Verilerin yurt dışındaki bir sunucuda tutulması ya da yabancı bir hizmet sağlayıcıya aktarılması, kurumsal uygulamaların neredeyse tamamında karşımıza çıkar. Buna karşılık aydınlatma metinleri çoğu zaman bu gerçeği ya hiç yazmaz ya da tek cümleyle geçiştirir. 6698 sayılı Kanun bakımından asıl sorun burada başlar: aktarımın kendisi kadar, ilgili kişiye nasıl anlatıldığı da denetime konu olur.
Aydınlatma Metninin Zayıf Halkaları
- "Gerekli hâllerde yurt dışına aktarılabilir" gibi belirsiz ve koşula bağlı ifadeler
- Aktarımın amacının, alıcı grubunun ve hukuki sebebinin ayrı ayrı gösterilmemesi
- Bulut hizmeti, analitik araç ve müşteri ilişkileri yazılımı kullanımının aktarım olarak hiç değerlendirilmemesi
- Aydınlatmanın açık rıza metniyle iç içe yazılması ve ikisinin birbirine karıştırılması
- Metnin veri kategorisi bazında değil, tek tip şablon hâlinde hazırlanması
Aydınlatma ile Açık Rızayı Ayırmak
Aydınlatma, rızadan bağımsız ve her hâlde yerine getirilmesi gereken bir yükümlülüktür. Bir işleme faaliyeti sözleşmenin ifası ya da hukuki yükümlülük gibi başka bir şarta dayanıyorsa rıza alınmaz; ancak aydınlatma yine de yapılır. Uygulamada en sık görülen hata, tek bir onay kutusuyla hem bilgilendirmenin yapıldığının hem rızanın alındığının varsayılmasıdır. Bu yapı, rızanın özgür iradeyle verilmediği eleştirisine açık kapı bırakır.
İlgili Kişi Başvurularının İşleyişi
Aktarıma ilişkin bir başvuru geldiğinde izlenmesi gereken sıra bellidir: başvurunun kimliği doğrulanır, talebin kapsamı belirlenir, ilgili birimlerden bilgi toplanır ve yazılı cevap verilir. Cevapta yalnızca "talebiniz değerlendirilmiştir" demek yeterli değildir; hangi verinin nereye, hangi amaçla aktarıldığı somut biçimde açıklanmalıdır. Başvuruya süresinde ve gerekçeli cevap verilmemesi, sonraki aşamada kuruma yapılacak şikâyetin en güçlü dayanağı hâline gelir.
İçerik ve Yayın Boyutu Ayrı Bir Yoldur
Bir internet sitesindeki içeriğin kaldırılması talebi ile veri aktarımına ilişkin şikâyet aynı şey değildir. İçeriğe erişimin engellenmesi 5651 sayılı Kanun çerçevesinde kendi usulünü izler; veri sorumlusunun aktarım yükümlülüklerine aykırılığı ise idari denetim yoluyla ele alınır. İki talebi tek dilekçede birleştiren başvurular, çoğu zaman her iki yönden de eksik değerlendirilir.
Kurum İçi Hazırlık Listesi
- Kullanılan tüm yazılım ve hizmet sağlayıcıların sunucu konumları envantere işlenir.
- Her aktarım için hukuki dayanak yazılı olarak belirlenir ve dosyalanır.
- Sağlayıcılarla yapılan sözleşmelere veri koruma hükümleri eklenir.
- Aydınlatma metinleri hizmet bazında ayrıştırılır ve güncelleme tarihleri kayıt altına alınır.
- Başvuru kanalı tek noktadan yürütülür; gelen taleplerin süre takibi yapılır.
Not
Buradaki değerlendirmeler genel uygulama çerçevesini yansıtır. Veri kategorisi, aktarımın yapıldığı ülke ve sağlayıcının konumu yükümlülüklerin kapsamını değiştirebileceğinden, kurumsal metinlerinizi hukuki incelemeden geçirmeniz yerinde olacaktır.