KVKK denetimlerinde tartışma çoğu zaman verinin işlenip işlenmediği değil, işlemenin hukuka uygun biçimde belgelendirilip belgelendirilmediği üzerinde düğümlenir. 6698 sayılı Kanun kapsamında aydınlatma yükümlülüğü ile yurt dışına aktarım birlikte incelendiğinde, veri sorumlusundan beklenen şey iyi niyet beyanı değil, tarihli ve izlenebilir kayıttır.
Aydınlatma Metnini Delile Dönüştüren Şey
Bir aydınlatma metninin var olması yeterli değildir; ilgili kişiye hangi tarihte, hangi sürümüyle, hangi kanaldan sunulduğu gösterilebilmelidir. Bu nedenle metinlerin sürüm numarasıyla arşivlenmesi, yayın ve değişiklik tarihlerinin loglanması gerekir. Aynı hizmet için web sitesi, mobil uygulama ve çağrı merkezi farklı metinler kullanıyorsa, her kanal ayrı ayrı belgelenmelidir. Açık rızanın aydınlatmadan ayrı ve özgür iradeye dayalı biçimde alındığını gösteren kayıt da bu dosyanın parçasıdır.
Aktarımın Hukuki Dayanağını Yazıya Bağlamak
Yurt dışına aktarımda ilk soru verinin nereye gittiği değil, hangi dayanakla gittiğidir. Uygulamada dosyaya konulması beklenen başlıklar şunlardır:
- Aktarılan veri kategorileri ve aktarım amacının eşleştirildiği envanter
- Alıcının ülkesi, sıfatı ve veri işleyen sözleşmesinin metni
- Aktarım için dayanılan hukuki mekanizmaya ilişkin belgeler ve varsa Kurula yapılan bildirimler
- Bulut hizmeti kullanılıyorsa sunucu konumu ve alt yüklenici zinciri
Alt yüklenici zinciri çoğu dosyada gözden kaçar; oysa veri fiilen üçüncü bir ülkeye buradan ulaşabilir.
5651 Kesişimi ve Kayıt Tutma
İnternet üzerinden hizmet veren yapılarda 5651 sayılı Kanundan doğan trafik kaydı tutma yükümlülüğü ile KVKK'nın veri minimizasyonu ilkesi aynı anda gündeme gelir. Bu iki yükümlülüğün çakıştığı noktada, tutulan kaydın kapsamı ve saklama süresi gerekçeli biçimde yazılmalıdır. Gerekçesiz uzun saklama süreleri, denetimde başlı başına eleştiri konusu olur.
Tebligat Gecikmesinin Yarattığı Süre Kaybı
Kurul yazışmaları ve kararları çoğunlukla kayıtlı elektronik posta üzerinden ulaşır. Şirket içinde bu adresi kimin izlediği tanımlı değilse, bilgi talebine cevap süresi veya karara karşı idari yargı yoluna başvuru süresi farkında olunmadan işlemeye başlar. Elektronik tebligat adresinin sorumlusu, yedek sorumlusu ve günlük kontrol saati yazılı bir iç prosedürle belirlenmelidir. Tebliğ tarihinin doğru tespiti, sonraki tüm hesabın çıpasıdır.
Kapanış Notu
Yukarıdaki çerçeve genel bilgilendirme amacı taşır. Veri sorumlusunun sektörü, aktarımın yapısı ve verinin niteliği değiştiğinde alınacak tedbirler de farklılaşır. Kurumsal bir uyum programı kurarken veya bir inceleme yazısına cevap hazırlarken dosyaya özel hukuki değerlendirme almanız önerilir.