Kişisel verilerin yurt dışına aktarıldığı yapılarda denetim çoğu zaman aktarımın hukuki dayanağından değil, aydınlatma metninin gerçeği yansıtmamasından başlar. Bulut hizmeti, analitik araç veya grup şirketi altyapısı kullanan hemen her kuruluş fiilen aktarım yapmaktadır; ancak metinlerde bu durum ya hiç geçmez ya da tek cümleyle geçiştirilir. Aşağıdaki kontrol listesi, 6698 sayılı KVKK çerçevesinde bu açığı kapatmaya yöneliktir.
Önce Aktarımın Envanterini Çıkarın
Aydınlatma metni yazılmadan önce hangi verinin, hangi amaçla, hangi sağlayıcıya ve hangi ülkeye gittiği tespit edilmelidir. Uygulamada gözden kaçan kalemler genellikle şunlardır: müşteri destek yazılımları, e-posta ve toplantı altyapıları, ödeme ve fatura sistemleri, işe alım platformları, reklam ve ölçümleme araçları, web sitesindeki üçüncü taraf komut dosyaları. 5651 sayılı Kanun kapsamında tutulan trafik kayıtlarının nerede saklandığı da bu envantere dahil edilmelidir.
Aydınlatma Metninde Kaçınılması Gereken Kalıplar
- Aktarımın yapılıp yapılmadığını belirsiz bırakan ihtimalli anlatımlar
- Amaçların tek bir genel başlık altında toplanması; her amaç ayrı gösterilmelidir
- Aydınlatma ile açık rızanın aynı kutuda birleştirilmesi
- Hizmet sağlayıcı değiştiğinde metnin güncellenmemesi
- İlgili kişinin başvuru yolunun metinde gösterilmemesi
Aktarımın Hukuki Zeminini Belgeleyin
Yurt dışına aktarım için kanunda öngörülen mekanizmalardan hangisine dayanıldığı yazılı olarak tespit edilmeli; ilgili taahhüt veya sözleşmesel güvenceler dosyada saklanmalıdır. Rızaya dayanan yapılar kırılgandır: rıza her zaman geri alınabilir ve geri alındığında sürecin nasıl işleyeceği önceden planlanmamışsa operasyon durur. Bu nedenle rıza, mümkün olduğunca son çare olarak konumlandırılmalıdır.
Özel Nitelikli Veriler İçin Ayrı Bir Rejim Kurun
Sağlık, biyometrik veya ceza mahkûmiyetine ilişkin veriler aktarım zincirine giriyorsa, hem işleme hem aktarım şartları ayrıca değerlendirilmeli ve teknik tedbirler yükseltilmelidir. Bu tür verilerin genel müşteri veri tabanıyla aynı ortamda tutulması, tek bir güvenlik olayında zararın katlanmasına yol açar.
Denetim veya Şikâyet Hâlinde: Düzeltmek mi, Savunmak mı?
Bir ilgili kişi başvurusu geldiğinde ya da inceleme başlatıldığında, kuruluşun önünde iki yol vardır. Tespit edilen eksiklik gerçekse, hızla düzeltme yapılması ve bu düzeltmenin belgelenmesi genellikle en rasyonel yaklaşımdır; uyum çabası sürecin seyrini olumlu etkiler. Buna karşılık iddia veri kapsamı veya sorumluluk sıfatı bakımından hatalıysa, teknik dokümantasyona dayalı bir savunma kurulmalı ve idari yargı yolunun takvimi baştan planlanmalıdır. Her iki senaryoda da kayıt tutma disiplini belirleyicidir.
Bu içerik genel bilgilendirme niteliğindedir; veri akışınızın yapısı ve kullandığınız sağlayıcılar sonucu değiştirir. Uyum çalışmasına başlamadan önce mevcut envanterinizin bir hukukçu ve teknik ekiple birlikte çıkarılması önerilir.