Kişisel verilerin yurt dışına aktarıldığı yapılarda aydınlatma yükümlülüğü, tek bir metnin siteye eklenmesiyle yerine getirilmiş sayılmaz. 6698 sayılı KVKK bakımından asıl soru şudur: aktarımın hangi hukuki mekanizmaya dayandığı ilgili kişiye ne zaman ve nasıl anlatıldı ve bu anlatım belgelenebiliyor mu? Bu rehber, hem veri sorumlusu hem ilgili kişi açısından ispat ve süre boyutunu ele alır.
Aydınlatmanın Yapıldığını Kanıtlayan Kayıtlar
Aydınlatmanın ispatı veri sorumlusundadır. Bu nedenle metnin varlığı değil, sunulduğu anın kaydı önemlidir:
- Metnin gösterildiği ekranın sürüm numarası ve yürürlük tarihi arşivi
- Onay/görüntüleme zaman damgası içeren sistem logları
- Çağrı merkezi senaryolarında okunan metnin kayıt altına alınmış hali
- Fiziksel kanallarda imzalı form örnekleri ve saklama yeri
Aktarım Zincirini Gösteren Belgeler
Yurt dışı aktarımda dosya, verinin nereye ve hangi güvence ile gittiğini uçtan uca göstermelidir. İşleme envanteri, veri akış şeması, yurt dışındaki alıcının rolü (veri sorumlusu mu, işleyen mi), kullanılan sözleşmesel güvence ve saklama süresi bir arada tutulduğunda, bir inceleme talebine günler içinde yanıt verilebilir. Bu belgeler eksikse, aktarımın hukuka uygun bir mekanizmaya dayandığı iddiası sonradan üretilmiş görünümü taşır.
Kurula Şikayette Süre Kapıları
İlgili kişinin izleyeceği sıra bellidir ve her adım süreye bağlıdır. Önce veri sorumlusuna başvurulur; veri sorumlusunun talebi en geç otuz gün içinde sonuçlandırması beklenir. Başvurunun reddi, verilen cevabın yetersiz bulunması veya hiç cevap verilmemesi halinde Kurula şikayet yolu açılır. Şikayet için cevabın öğrenilmesinden itibaren otuz günlük ve her halde başvuru tarihinden itibaren altmış günlük süreler işler. Doğrudan Kurula yapılan, veri sorumlusu aşaması atlanmış başvurular usulden değerlendirme dışı bırakılabilir ve bu sırada süre tükenir.
İhlal Halinde İç Süreçlerin İşletilmesi
Veri ihlali tespit edildiğinde Kurula ve ilgili kişilere bildirim yükümlülüğü doğar. Bildirim kararının hangi saatte, hangi bilgiye dayanılarak alındığını gösteren iç tutanaklar, sonraki incelemede özenin ölçüsünü belirler. Ayrıca 5651 sayılı Kanun kapsamındaki içerik ve erişim sağlayıcı yükümlülükleriyle çakışan durumlarda, kayıtların hangi mevzuat gereği ne kadar saklandığı ayrıştırılmalıdır.
Kapanış
Aydınlatma ve aktarım dosyası, denetim günü değil sistem tasarlanırken kurulur. Yukarıdakiler genel bilgilendirme niteliğindedir; veri kategorisi, sektör ve aktarım yapısı değerlendirmeyi değiştirebileceğinden, somut yapı için ayrı bir hukuki inceleme yapılması gerekir.