Yurt dışına aktarım, KVKK uygulamasında hem şirketler hem ilgili kişiler bakımından en teknik başlıktır. Çoğu uyuşmazlık, aktarımın kendisinden değil, aydınlatma metninin aktarımı hiç anmamasından ya da genel geçer bir cümleyle geçiştirmesinden doğar. 6698 sayılı Kanun kapsamında aydınlatma yükümlülüğü, aktarımın hukuki dayanağından bağımsız olarak ayrıca yerine getirilmesi gereken bir yükümlülüktür.
Aydınlatma metni ile aktarım dayanağı arasındaki bağ
Aydınlatma metni, verinin kime, hangi amaçla ve hangi hukuki sebeple aktarıldığını anlaşılır biçimde göstermelidir. Bulut hizmeti, çağrı merkezi, analitik araç veya grup şirketi üzerinden gerçekleşen aktarımlar çoğu zaman metne hiç yazılmaz; oysa bu aktarımlar veri işleme envanterinde açıkça yer almak zorundadır. Metnin genel bir gizlilik politikasına gömülmesi de tek başına yeterli sayılmaz.
Metinde aranan asgari unsurlar
- Aktarımın gerçekleştiği ülke veya hizmet sağlayıcı kategorisi.
- Aktarımın dayandığı hukuki sebep ve varsa uygulanan güvenceler.
- İlgili kişinin haklarını nasıl kullanacağına dair somut kanal bilgisi.
İlgili kişi için başvuru sırası
İlgili kişi doğrudan Kurul'a şikâyet edemez; önce veri sorumlusuna başvurmak zorundadır. Bu basamağın atlanması şikâyetin usulden değerlendirilmemesine yol açar. Veri sorumlusunun yanıt vermesi için kanunda bir süre öngörülmüştür ve şikâyet süresi bu yanıtın alınmasından ya da yanıt verilmemesi halinde sürenin dolmasından itibaren işler. Uygulamadaki en sık hata, yanıtsız kalan başvurunun aylarca beklenmesi ve şikâyet süresinin bu sırada tükenmesidir.
Veri sorumlusu tarafında dosyalanması gerekenler
- Kişisel veri işleme envanteri ve aktarım haritası.
- Hizmet sağlayıcılarla imzalanan sözleşmeler ve güvence metinleri.
- Aydınlatma metninin sürüm geçmişi ve yayımlandığı tarihler.
- İlgili kişi başvurularının kayıt altına alındığı takip defteri.
- İhlal halinde bildirim yapılıp yapılmadığına dair kayıtlar.
Bu belgeler denetim anında değil, aktarımın başladığı gün oluşturulmalıdır. Sonradan üretilen evrak, tarihi ispatlanamadığı için savunmayı güçlendirmez.
Süre kaçırıldığında kalan yollar
Şikâyet süresi kaçırılsa bile ihbar yolu ve genel hükümlere dayalı tazminat talebi gündeme gelebilir. Ancak bunların ispat yükü daha ağırdır ve idari denetimin sağladığı inceleme imkânından yararlanılamaz. Bu nedenle süreye bağlı yol tercih edilmelidir.
İnternet yayını boyutu
Aktarılan verinin bir internet ortamında yayımlanması söz konusuysa, 5651 sayılı Kanun kapsamındaki erişim engelleme ve içerikten çıkarma yolları ayrıca ve daha kısa takvimlerle işletilebilir. Bu iki yol birbirinin alternatifi değil, tamamlayıcısıdır.
Yukarıdaki çerçeve genel bilgilendirme niteliğindedir. Aktarımın yapısı, sözleşme metinleri ve şirketin iç süreçleri sonuç üzerinde belirleyici olduğundan, dosyaya özel değerlendirme yapılması yerinde olur.