6698 sayılı KVKK kapsamında aydınlatma yükümlülüğü, veri sorumlusunun en görünür ama en çok eksik bırakılan ödevidir. Verilerin yurt dışına aktarıldığı yapılarda ise metnin eksikliği yalnızca şeffaflık sorunu değil, aktarımın hukuki dayanağını da tartışmalı hale getiren bir risk doğurur. Aşağıdaki başlıklar, mevcut metinlerinizi denetlemek için bir çerçeve sunar.
Aydınlatma metniniz aktarımı gerçekten kapsıyor mu?
Birçok metin, veri işleme amaçlarını sayarken aktarımı tek bir cümleyle geçiştirir. Oysa ilgili kişinin, verisinin yurt dışındaki hangi alıcı grubuna, hangi amaçla ve hangi hukuki mekanizmaya dayanılarak aktarıldığını anlaması gerekir. Bulut hizmeti, e-posta altyapısı, analiz araçları ve müşteri ilişkileri yazılımları çoğu kez yurt dışı sunucularda çalışır; bunların envanterde görünmemesi, aydınlatma metninin gerçeği yansıtmadığı anlamına gelir.
Aktarım mekanizmasının seçimi
KVKK, yurt dışına aktarımı belirli mekanizmalara bağlar. Yeterlilik kararı bulunan ülkelere aktarım ile bu karar bulunmayan hallerde uygun güvencelere dayanan aktarım birbirinden ayrılır; ikinci grupta taraflar arasında imzalanan sözleşmesel güvenceler ve grup şirketleri için bağlayıcı kurallar gündeme gelir. Açık rızaya dayanan aktarım ise istisnai ve arızi durumlar için düşünülmüştür; süreklilik arz eden bir aktarımın rıza üzerine kurulması sürdürülebilir bir uyum sağlamaz.
Rıza ile aydınlatmayı ayrı tutmak
Aydınlatma yükümlülüğü her halde yerine getirilmelidir; işleme faaliyeti rızaya dayansa da dayanmasa da bu ödev ortadan kalkmaz. Aynı kutucukta hem aydınlatma metninin okunduğu hem de açık rıza verildiği ifadesinin toplanması, rızanın özgür iradeyle verilmediği eleştirisine açık kapı bırakır. İki beyan görsel ve metinsel olarak ayrılmalı, rızanın geri alınabileceği kanal açıkça gösterilmelidir.
Şikâyet yolunda sıra kuralı
İlgili kişi, talebini önce veri sorumlusuna yöneltmek zorundadır. Bu aşama atlanarak doğrudan Kurul'a yapılan başvuru, başvuru yolu tüketilmediği için sonuçsuz kalabilir. Veri sorumlusunun yanıt vermemesi veya yanıtın yetersiz bulunması halinde Kurul'a şikâyet yolu açılır. Kurul kararlarına karşı ise idari yargı yolu işletilir; tazminat talepleri bakımından adli yargıya gidilmesi gerektiği unutulmamalıdır.
Denetime hazırlık kontrol listesi
- Veri envanteri ile aydınlatma metni birbirini doğruluyor mu?
- Yurt dışına aktarım yapan tüm tedarikçiler listelendi mi?
- Her aktarım için dayanılan mekanizma yazılı olarak belgelendi mi?
- İlgili kişi başvurularını karşılayacak kanal ve süre takibi kuruldu mu?
- Veri ihlali halinde uygulanacak bildirim akışı önceden tanımlandı mı?
Bu metin genel bilgilendirme amacıyla hazırlanmıştır. Uyum çalışması, kurumun veri akışına göre biçimlenir; mevcut yapınızın hukuki değerlendirmesini yaptırmanız faydalı olacaktır.