Veri sorumlularının yurt dışı aktarım incelemelerinde en sık karşılaştığı eleştiri, aktarımın hiç yapılmaması değil, yapılan aktarımın ilgili kişiye anlatılmamış olmasıdır. KVKK kapsamında aydınlatma yükümlülüğü ile aktarım rejimi ayrı düzenlemeler gibi görünse de, 6698 sayılı Kanunun uygulamasında ikisi birbirini tamamlar. Bir denetim anında sorulan soru sadedir: aktarımı hangi belgeyle, hangi tarihte duyurdunuz?
Aydınlatma Metni Aktarımı Kapsıyor mu
Çok sayıda kurumun aydınlatma metni, veri işleme amaçlarını ayrıntılı anlatırken aktarım kısmını tek cümleye sıkıştırır. Oysa aktarımın varlığı, alıcı grubu ve hukuki dayanağı, ilgili kişinin anlayabileceği açıklıkta yer almalıdır. Bulut hizmeti, e-posta altyapısı, analitik araçlar ve müşteri ilişkileri yazılımları çoğu zaman fark edilmeden aktarım doğurur.
Aktarım Envanterinin Delil Değeri
Envanter, uyum çalışmasının biçimsel bir eki değil, denetimde ilk istenen belgedir. Hangi veri kategorisinin hangi hizmet sağlayıcısına, hangi amaçla ve hangi ülkeye gittiğini gösteren güncel bir tablo yoksa, aydınlatma metninin doğruluğu da savunulamaz hale gelir.
Uyum Dosyasında Aranan Kayıtlar
- Güncel tarihli kişisel veri işleme envanteri
- Hizmet sağlayıcılarla imzalanan sözleşmelerin veri koruma hükümleri
- Aktarım için dayanılan hukuki mekanizmayı gösteren belgeler
- Aydınlatma metninin yayımlandığı tarih ve sürüm geçmişi
- Açık rızaya dayanılan hallerde rızanın alınış biçimini gösteren kayıt
Denetim Anında İbraz Sırası
- Veri sorumlusu sıfatının ve varsa temsilcinin belgelenmesi
- İlgili faaliyete ait envanter kesitinin sunulması
- Aktarımın dayanağını gösteren sözleşme ve onay kayıtlarının verilmesi
- İlgili kişi başvurularının nasıl karşılandığını gösteren kayıtların iletilmesi
- Veri güvenliği tedbirlerine ilişkin teknik dokümanların eklenmesi
Başvurudan Şikayete Uzanan Zincir
İlgili kişinin veri sorumlusuna yaptığı başvuru cevapsız kaldığında ya da yetersiz görüldüğünde süreç Kurula taşınabilir. Bu nedenle başvuruların kayıt altına alınması, cevap tarihlerinin izlenmesi ve verilen cevabın içeriğinin saklanması, kurumun kendi savunmasının temelini oluşturur. Web sitesi üzerinden yürüyen faaliyetlerde 5651 sayılı Kanun kapsamındaki yükümlülüklerin ayrıca gözden geçirilmesi gerekir.
Buradaki açıklamalar genel niteliktedir. Aktarımın yapısı, alıcı ülkeler ve kullanılan hukuki mekanizma kuruma göre değiştiğinden, uyum dosyanızın somut olarak incelenmesi önerilir.