Yurt dışına veri aktaran şirketlerde denetim çoğunlukla aktarımın hukuka uygunluğundan değil, ilgili kişinin bu aktarımdan usulüne uygun biçimde haberdar edilip edilmediğinden açılır. 6698 sayılı KVKK bakımından aydınlatma bir bilgilendirme nezaketi değil, yerine getirildiği belgelenebilmesi gereken bir yükümlülüktür ve ispat yükü veri sorumlusundadır.
Aydınlatma Metninin Aktarımı Gerçekten Kapsaması
Uygulamada en sık rastlanan eksiklik, metinde "gerektiğinde yurt dışına aktarılabilir" gibi genel bir cümle bırakılmasıdır. Bu ifade, aktarımın amacını, alıcı grubunu ve hukuki sebebini göstermediği için işlevini yerine getirmez. Metinde aktarılan veri kategorileri, alıcının niteliği (bulut sağlayıcı, grup şirketi, analiz hizmeti), aktarımın amacı ve dayanılan hukuki sebep somut biçimde ayrılmalıdır.
Aktarımın Hangi Zemine Dayandığını Yazılı Tutmak
- Kurul tarafından yeterlilik kararı verilmiş bir ülkeye aktarım söz konusu mu?
- Yeterlilik kararı yoksa, uygun güvenceler yoluna mı başvuruldu; standart sözleşme, bağlayıcı şirket kuralları veya taahhütname dosyada mevcut mu?
- Mevzuatın öngördüğü bildirim adımı zamanında yerine getirildi mi?
- İstisnai hâllere dayanılıyorsa, bunun arızi ve sınırlı niteliği kayıt altına alındı mı?
Kanıt Dosyası: Neyi Saklamak Gerekir?
Denetimde sorulan soru genellikle "metniniz var mı" değil, "bu metnin ilgili kişiye hangi anda ve nasıl sunulduğunu gösterebiliyor musunuz" biçimindedir. Bu nedenle web formlarındaki sürüm numarası ve zaman damgası, metin değişikliklerinin geçmişi, çalışan işe giriş dosyasındaki imzalı nüsha, çağrı merkezi anonsunun kaydı ve mobil uygulamadaki ekran akışı ayrı ayrı arşivlenmelidir. İşleme envanteri ile aydınlatma metni arasındaki çelişki, tek başına eksiklik göstergesi sayılabilir.
Aydınlatma ile Açık Rızayı Karıştırmamak
Aydınlatma her hâlde yapılır; açık rıza ise yalnızca başka bir hukuki sebep bulunmadığında aranır. İkisinin aynı kutucukta birleştirilmesi, rızanın özgür iradeye dayanmadığı sonucunu doğurabilir. Hizmetin alınmasını rıza şartına bağlayan tasarımlar da aynı riski taşır. Metinler ve arayüz akışı bu ayrımı görünür kılacak biçimde kurgulanmalıdır.
Şikâyet Geldiğinde: Çözmek mi, Savunmak mı?
- İlgili kişinin başvurusu, mevzuatta öngörülen süre içinde ve talep kalemi kalem yanıtlanmalıdır; sessiz kalmak riski büyütür.
- Eksiklik gerçekten varsa, aktarımın durdurulması veya zemininin düzeltilmesi ve bunun başvurana bildirilmesi çoğu zaman daha isabetlidir.
- Uyuşmazlık idari yaptırım aşamasına geçerse, karara karşı yargı yolu ayrıca ve süresi içinde değerlendirilir.
- Süreç boyunca yapılan iyileştirmelerin tarihli olarak belgelenmesi, sonraki aşamalarda dosyanın lehine okunabilir.
Buradaki açıklamalar genel çerçeve sunar; sektör, veri kategorileri ve alıcı yapısı sonucu değiştirir. Aktarım modelinizi kurmadan önce belge setinin ayrıca gözden geçirilmesi yerinde olur.