Kişisel verilerin yurt dışına aktarıldığı yapılarda denetim çoğu zaman tek bir belgeden başlar: aydınlatma metni. Metnin içeriği ile fiilen kurulan aktarım rejimi birbirini tutmuyorsa, teknik altyapı ne kadar güçlü olursa olsun uyumsuzluk görünür hale gelir. Bu rehber, 6698 sayılı KVKK ve 5651 çerçevesinde aydınlatma-aktarım eşleşmesini bir süre ve usul planına bağlamak içindir.
Aydınlatma ile Açık Rızayı Aynı Metinde Eritmemek
Aydınlatma yükümlülüğü, hukuki sebebi ne olursa olsun her veri işleme faaliyetinde yerine getirilir; açık rıza ise yalnızca belirli hallerde başvurulan bir hukuki sebeptir. İkisinin tek bir onay kutusunda birleştirilmesi, hem aydınlatmanın ayrı ve önceden yapılmış olması gereğini hem de rızanın özgür iradeye dayanması ölçütünü zedeler. Metin hazırlanırken her işleme faaliyeti için amaç, hukuki sebep, aktarılan taraf ve saklama süresi ayrı satırlarda gösterilmeli; aktarım varsa bu, genel bir cümleyle geçiştirilmeden açıkça belirtilmelidir.
Aktarım Rejimini Belirlemek
Yurt dışına aktarımda izlenecek yol, karşı ülkenin ve alıcının durumuna göre değişir. Uyum çalışmasının ilk adımı, hangi aktarımın hangi rejime dayandığını tek bir tabloda göstermektir:
- Yeterlilik kararı bulunan ülkelere yapılan aktarımlar
- Uygun güvencelere dayalı aktarımlar; taahhütname ve standart sözleşme gibi araçlar
- Yalnızca belirli koşullarda ve süreklilik taşımayacak biçimde başvurulabilen arızi haller
Standart sözleşme yoluna başvurulduğunda, imzayı izleyen kısa süre içinde Kurula bildirim yapılması gerekir; bu bildirimin atlanması, aktarımın esasında hukuka uygun olduğu hallerde bile ayrı bir aykırılık doğurur.
Başvuru ve Şikayet Takvimi
İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusunun cevap için öngörülen otuz günlük süresi vardır. Bu aşama atlanarak doğrudan Kurula gidilmesi, şikayetin başvuru yolu tüketilmediği gerekçesiyle işleme alınmamasına yol açar. Cevap verilmez ya da cevap yetersiz kalırsa, şikayet için hem cevaba bağlı süre hem de başvuru tarihinden itibaren işleyen üst süre birlikte takip edilmelidir. Kurumsal tarafta ise gelen başvuruların kayıt tarihi, cevap taslağının hazırlanma tarihi ve gönderim tarihi ayrı ayrı tutulmalıdır; tek tarih tutan yapılar süreyi geçirdiğini çoğu zaman geç fark eder.
Yıllık Kontrol Listesi
- Veri envanteri ile aydınlatma metni satır satır karşılaştırılır.
- Yurt dışı aktarımların dayandığı rejim ve belgeler güncellenir.
- Alıcı taraf değiştiğinde metin ve sözleşme aynı anda revize edilir.
- Başvuru ve şikayet süreleri için ortak bir takvim tutulur.
Kapanış Notu
Aydınlatma ve aktarım uyumu bir defalık iş değil, veri akışı değiştikçe yenilenen bir süreçtir. Sektöre, aktarım hacmine ve alıcının niteliğine göre ihtiyaç duyulan belgeler farklılaşır. Yukarıdaki çerçeve genel bilgilendirme amaçlıdır; kendi yapınıza uygun rejimin belirlenmesi için hukuki değerlendirme almanız uygun olur.