Yurt dışında barındırılan bulut hizmetleri, analiz araçları ve grup şirketi paylaşımları, çoğu kuruluşun farkında olmadan yurt dışına veri aktarımı yaptığı anlamına gelir. 6698 sayılı KVKK, bu aktarımı belirli hukuki zeminlere bağlar; aynı zamanda ilgili kişinin aktarım hakkında önceden bilgilendirilmesini de arar. Aydınlatma metni bu iki yükümlülüğün kesişme noktasıdır ve eksik yazıldığında hem uyum hem de başvurulara cevap süresi bakımından risk doğurur.
Aktarım Envanteri Olmadan Aydınlatma Yazılamaz
Aydınlatma metninin doğru olabilmesi için önce verinin nereye gittiğinin bilinmesi gerekir. Pratikte envanter şu sorularla çıkarılır: Hangi hizmet sağlayıcı kullanılıyor? Sunucu hangi ülkede? Alt işleyici var mı? Yedekler nerede tutuluyor? Destek ekibi hangi ülkeden erişiyor? Uzaktan erişim de bir aktarımdır ve bu ayrıntı sıklıkla atlanır. 5651 sayılı Kanun kapsamında tutulan trafik kayıtlarının nerede saklandığı da aynı envantere işlenmelidir.
Aydınlatma Metninde Sık Yapılan Hatalar
- Aktarım yapılan ülkeleri veya alıcı gruplarını hiç belirtmemek.
- Tüm işleme faaliyetleri için tek bir hukuki sebep yazmak.
- Açık rızayı, aslında rıza gerektirmeyen işlemeler için de zorunlu tutmak.
- Metni yalnızca web sitesine koyup, çağrı merkezi veya fiziksel form gibi diğer toplama kanallarında sunmamak.
- Saklama süresini "mevzuatta öngörülen süre" ifadesiyle geçiştirmek.
Aktarımın Hukuki Zeminini Belgeleme
KVKK, yurt dışına aktarım için belirli mekanizmalar öngörür. Kuruluşun yapması gereken, her aktarım kalemi için hangi mekanizmaya dayandığını yazılı olarak kaydetmek ve bu kaydı sözleşme ekleriyle desteklemektir. Sözleşme metni imzalanmış olsa bile dosyada bulunmuyorsa, denetim anında dayanağın gösterilmesi mümkün olmaz. Bu nedenle uyum dosyası, aktarım kalemi–hukuki zemin–belge üçlüsünü aynı satırda gösteren bir tabloyla tutulmalıdır.
Başvuru ve Şikâyet Süreleri
Süre riski bu alanda çoğunlukla ilgili kişi başvurularında ortaya çıkar. Veri sorumlusu, kendisine ulaşan başvuruya kanunda öngörülen süre içinde cevap vermek zorundadır; cevapsız kalan ya da geciken başvuru, doğrudan Kurul'a şikâyet yolunu açar. Bunu önlemek için başvuruların tek bir kayıt defterine işlendiği, geliş tarihinin damgalandığı ve sorumlu kişinin atandığı bir akış kurulmalıdır. Başvurunun hangi kanaldan geldiği fark etmez; e-posta, posta ve KEP kanallarının hepsi aynı deftere düşmelidir.
Periyodik Gözden Geçirme
Uyum, bir kez hazırlanan metinle tamamlanmaz. Yeni bir yazılım aboneliği, değişen bir alt işleyici veya yeni bir pazarlama aracı envanteri değiştirir ve aydınlatma metnini eskitir. Yılda en az bir kez yapılacak gözden geçirmede envanter, aydınlatma metni, saklama ve imha politikası ile sözleşme ekleri birlikte kontrol edilmelidir.
Burada anlatılanlar genel çerçeveyi tarif eder; kuruluşunuzun sektörü, veri kategorileri ve kullandığı hizmetler farklı sonuçlar doğurabilir. Aydınlatma metnini yayımlamadan önce envanterinizle birlikte hukuki değerlendirmeye tabi tutmanız önerilir.