Kişisel verilerin yurt dışına aktarıldığı yapılarda denetimlerin çıkış noktası çoğu zaman teknik altyapı değil, aydınlatma metnidir. Metinde yazan ile fiilen yapılan arasındaki fark, tek başına bir uygunsuzluk gerekçesi oluşturur. Bu rehber 6698 sayılı KVKK ve 5651 sayılı Kanun çerçevesinde aktarım uyumunun belgelenmesine, veri sahibi başvurularının takvimlenmesine ve Kurul kararına karşı izlenecek yolun seçimine odaklanır.
Metin ile Fiili Akışın Karşılaştırılması
İlk çalışma, aydınlatma metnindeki taahhütlerle gerçek veri akışını yan yana koymaktır. Bulut hizmeti, analitik araç, müşteri destek yazılımı veya e-posta sağlayıcısı üzerinden gerçekleşen aktarımlar çoğu zaman metne hiç yansımaz. Envanterde her alıcı için verinin türü, aktarım amacı, saklama süresi ve alıcının bulunduğu ülke ayrı ayrı gösterilmelidir.
Aktarım Dayanağının Belgelenmesi
KVKK, yurt dışına aktarım için kademeli bir yapı öngörür. Uyum dosyasında hangi kademenin kullanıldığı tereddütsüz görülebilmelidir:
- Aktarımın hangi hukuki dayanakla yapıldığının yazılı gerekçesi
- Uygun güvencelere dayanılıyorsa buna ilişkin sözleşme metinleri ve gerekli bildirimlerin yapıldığına dair kayıt
- İstisnai hâllere dayanılıyorsa bu hâlin arızi niteliğini gösteren belge
- Alıcı ülkedeki hizmet sağlayıcının alt yüklenici zinciri
Veri Sahibi Başvurusunun Saati
İlgili kişi önce veri sorumlusuna başvurur; kanunda öngörülen cevap süresi içinde yanıt verilmemesi veya yanıtın yetersiz bulunması hâlinde Kurula şikâyet yolu açılır. Bu sıra bir tercih değil, zorunlu bir aşamadır. Başvuruların tarih, kanal ve içerik bilgisiyle kayda geçirildiği bir defter tutulması, hem cevap süresinin kaçırılmasını önler hem de denetimde savunmayı kolaylaştırır.
Kurul Kararı Sonrası Yol Ayrımı
Kurulun verdiği kararın niteliğine göre başvurulacak merci değişebilir; idari para cezası ile diğer nitelikteki kararlar için öngörülen itiraz yolları aynı değildir. Bu ayrım gözden kaçırıldığında, süresi içinde yapılan bir başvuru dahi yanlış mercie yöneltildiği için sonuçsuz kalabilir. Karar tebliğ alınır alınmaz önce yol, sonra gerekçe belirlenmelidir.
İçerik ve Barındırma Katmanı
Yayın yoluyla erişilebilir hâle gelmiş kişisel veriler söz konusuysa, 5651 sayılı Kanun kapsamındaki içerikten çıkarma ve erişim engeli talepleri ayrı bir kanal olarak işletilir. Bu kanal veri koruma başvurusunun yerine geçmez; ikisi paralel yürütülmelidir.
Kapanış
Buradaki anlatım genel bilgilendirme amaçlıdır ve her yapıya olduğu gibi uygulanamaz. Aktarım modeliniz ile sözleşme yapınız incelenmeden yapılacak uyum çalışması eksik kalabilir; süreç öncesinde hukuki değerlendirme almanız yerinde olur.