Aydınlatma yükümlülüğü, kişisel veri süreçlerinin en görünür ama en çok hafife alınan halkasıdır. Verilerin yurt dışındaki bir sağlayıcıya aktarıldığı yapılarda metnin eksikliği tek başına inceleme konusu olabilir. 6698 sayılı KVKK ve 5651 sayılı Kanun çerçevesinde, denetim sürecinin nasıl işlediği ve hangi merciin devreye girdiği aşağıda ele alınmaktadır.
Aydınlatma ile Rıza Metnini Karıştırmamak
Aydınlatma bir bilgilendirme yükümlülüğü, açık rıza ise belirli hâllerde aranan bir hukuka uygunluk sebebidir. İkisinin tek bir metinde birleştirilmesi ve tek onay kutusuna bağlanması, rızanın özgür iradeye dayandığı savunmasını zayıflatır. Aktarım açık rızaya dayandırılıyorsa, rızanın aktarıma ilişkin ayrı ve anlaşılır biçimde alındığının gösterilmesi gerekir.
Aktarımın Metinde Nasıl Görünmesi Gerekir
- Aktarımın gerçekleştiği ülke veya hizmet sağlayıcı kategorisinin anlaşılır biçimde belirtilmesi
- Aktarım amacının, veri kategorileriyle eşleştirilerek yazılması
- Aktarımın dayandığı hukuki mekanizmanın metinde tutarlı biçimde yer alması
- Bulut hizmeti, analitik araç ve müşteri ilişkileri yazılımı gibi fiilen kullanılan altyapıların envanterle uyumlu olması
- İlgili kişinin başvuru kanalının aydınlatma metninde açıkça gösterilmesi
Metnin envanterle çelişmesi, incelemede en hızlı fark edilen tutarsızlıktır; belge güzel yazılmış olsa dahi fiili durumu yansıtmıyorsa savunma değeri düşer.
Şikâyet, İdari Yaptırım ve Dava Sırası
İlgili kişi önce veri sorumlusuna başvurur; cevap alınamaz veya yetersiz bulunursa Kurula şikâyet yolu açılır. Kurulun idari yaptırım veya talimat içeren kararlarına karşı idari yargıda dava açılır. Aydınlatma eksikliğinin doğrudan bir zarar doğurduğu ileri sürülüyorsa, tazminat talebi genel hükümlere göre ayrı bir hukuk dosyasında görülür. İnternet ortamında yayımlanan bir içerik nedeniyle kaldırma veya erişim engeli gerekiyorsa 5651 kapsamındaki başvuru bunlardan bağımsız yürür.
Uyum Düzeltmesi mi Yargı mı
Denetim sırasında eksikliğin kabul edilip metnin, envanterin ve onay akışının düzeltilmesi, çoğu dosyada yaptırımın ölçüsünü etkileyen bir davranıştır. Buna karşılık aktarımın hukuki dayanağı hiç bulunmadığı yönündeki bir tespite karşı yalnızca metin düzeltmek yeterli olmaz; burada işlemin hukuka uygunluğunun yargı önünde tartışılması gerekebilir. Tercih yapılırken düzeltmenin teknik olarak mümkün olup olmadığı, etkilenen kişi sayısı ve sürecin şirket faaliyetine etkisi birlikte değerlendirilmelidir.
Bilgilendirme
Veri koruma uygulaması, sektöre ve kullanılan altyapıya göre farklı sonuçlar doğurur. Bu metin genel bir bakış sunar; kendi süreçleriniz için envanter temelli bir hukuki inceleme yapılması gerekir.