Kişisel veri uyuşmazlıklarında denetim çoğunlukla tek bir soruyla başlar: bunu belgeleyebiliyor musunuz? Aydınlatma yapıldığı ya da aktarımın hukuka uygun bir mekanizmaya dayandığı sözle değil, kayıtla ortaya konulur. İspat yükünün konumu bilinmediğinde savunma en baştan zayıf kurulur.
İspat Yükü Veri Sorumlusundadır
KVKK düzeninde aydınlatma yükümlülüğünün yerine getirildiğini ispat, veri sorumlusuna aittir. Bu, metnin bir yerlerde yayımlanmış olmasının yeterli olmadığı anlamına gelir. Aydınlatmanın veri işleme faaliyetinden önce ve ilgili kişiye ulaşacak biçimde yapıldığının gösterilmesi gerekir. Uygulamada işe yarayan kayıtlar; formun sunulduğu ekran akışı, zaman damgalı onay logları, sözleşme ekindeki imzalı metin ve çağrı merkezi ses kayıtlarıdır. Aydınlatma ile açık rızanın aynı metinde birleştirilmesi ise sık rastlanan ve savunmayı zorlaştıran bir tercihtir; bu ikisi ayrı yükümlülüklerdir.
Yurt Dışı Aktarımda Hangi Belge Neyi Gösterir?
6698 sayılı Kanun kapsamında yurt dışına aktarım, kademeli bir yapıya bağlanmıştır. Değerlendirme sırası şöyle kurulur:
- Aktarımın yapılacağı ülke ya da sektör bakımından yeterlilik kararı bulunup bulunmadığı
- Yeterlilik kararı yoksa uygun güvencelerden hangisine dayanıldığı: standart sözleşme, taahhütname veya bağlayıcı şirket kuralları
- Standart sözleşmeye dayanılıyorsa, imzalanan metnin öngörülen süre içinde Kuruma bildirildiğini gösteren kayıt
- Bunların hiçbiri yoksa arızi nitelikteki istisnalardan hangisinin somut olayda karşılandığı
Bulut hizmeti, e posta altyapısı ve analiz araçları gibi hizmetlerin çoğu fiilen bir aktarım doğurur; sözleşme metninde aktarım yok yazması bu sonucu değiştirmez. Bu nedenle envanterde her hizmet sağlayıcının sunucu konumu ayrıca kayıt altına alınmalıdır.
Kuruma Şikâyet mi, Mahkeme mi?
Mercii yönünden en sık yapılan hata, doğrudan Kurula şikâyette bulunulmasıdır. Kural olarak ilgili kişinin önce veri sorumlusuna başvurması, cevap alamaması ya da cevabı yetersiz bulması hâlinde Kurula şikâyet yoluna gitmesi gerekir. Bu ön basamak atlandığında şikâyet incelenmeden iade edilebilir. Buna karşılık kişilik hakkı ihlalinden doğan maddi ve manevi tazminat talepleri Kurulun görev alanında değildir; bu talepler genel mahkemelerde ileri sürülür. İçeriğin yayından kaldırılması gerekiyorsa 5651 sayılı Kanun kapsamındaki ayrı usul devreye girer. Üç kanal aynı olaydan doğsa da birbirinin yerine geçmez.
Denetime Hazır Dosya
Uyum tarafında en pratik yöntem, her veri işleme faaliyeti için tek sayfalık bir kayıt tutmaktır: işleme amacı, hukuki sebep, saklama süresi, aktarım varsa dayanağı ve ilgili kişiye yapılan bildirimin biçimi. Bu sayfalar bir araya geldiğinde envanter ve saklama politikası kendiliğinden tutarlı hâle gelir.
Buradaki açıklamalar genel bilgilendirme amaçlıdır; her kurumun veri akışı farklıdır. Aktarım yapısını kurmadan önce mevcut süreçlerinizi inceleyen bir hukukçuyla çalışmanız yerinde olur.