Kişisel verilerin yurt dışına aktarıldığı yapılarda uyum tartışması genellikle aktarımın hukuki dayanağında değil, aydınlatmanın ne zaman ve nasıl yapıldığının belgelenememesinde düğümlenir. 6698 sayılı KVKK kapsamında aydınlatma yükümlülüğü, aktarımdan önce yerine getirilmesi gereken ve sonradan telafi edilmesi güç bir adımdır. Bu rehber, konuyu uyum takvimi ve ispat edilebilirlik açısından ele alır.
Aktarım Öncesi Envanter Çalışması
Yurt dışı aktarımın hukuki değerlendirmesi, hangi verinin hangi amaçla nereye gittiğinin netleşmesiyle başlar. Bulut hizmeti, analitik araç, müşteri ilişkileri yazılımı ve destek hizmetleri çoğu kez farkında olunmadan aktarım doğurur. Envanterde her akış için veri kategorisi, alıcı grubu, saklama süresi ve hukuki sebep ayrı satır olarak tutulmalıdır. Bu tablo olmadan hazırlanan aydınlatma metni, gerçek veri akışını yansıtmadığı için işlevsiz kalır.
Aydınlatmanın Zamanı ve Biçimi
- Aydınlatma, verinin elde edildiği anda ve ayrı bir metin hâlinde yapılmalıdır.
- Açık rıza alınıyorsa, aydınlatmadan ayrı ve seçimlik biçimde sunulmalıdır.
- Metinde yurt dışına aktarımın varlığı, alıcı grubu ve amacı açıkça yer almalıdır.
- Elektronik ortamda sunulan metinlerde onayın tarihi ve versiyonu kayıt altına alınmalıdır.
- Metin güncellendiğinde eski sürümler arşivde tutulmalıdır.
Kanıtlanamayan Uyumun Riski
Denetim veya ilgili kişi başvurusu sonrasında sorulan asıl soru, uyumun yapılıp yapılmadığı değil, yapıldığının gösterilip gösterilemediğidir. Sitede yer alan bir metnin bugünkü hâli, iki yıl önce toplanan veri bakımından tek başına dayanak oluşturmaz. Bu nedenle sürüm geçmişi, onay logları ve metnin hangi tarihte yayına alındığını gösteren kayıtlar, uyum dosyasının ayrılmaz parçasıdır. 5651 sayılı Kanun kapsamında tutulan trafik kayıtlarıyla bu kayıtların karıştırılmaması, saklama sürelerinin ayrı yönetilmesi gerekir.
Aktarım Mekanizmasının Seçimi
KVKK, yurt dışı aktarım için kademeli bir yapı öngörür: yeterlilik kararı bulunan ülkeler, uygun güvenceye dayanan aktarımlar ve istisnai hâller. Hangi mekanizmaya dayanıldığı, sözleşme metinlerinde ve envanterde aynı şekilde görünmelidir. Sözleşmede bir dayanağa, iç dokümantasyonda başka bir dayanağa atıf yapılması, denetimde ilk fark edilen tutarsızlıklardandır.
İlgili Kişi Başvurusuna Hazırlık
Veri sorumlusuna yapılan başvuruların yasal süre içinde yanıtlanabilmesi için başvuru kanalı, sorumlusu ve yanıt şablonları önceden belirlenmelidir. Yanıtta aktarımın varlığı sorulmuşsa, envanterden doğrudan üretilebilecek bir cevap hazır olmalıdır. Süre içinde yanıt verilmemesi, esasa ilişkin savunma güçlü olsa dahi ayrı bir ihlal değerlendirmesine yol açabilir.
Yukarıdaki çerçeve genel bilgilendirme içindir. Kurumun faaliyet alanı, kullandığı hizmet sağlayıcılar ve veri kategorileri gerekli adımları değiştirir; uyum çalışmasının kuruma özgü biçimde yürütülmesi önerilir.