtlanabilmesidir. Bu nedenle metnin içeriği kadar sunum anı da kayıt altına alınmalıdır: hangi sürümün, hangi tarihte, hangi kanalda gösterildiği izlenebilir olmalıdır.
- Aydınlatma metninin sürüm numarası ve yürürlük tarihiyle arşivlenmesi
- Açık rıza alınan hâllerde rızanın ayrı, seçimlik ve geri alınabilir biçimde kurgulanması
- Aydınlatma ile rızanın aynı kutucukta birleştirilmemesi
- Çağrı merkezi ve fiziki ortam için ayrı ispat yönteminin belirlenmesi
Yurt Dışı Aktarımda Dosyayı Taşıyan Belge
Aktarımın hukuki dayanağı olmadan yapılması, aydınlatma eksikliğinden daha ağır sonuç doğurur. Burada belirleyici olan, aktarımın hangi mekanizmaya dayandığının belgeyle gösterilebilmesidir. Sunucusu yurt dışında bulunan bir yazılımın kullanılması dahi aktarım sonucu doğurabileceğinden, tedarikçi envanterinin veri akışı yönünden çıkarılması gerekir. Sözleşme metinleri, aktarılan veri kategorileri ve saklama süreleriyle birlikte tek dosyada tutulmalıdır.
Başvurudan Şikâyete Uzanan Takvim
İlgili kişi önce veri sorumlusuna başvurur; başvuru reddedilir, yetersiz yanıtlanır veya kanunda öngörülen süre içinde cevaplanmazsa Kurula şikâyet yolu açılır. Şikâyet için de ayrı bir süre işler ve bu süre kaçırıldığında aynı talep kolayca canlandırılamaz. Veri sorumlusu açısından risk aynadadır: yanıtsız bırakılan her başvuru, kendisine karşı süre işletir.
Denetim Anında Aranan Dosya
İnceleme başladığında istenen belgeler kısa sürede toplanamıyorsa, uyumlu olunsa bile savunma zayıflar. Envanter, saklama ve imha politikası, ihlal bildirimi kayıtları ve tedarikçi sözleşmeleri güncel tutulmalı; her belge kim tarafından ne zaman onaylandığı görülecek şekilde saklanmalıdır.
Bu içerik genel bir yol haritası sunar. Veri akışınızın yapısı ve kullandığınız sistemler yükümlülükleri değiştireceğinden, uyum çalışmasının somut envanteriniz üzerinden yapılması yerinde olur.