Yurt dışında konumlanmış bir bulut sağlayıcı, muhasebe yazılımı ya da grup şirketi sunucusu kullanan hemen her yapı, farkında olmadan bir aktarım rejimi kurmuş olur. 6698 sayılı KVKK bakımından buradaki asıl kırılma noktası, aktarımın kendisinden çok, ilgili kişiye bu aktarımın aydınlatma aşamasında anlaşılır biçimde söylenip söylenmediğidir. Bu rehber, aktarım öncesinde tamamlanması gereken kontrolleri ve başvuru yolunun yanlış seçilmesi riskini ele alır.
Aydınlatma Metni Nerede Kırılıyor?
Uygulamada en sık rastlanan eksiklik, metnin kanun maddelerini tekrar etmesi ama somut veri akışını anlatmamasıdır. İlgili kişi metni okuduğunda hangi verisinin, hangi amaçla, kime ve nereye gittiğini anlayabilmelidir. "Gerekli hallerde üçüncü kişilere aktarılabilir" gibi belirsiz bir cümle, aktarımın açıklandığı anlamına gelmez. Aydınlatmanın aktarım anından önce yapılmış olması da ayrıca kontrol edilmelidir.
Aktarım Öncesi Sıralı Kontrol
- Aktarılan veri kategorileri çıkarılır; özel nitelikli veri bulunup bulunmadığı ayrıca işaretlenir.
- Alıcının bulunduğu ülke ve alıcının sıfatı (veri sorumlusu mu, işleyen mi) belirlenir.
- Aktarımın hangi hukuki zemine dayandığı seçilir ve bu seçim yazılı olarak gerekçelendirilir.
- Uygun güvence yoluna dayanılıyorsa, gerekli belge ve bildirim adımlarının tamamlandığı doğrulanır.
- Sözleşmede veri güvenliği, alt işleyen kullanımı ve ihlal bildirimi maddelerinin bulunduğu teyit edilir.
- Aydınlatma metni, veri envanteri ve sözleşme üçlüsünün birbiriyle çelişmediği karşılaştırmalı olarak okunur.
Kurula Şikâyet mi, Doğrudan Dava mı?
İlgili kişi bakımından işleyen mekanizmanın sırası çoğu zaman gözden kaçar: önce veri sorumlusuna başvurulur, cevap alınamaz veya cevap yetersiz kalırsa Kurula şikâyet yolu açılır. Bu ilk basamak atlanarak yapılan şikâyet, esasa girilmeden usulden sonuçlanabilir. Kurul kararlarının denetimi ise idari yargının konusudur; buna karşılık kişilik hakları ihlaline dayalı tazminat talebi bağımsız biçimde hukuk mahkemesinde ileri sürülür. Aynı olay için üç ayrı kapı bulunması, doğru sıralamayı zorunlu kılar.
İnternet Ortamındaki Yansımalar
Aktarılan verinin internette yayılması hâlinde 5651 sayılı Kanun kapsamındaki içerik kaldırma ve erişim engeli mekanizmaları da devreye girebilir. Bu yol, idari yaptırım veya tazminat sürecinin yerine geçmez; zararı büyütmemeye yarayan paralel bir tedbirdir ve genellikle çok daha kısa sürede sonuç verdiği için ilk günlerde değerlendirilmelidir.
Son Not
Veri aktarımı dosyalarında değerlendirme, kâğıt üzerindeki metinlere değil fiilî veri akışına göre yapılır. Yukarıdaki başlıklar genel çerçeveyi göstermek içindir; kurumsal yapınızın büyüklüğü ve işlenen verinin niteliği yükümlülükleri değiştirebileceğinden, uygulamaya geçmeden önce ayrıntılı bir hukuki inceleme yaptırmanız yerinde olur.