Bulut hizmetleri, çağrı merkezi altyapıları ve grup şirketi uygulamaları nedeniyle kişisel verilerin yurt dışına aktarılması artık istisnai bir durum değil, sıradan bir işleme adımıdır. 6698 sayılı Kişisel Verilerin Korunması Kanununda 2024 yılında yapılan değişiklikle aktarım rejimi yeniden düzenlenmiş, aydınlatma yükümlülüğünün kapsamı da bu yeni yapıya göre okunması gereken bir hale gelmiştir. Aşağıdaki kontrol listesi, aktarımın hukuka uygun kurulmasına ve usul hatası nedeniyle yaptırım riskinin büyümesine karşı hazırlanmıştır.
Aydınlatma metni aktarımı gerçekten anlatıyor mu
Uygulamada en sık rastlanan eksiklik, aydınlatma metninde aktarımın tek cümleyle geçiştirilmesidir. İlgili kişinin, verisinin hangi amaçla, hangi ülkeye ve hangi hukuki mekanizmaya dayanılarak aktarıldığını anlaması beklenir. Aktarımın dayanağı yeterlilik kararı mı, standart sözleşme mi, bağlayıcı şirket kuralları mı yoksa istisna hükümlerinden biri mi; metin bunu belirsiz bırakmamalıdır. Aydınlatma ile açık rızanın aynı metin içinde iç içe geçirilmesi de ayrı bir risk doğurur.
Aktarım öncesi kontrol listesi
- Aktarılan veri kategorileri ve özel nitelikli veri bulunup bulunmadığı envanterde gösterildi mi?
- Aktarım mekanizması seçildi ve gerekçesi yazılı hale getirildi mi?
- Standart sözleşmeye dayanılıyorsa, imzalanmasının ardından Kuruma yapılacak bildirim takvime alındı mı? Kanun bu bildirim için kısa bir süre öngörmektedir.
- Alıcı taraf nezdindeki teknik ve idari tedbirler sözleşmeyle güvence altına alındı mı?
- Alt işleyiciler zinciri belirlendi mi? Bulut sağlayıcısının kendi tedarikçileri çoğu envanterde eksik kalır.
- Saklama ve imha politikası, yurt dışındaki kopyaları da kapsıyor mu?
İlgili kişi başvurusu geldiğinde
- Başvuruya kanuni süre içinde ve yazılı olarak cevap verilmelidir; sessiz kalmak şikayet yolunu doğrudan açar.
- Cevap verilmemesi veya yetersiz bulunması halinde ilgili kişi, öğrenme tarihinden itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kurula şikayette bulunabilir.
- Kurul kararlarına karşı idare mahkemesinde dava yolu açıktır; bu aşamada süreye ilişkin usul kuralları katı biçimde uygulanır.
Yaptırım riskini büyüten işlem hataları
Veri sorumlusu sicil kaydının güncellenmemesi, ihlal bildiriminin gecikmesi ve aydınlatma metninin farklı kanallarda birbirinden farklı içeriklerle yayımlanması, tek başına küçük görünen ama denetim sırasında birikerek ağırlaşan eksikliklerdir. Bir diğer yaygın hata, açık rızanın hizmetin ön şartı haline getirilmesidir; bu durumda rızanın özgür iradeye dayandığı tartışmalı hale gelir.
Kapanış notu
Bu içerik genel bir uyum çerçevesi sunar; sektör, aktarılan verinin niteliği ve alıcı ülke uygulaması yükümlülükleri değiştirebilir. Envanterinizi ve sözleşmelerinizi gözden geçirirken hukuki değerlendirme almanız, sonradan düzeltilmesi güç yapısal hataların önüne geçer.