Kişisel verilerin yurt dışına aktarıldığı yapılarda uyumun zayıf halkası genellikle teknik altyapı değil, aydınlatma metninin gerçeği yansıtmamasıdır. 6698 sayılı KVKK kapsamında veri sorumlusunun aydınlatma yükümlülüğü, aktarımın varlığını, amacını ve muhatabını ilgili kişiye anlaşılır biçimde bildirmeyi gerektirir. Bu rehber, aktarım içeren süreçlerde aydınlatma metnini denetleyen bir kontrol listesi sunar.
Aydınlatma Metni Envanterden Doğar
Metni yazmadan önce veri işleme envanteri çıkarılmalıdır: hangi süreçte, hangi veri kategorisi, hangi hukuki sebeple işleniyor ve nereye aktarılıyor. Bulut hizmeti, e-posta altyapısı, analitik araçlar, müşteri ilişkileri yazılımları ve ödeme sağlayıcıları çoğu zaman yurt dışı aktarım doğurur; buna rağmen metinlerde bu aktarımlardan söz edilmez. Envanterle metin arasındaki her boşluk, bir şikâyet dosyasında doğrudan uyumsuzluk olarak görünür.
Yurt Dışı Aktarımda Kontrol Edilecek Başlıklar
- Aktarımın hangi hukuki zemine dayandığının belirlenmiş olması
- Alıcı grubunun ve alıcının bulunduğu ülkenin metinde gösterilmesi
- Aktarılan veri kategorilerinin süreç bazında ayrıştırılması
- Özel nitelikli veri aktarımı varsa ayrı ve daha sıkı bir değerlendirme yapılması
- Hizmet sağlayıcılarla yapılan sözleşmelerde veri işleyen yükümlülüklerinin yazılı olması
- Saklama ve imha politikasının aktarılan veriler bakımından da uygulanabilir olması
Açık Rıza ile Diğer Sebepleri Karıştırmamak
Uygulamada en sık görülen hata, her işleme faaliyeti için tek bir onay kutusu koyup bunu tüm süreçlerin dayanağı saymaktır. Sözleşmenin kurulması, hukuki yükümlülük ya da meşru menfaat gibi sebeplere dayanan işlemeler için ayrıca rıza istenmesi, hem gereksiz hem de rızayı geçersiz kılabilecek bir yapı doğurur. Rıza alınacaksa; özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olmalı, geri alınabilmesi de fiilen mümkün olmalıdır.
Tebligat Gecikmesinin Uyum Dosyasındaki Bedeli
KVKK süreçlerinde bildirimler; ilgili kişinin veri sorumlusuna başvurusu, Kurul yazıları ve idari yaptırım kararlarının tebliği şeklinde üç katmanda ilerler. Veri sorumlusunun sicilde veya kayıtlı elektronik posta sisteminde güncel olmayan bilgi bulundurması hâlinde, Kurul yazısına cevap süresi farkına varılmadan geçebilir; savunma sunulmadan dosya sonuçlanabilir. İdari para cezasına karşı başvuru süresi de tebliğ tarihine bağlı olduğundan, tebligat kutusunun düzenli takibi teknik tedbirler kadar önemlidir.
Sıralı Uygulama
- Süreç bazlı envanter çıkarılır ve yurt dışı aktarım yapılan tüm hizmetler işaretlenir.
- Her aktarım için hukuki zemin belirlenir ve belgelenir.
- Aydınlatma metni, envanterle satır satır karşılaştırılarak güncellenir.
- İlgili kişi başvurularını karşılayacak iç prosedür ve cevap şablonu kurulur.
- Sicil bilgileri, iletişim adresi ve elektronik tebligat kanalı güncel tutulur.
- Veri ihlali hâlinde izlenecek bildirim akışı önceden yazılı hâle getirilir.
Bu metin genel bilgilendirme amaçlıdır; işleme faaliyetinizin niteliği ve aktarım yapılan ülke değerlendirmeyi değiştirir. Uyum belgelerinizi yayımlamadan önce hukuki denetimden geçirmeniz uygun olacaktır.