Kişisel veri uyum çalışmalarında en çok ihmal edilen nokta, aydınlatma metni ile fiilen yapılan veri işleme faaliyeti arasındaki uyumsuzluktur. Metin hazırlanır, siteye konur ve unutulur; oysa aradan geçen sürede yeni bir yurt dışı hizmet sağlayıcısı devreye girer, veri başka bir ülkeye akmaya başlar ve metin gerçeği anlatmaz hâle gelir. Bu rehber, aydınlatma yükümlülüğünü yurt dışına aktarım ekseninde ele alıyor.
Aydınlatma Yükümlülüğünün Kapsamı
6698 sayılı Kanun, kişisel verilerin elde edilmesi sırasında veri sorumlusunun ilgili kişiyi bilgilendirmesini zorunlu tutar. Bu bilgilendirme; veri sorumlusunun kimliği, işleme amaçları, aktarılacağı taraflar ve aktarım amacı, toplama yöntemi ile hukuki sebep ve ilgili kişinin kanundan doğan hakları başlıklarını içermelidir. Aydınlatma, açık rızadan ayrı bir yükümlülüktür: rıza alınmayan hâllerde de aydınlatma yapılması gerekir. İkisinin tek bir metinde birleştirilmesi, uygulamada sıkça karşılaşılan ve rızanın geçerliliğini tartışmalı hâle getiren bir hatadır.
Yurt Dışına Aktarımın Ayrı Bir Rejimi Vardır
Kanun, yurt dışına aktarım için ayrı bir çerçeve öngörür. Aktarımın hangi hukuki zemine dayandığı belirlenmeden yapılan bir bulut hizmeti tercihi, teknik bir karar değil bir uyum sorunudur. Pratikte şu haritalama yapılmalıdır:
- Hangi veri kategorileri, hangi ülkedeki hangi hizmet sağlayıcısına gidiyor?
- Alt yükleniciler var mı; veri zinciri kaç halkadan oluşuyor?
- Aktarım hangi mekanizmaya dayandırılıyor ve bu mekanizmanın gerektirdiği belge tamamlandı mı?
- Aydınlatma metninde bu aktarım açıkça belirtiliyor mu?
Uyum Kontrol Listesi
- Veri envanterini güncelleyin; envanter yoksa uyumun geri kalanı temelsiz kalır.
- Her işleme faaliyeti için hukuki sebebi tek tek eşleştirin.
- Aydınlatma metnini kanal bazında ayrıştırın: web formu, çağrı merkezi, işe alım, kamera kaydı aynı metinle karşılanmaz.
- Yurt dışı hizmet sağlayıcılarını listeleyin, sözleşmelerdeki veri işleme hükümlerini gözden geçirin.
- Saklama ve imha politikanızdaki süreleri fiilî uygulamayla karşılaştırın.
- İlgili kişi başvurularını yanıtlayacak iç süreci ve süre takibini kurun.
Metin Yazarken Kaçınılması Gerekenler
Aydınlatma metinlerinde en yaygın kusur, amaçların "ticari faaliyetlerin yürütülmesi" gibi geniş kalıplarla yazılmasıdır. Bu tür ifadeler, ilgili kişinin verisinin nereye gittiğini anlamasını sağlamadığı için amacına ulaşmaz. Aynı şekilde, aktarılan tarafların "iş ortakları ve tedarikçiler" olarak belirsiz bırakılması da bilgilendirme işlevini boşa çıkarır. Metin, teknik denetim raporundan değil fiilî süreçten türetilmelidir.
İhlal Bildirimi ve Sonrası
Veri ihlali gerçekleştiğinde bildirim yükümlülüğü kısa süre içinde işler; bu nedenle ihlal müdahale planının önceden hazırlanmış olması gerekir. İhlal anında aydınlatma metninin güncel olmaması, denetim sürecinde ayrı bir eksiklik olarak değerlendirilebilir.
Yukarıdaki başlıklar genel bir uyum çerçevesi sunar. Her kuruluşun veri akışı, sektörü ve kullandığı teknoloji farklı olduğundan, aktarım mekanizmasının seçimi ve metinlerin hazırlanması sürecinde kurum içi süreç incelemesine dayalı hukuki destek alınması yerinde olur.