Bulut hizmetleri, yurt dışı merkezli yazılımlar ve grup şirketi paylaşımları yaygınlaştıkça, aydınlatma metinlerinin en zayıf halkası yurt dışına aktarım bölümü haline geldi. Çoğu metin, verinin nereye ve hangi hukuki zeminde gittiğini söylemeden yalnızca aktarım yapılabileceğini duyuruyor. Bu, aydınlatma yükümlülüğünün yerine getirilmediği anlamına gelir.
Aydınlatma ile Rızayı Birbirine Karıştırmayın
6698 sayılı KVKK bakımından aydınlatma, her veri işleme faaliyetinde yerine getirilmesi gereken bağımsız bir yükümlülüktür; hukuki sebep açık rıza olmasa dahi ortadan kalkmaz. Uygulamada en sık görülen kurgu hatası, aydınlatma metni ile açık rıza beyanının tek bir onay kutusunda birleştirilmesidir. Rıza, aydınlatmanın ardından ve özgür iradeyle verilmiş olmalıdır; hizmetin sunumu rızaya bağlanmışsa iradenin özgürlüğü tartışmalı hale gelir.
Aktarımın Hukuki Zeminini Metne Yazın
Yurt dışına aktarım kademeli bir yapıya oturur: önce ilgili ülke veya sektör bakımından yeterlilik kararı bulunup bulunmadığına bakılır. Yeterlilik kararı yoksa uygun güvenceler devreye girer; standart sözleşme, bağlayıcı şirket kuralları ve taahhütname bu başlığın araçlarıdır. Bunların hiçbiri sağlanamıyorsa yalnızca arızi nitelikteki sınırlı hallerde aktarım gündeme gelebilir. Aydınlatma metni, aktarımın bu üç kademeden hangisine dayandığını ilgili kişiye anlaşılır biçimde söylemelidir.
Belge ve Bildirim Disiplini
- Aktarım yapılan alıcıların listesini, hizmet türünü ve veri kategorilerini gösteren bir envanter tutun.
- Standart sözleşme imzalanan hallerde, mevzuatın öngördüğü süre içinde Kurula bildirim yükümlülüğünü takvime bağlayın.
- VERBİS kaydı bulunan veri sorumlularında kayıt bilgileri ile aydınlatma metninin birbirini doğrulamasına dikkat edin.
- Alt işleyici zinciri uzadıkça sorumluluğun nerede bittiğini sözleşmeyle netleştirin.
- Metinlerin sürüm tarihini ve yayımlandığı adresi kayıt altına alın; sonradan yapılan değişikliklerin ispatı buna bağlıdır.
Başvuru ve İtiraz Yolunda Merci Riski
İlgili kişi, talebini önce veri sorumlusuna yöneltmek zorundadır; doğrudan Kurula yapılan şikayet, ön başvuru şartı yerine getirilmediği için işlemsiz kalabilir. Veri sorumlusu tarafında ise idari yaptırım kararına karşı hangi yargı koluna başvurulacağı mevzuat değişiklikleriyle farklılaşmıştır. Bu nedenle karar metninde gösterilen kanun yolu ve süre esas alınmalı, geçmiş uygulamaya dayalı varsayımla hareket edilmemelidir. Yanlış mercie yapılan itirazda geçen süre, çoğu zaman geri kazanılamaz.
Kapanış Notu
Aydınlatma metni, hukuki bir şablon değil, kurumun gerçek veri akışının aynasıdır; akış değiştiğinde metin de değişmelidir. Şirketinizin kullandığı yurt dışı hizmet sağlayıcılarının haritası çıkarılmadan yazılan metinler denetimde ilk kırılma noktası olur. Kendi veri akışınıza özgü bir değerlendirme için hukuki destek almanız uygun olacaktır.