Kişisel veri uyuşmazlıklarında denetim çoğu zaman verinin işlenip işlenmediğinde değil, aydınlatma yükümlülüğünün usulünce yerine getirildiğinin ispatlanıp ispatlanamadığında düğümlenir. Konu bir de yurt dışı aktarımını içeriyorsa, veri sorumlusundan beklenen belge seti genişler. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun'un kesiştiği bu alanda aşağıdaki değerlendirme, ispat dosyasının nasıl kurulacağına odaklanmaktadır.
Aydınlatma, Rızadan Ayrı Bir Yükümlülüktür
Uygulamada en sık karşılaşılan yanlış, aydınlatma metni ile açık rıza beyanının tek bir onay kutusunda birleştirilmesidir. Aydınlatma her hâlde yerine getirilmesi gereken bir yükümlülük; açık rıza ise yalnızca belirli işleme şartlarında gündeme gelen ayrı bir hukuki dayanaktır. İkisinin birleştirilmesi, rızanın özgür iradeyle verilmediği yönünde değerlendirmeye yol açabilir. Metnin ne zaman, hangi kanalla ve hangi sürümüyle sunulduğu ise ayrıca kayıt altına alınmalıdır.
İspat Yükü Veri Sorumlusundadır
İlgili kişinin "bilgilendirilmedim" beyanına karşı, bilgilendirmenin yapıldığını göstermek veri sorumlusuna düşer. Bu nedenle şu kayıtlar sürüm bazında saklanmalıdır: metnin yayımlandığı tarih, kullanıcıya gösterildiği an, onay veya görüntüleme kaydı, metnin o tarihteki tam içeriği. Sonradan güncellenen ve eski sürümü saklanmayan metinler, geçmişe dönük denetimde savunmayı boşa çıkarır.
Yurt Dışı Aktarımda Kontrol Listesi
- Aktarımın hangi hukuki dayanağa göre yapıldığının yazılı olarak belirlenmesi
- Alıcı ülke, alıcı kategorisi ve aktarım amacının aydınlatma metninde yer alması
- Kullanılan bulut, analitik ve destek hizmetlerinin envanterinin çıkarılması
- Aktarım araçlarına ilişkin sözleşmesel güvencelerin dosyada bulunması
- Veri işleyenlerle imzalanan sözleşmelerdeki gizlilik ve güvenlik taahhütleri
Başvuru Sırası: Önce Veri Sorumlusu
İlgili kişi doğrudan Kurul'a şikâyette bulunamaz; önce veri sorumlusuna başvurmak ve cevabı beklemek gerekir. Başvurunun reddi, verilen cevabın yetersiz bulunması veya süresinde cevap verilmemesi hâlinde şikâyet yolu açılır. Sık görülen hata, başvuru basamağı atlanarak yapılan şikâyetin usulden değerlendirilememesi ya da idari şikâyetin tazminat talebinin yerine geçtiğinin sanılmasıdır. Maddi ve manevi zarara ilişkin talepler, genel hükümlere göre hukuk mahkemesinde ileri sürülür. İnternet ortamındaki bir içeriğin kaldırılması isteniyorsa 5651 sayılı Kanun kapsamındaki usul ayrıca işletilir.
Envanter ve İç Kayıt Düzeni
Denetimde ilk istenen belgeler genellikle işleme envanteri, saklama ve imha politikası ile ihlal bildirim kayıtlarıdır. Bu belgeler olay çıktıktan sonra hazırlandığında tarih tutarsızlıkları görünür hâle gelir. Bu nedenle envanterin, sistem değişiklikleriyle eş zamanlı güncellenmesi ve her güncellemenin tarihiyle saklanması, savunmanın en somut dayanağını oluşturur.
Veri koruma dosyalarında sonuç, niyetten çok kayıt düzenine bağlıdır. Kurumunuzun mevcut metin ve sözleşme setinin aktarım yapısını taşıyıp taşımadığını hukuki destekle gözden geçirmeniz yararlı olacaktır.