Kişisel verilerin yurt dışına aktarıldığı yapılarda en çok tartışılan konu, aktarımın hukuki dayanağından çok ilgili kişinin bu aktarımdan usulünce haberdar edilip edilmediğidir. 6698 sayılı KVKK ile 5651 sayılı Kanun kapsamındaki yükümlülükler bir arada değerlendirildiğinde, eksik aydınlatma tek başına başvuru sebebi hâline gelir. Bu rehber, aydınlatma yükümlülüğünü aktarım özelinde ve başvuru sırası bakımından ele alır.
Aydınlatma Metninde Aktarımın Görünür Olması
Genel bir aydınlatma metninde yurt dışı aktarımına yalnızca tek cümleyle değinilmesi, uygulamada yetersiz kalır. İlgili kişinin, verisinin hangi amaçla, hangi kategoride ve hangi hukuki sebeple yurt dışına aktarıldığını metinden anlayabilmesi gerekir. Bulut hizmeti, çağrı merkezi, analitik araç veya grup şirketi içi paylaşım gibi hâllerde aktarımın niteliği ayrı başlıkta açıklanmalıdır. Aydınlatmanın veri işleme faaliyeti başlamadan önce yapılması ise ayrı bir zamanlama şartıdır.
Aktarım Dayanağını Belgeye Bağlamak
Yurt dışına aktarım, kanunda öngörülen mekanizmalardan birine dayandırılmalıdır. Uygulamada karşılaşılan başlıca yapılar şunlardır:
- Yeterlilik kararı bulunan ülkelere yapılan aktarımlar.
- Uygun güvenceler kapsamında standart sözleşme veya taahhütname kullanımı.
- Grup şirketleri arasında bağlayıcı kurumsal kurallar.
- İstisnai hâllerde ve arızi olmak kaydıyla öngörülen özel durumlar.
Hangi mekanizmaya dayanıldığı belirlenirken, aynı metnin veri envanteri, saklama ve imha politikası ve sözleşme ekleriyle uyumlu olması gerekir. Belgeler arasındaki çelişki, denetimde ilk fark edilen eksikliktir.
Önce Veri Sorumlusuna Başvuru
İlgili kişi, Kurula şikâyette bulunmadan önce kural olarak veri sorumlusuna başvurmalıdır. Başvuru yazılı olarak ya da Kurulun belirlediği diğer yöntemlerle yapılır ve talebin konusu açıkça yazılır. Veri sorumlusu bakımından bu aşama bir savunma fırsatıdır: kayıtların derlenmesi, aktarım dayanağının gösterilmesi ve gerekiyorsa düzeltmenin yapılması, sonraki aşamayı büyük ölçüde belirler.
Cevabın Ulaşmaması ve Süre Riski
Şikâyet süresi, veri sorumlusunun cevabının ilgili kişiye ulaştığı tarihe bağlanır; cevap verilmemesi hâlinde ise sürenin dolmasına göre hesaplanır. Bu nedenle başvuru ve cevap yazışmalarının tarihleri belgelenmelidir. Elektronik posta ya da KEP üzerinden yapılan bildirimlerde teslim kayıtları saklanmalı; adres değişikliği hâlinde bilgilendirme yapılmalıdır. Tebligatın gecikmesi, hem ilgili kişi hem veri sorumlusu bakımından sürenin fiilen kısalmasına yol açar.
Kurul Kararından Sonraki Aşama
Kurul tarafından verilen idari yaptırım kararlarına karşı idari yargı yolu açıktır. Bu aşamaya geçilmesi hâlinde dosyaya sunulacak teknik dokümantasyonun, başvuru aşamasında verilen cevaplarla çelişmemesi gerekir. Sonradan üretilmiş izlenimi veren belgeler, savunmanın bütünlüğünü zayıflatır.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır ve mevzuattaki güncellemelerin dosyanıza etkisini değerlendirmez. Aktarım yapılarınızı ve aydınlatma metinlerinizi düzenli aralıklarla hukuki incelemeden geçirmenizde yarar vardır.