Kişisel verilerin yurt dışına aktarılması, bulut hizmeti, analitik araç ya da grup şirketi entegrasyonu kullanan hemen her yapıda gündeme gelir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (KVKK) ve internet ortamına ilişkin 5651 sayılı Kanun çerçevesinde asıl sorun, aktarımın yapılıp yapılmadığı değil; aktarımın aydınlatma metninde ve iç belgelerde usulüne uygun biçimde gösterilip gösterilmediğidir.
Aydınlatma metni aktarımı gerçekten anlatmalı
Uygulamada en sık rastlanan eksiklik, metinde yurt dışına aktarım yapılabileceği yönünde tek cümlelik genel bir ifadeye yer verilmesidir. Bu ifade, veri sahibinin neyin nereye gittiğini anlamasını sağlamaz. Metnin; hangi veri kategorisinin, hangi amaçla, hangi tür alıcı grubuna aktarıldığını ve aktarımın hukuki dayanağını ayırt edilebilir biçimde göstermesi beklenir. Metin ayrıca ilgili kişinin başvuru yolunu ve muhatabını da içermelidir.
Aktarım envanteri olmadan uyum iddiası kurulamaz
- Kullanılan tüm yazılım ve hizmet sağlayıcıları listelenir.
- Her biri için sunucu ve destek ekiplerinin bulunduğu ülke bilgisi kaydedilir.
- Aktarılan veri kategorileri ve özel nitelikli veri bulunup bulunmadığı işaretlenir.
- Sözleşmelerde veri işleyen sıfatına ilişkin hükümlerin yer alıp almadığı denetlenir.
- Saklama süreleri ile imha politikası aktarım zinciriyle karşılaştırılır.
Envanter güncellenmediğinde, denetim anında beyan edilen durum ile fiilî durum arasında fark ortaya çıkar; bu fark tek başına bir uyumsuzluk göstergesidir.
Rıza alma pratiğindeki usul hataları
- Aydınlatma ile açık rızanın aynı kutucukta birleştirilmesi
- Hizmet alabilmenin rıza verilmesi şartına bağlanması
- Rızanın kapsamının aktarımı içerecek şekilde belirtilmemesi
- Geri alma imkânının pratikte işletilmemesi
- Rıza kayıtlarının tarih ve versiyon bilgisiyle saklanmaması
Rıza, aktarım için başvurulacak tek zemin değildir; hukuki dayanak yanlış seçildiğinde, alınan rıza da süreci kurtarmaz. Bu nedenle önce dayanak belirlenmeli, rıza yalnızca gerçekten gerekli olduğu hâllerde istenmelidir.
Sürüm yönetimi ve ispat
Aydınlatma metni değiştiğinde eski sürümün arşivlenmesi gerekir. Bir başvuru ya da şikâyet geldiğinde, ilgili kişinin veri verdiği tarihte yürürlükte olan metnin gösterilebilmesi belirleyicidir. Metnin yayımlandığı tarih, değişiklik geçmişi ve onay kayıtları birlikte tutulmalıdır.
Başvuru ve ihlal anına hazırlık
İlgili kişi başvurularının kanunda öngörülen süre içinde yanıtlanması gerekir; bu süre kaçırıldığında esasen uyumlu bir yapı dahi yaptırım riskiyle karşılaşır. Veri ihlali ihtimaline karşı, kimin hangi adımı atacağını gösteren yazılı bir müdahale planı bulunmalıdır.
Bu yazı genel bilgilendirme amacıyla hazırlanmıştır; aktarımın hukuki zemini ve gereklilikleri güncel düzenlemelere göre değişebileceğinden, kurumsal uyum çalışmasının hukuki destekle yürütülmesi önerilir.