Kişisel verilerin yurt dışına aktarıldığı yapılarda aydınlatma yükümlülüğü, tek seferlik bir metin yazma işi değil sürekli bakım gerektiren bir uyum kalemidir. 6698 sayılı KVKK çerçevesinde aktarımın hukuki dayanağı değiştiğinde aydınlatma metninin de değişmesi gerekir. Bu rehber, aydınlatma ile aktarım rejimini aynı takvim üzerinde tutmayı ve ilgili kişi başvurularında süre kaybını önlemeyi ele alır.
Aktarım Haritası Olmadan Aydınlatma Yazılmaz
Doğru bir aydınlatma metni, ancak verinin nereye gittiği bilindiğinde yazılabilir. Bu nedenle önce aktarım haritası çıkarılır: hangi veri kategorisi, hangi hizmet sağlayıcıya, hangi ülkeye, hangi amaçla ve hangi saklama süresiyle gidiyor. Bulut depolama, e-posta altyapısı, müşteri ilişkileri yazılımı, ödeme sağlayıcı ve analitik araçlar çoğu kurumda görünmeyen aktarım noktalarıdır. Harita tamamlandıktan sonra her aktarım kalemi için dayanak belirlenir ve aydınlatma metnine bu dayanak yansıtılır.
Metni Denetlenebilir Kılan Unsurlar
- Veri sorumlusunun kimliği ve varsa temsilcisinin açıkça belirtilmesi
- İşleme amaçlarının genel ifadelerle değil somut faaliyetle tanımlanması
- Aktarımın alıcı grubu bazında ve yurt dışı boyutu ayrıca gösterilerek yazılması
- Toplama yöntemi ile hukuki sebebin birbirine karıştırılmaması
- İlgili kişi haklarının ve başvuru kanalının erişilebilir biçimde sunulması
Başvuru ve Tebligat Zamanlaması
İlgili kişi başvurularında süre, başvurunun veri sorumlusuna ulaştığı andan itibaren işler; cevabın gecikmesi veya hiç verilmemesi ise Kurula şikâyet yolunu açar. Başvuru kanalı olarak bildirilen e-posta adresinin izlenmemesi ya da KEP kutusunun düzenli kontrol edilmemesi, kurum açısından fark edilmeden geçen bir süre riski yaratır. Bu nedenle başvuru kanalları tek bir sorumluya bağlanmalı, gelen her talep tarih ve saat damgasıyla kayda alınmalı, cevap taslakları önceden hazırlanmalıdır.
Değişiklik Yönetimi
- Yeni bir hizmet sağlayıcı devreye alınmadan önce aktarım değerlendirmesi yapılır.
- Aydınlatma metninin sürüm numarası ve yayın tarihi kayıt altına alınır.
- Açık rızaya dayanan aktarımlarda rıza ile aydınlatma ayrı ayrı belgelenir.
- Sözleşmelerdeki gizlilik ve veri işleme ekleri aktarım gerçeğiyle uyumlu tutulur.
- İhlal ihtimaline karşı bildirim akışı ve iç eskalasyon adımları önceden yazılır.
Bu içerik genel bilgilendirme amaçlı olup her kurumun veri akışı ve teknik altyapısı farklıdır. Aktarım yapınızın hangi dayanağa oturduğunu ve metinlerinizin bunu doğru yansıtıp yansıtmadığını belirlemek için hukuki değerlendirme almanız yerinde olur.