Bulut hizmeti, yurtdışı merkezli yazılım, grup şirketi paylaşımı veya uluslararası analiz aracı kullanan hemen her kurum, farkında olmadan kişisel veriyi yurt dışına aktarır. 6698 sayılı Kanun bakımından burada iki ayrı yükümlülük iç içe geçer: aydınlatma ve aktarım için geçerli bir hukuki zemin. Bu rehber, ikisinin nasıl bağlantılandırılacağına ve denetimde kanıtlanabilir hâle getirileceğine odaklanır.
Aydınlatmanın Aktarımı Kapsaması
Aydınlatma yükümlülüğü, verinin kime ve hangi amaçla aktarıldığını da kapsar. Uygulamadaki en yaygın eksiklik, metinde aktarımdan hiç söz edilmemesi ya da yalnızca gerektiğinde üçüncü kişilerle paylaşılabilir gibi belirsiz bir cümleyle geçiştirilmesidir. Aydınlatma metni, hangi veri kategorisinin hangi alıcı grubuna, hangi ülkeye ve hangi hukuki sebeple aktarıldığını ilgili kişinin anlayabileceği açıklıkta ortaya koymalıdır.
Aktarım Zemininin Seçimi
Yurt dışına aktarım, kademeli bir yapıya sahiptir. Sırasıyla değerlendirilmesi gereken başlıklar şunlardır:
- Aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş bakımından yeterlilik kararı bulunup bulunmadığı.
- Yeterlilik kararı yoksa uygun güvenceler: bağlayıcı şirket kuralları, standart sözleşme, taahhütname gibi araçlardan hangisinin somut ilişkiye uyduğu.
- Bunların da bulunmadığı hâllerde yalnızca arızi nitelikteki istisnaların gündeme gelebileceği; süreklilik arz eden aktarımların istisnaya dayandırılamayacağı.
Standart sözleşme kullanılıyorsa, imzalandıktan sonra Kurula bildirilmesi gereken bir usul adımı vardır; bu adımın atlanması, esasen doğru kurgulanmış bir aktarımı da sakatlar.
İspat Yükü Veri Sorumlusundadır
Uyuşmazlıkta ilgili kişinin aydınlatılmadığını ispatlaması beklenmez; aydınlatmanın yapıldığını gösterme yükü veri sorumlusundadır. Bu, uyum çalışmasının merkezine kayıt tutmayı yerleştirir:
- Metnin hangi tarihte yürürlüğe girdiği ve sürüm geçmişinin izlenebilir olması
- Dijital kanallarda metnin gösterildiği anın zaman damgalı olarak loglanması
- Açık rızanın, aydınlatmadan ayrı ve özgür iradeyle alındığının kaydı
- İşleme envanteri ile aydınlatma metninin birbiriyle çelişmemesi
- Alıcı ülke ve tedarikçi listesinin güncel tutulması
Sessiz Aktarımları Bulmak
Denetimlerde en çok sorun çıkaran aktarımlar, sözleşmeyle kurulanlar değil; kimsenin fark etmediği teknik entegrasyonlardır. Web sitesindeki ölçümleme etiketleri, yurtdışı sunucuda tutulan yedekler, uzaktan destek araçları, e-posta altyapısı ve işe alım platformları bu kapsamdadır. Uyum dosyası hazırlanırken teknik ekiple birlikte trafik ve tedarikçi envanteri çıkarılmadıkça, kâğıt üzerindeki uyum gerçeği yansıtmaz.
Metnin Dili
Aydınlatma metni bir sorumluluk kalkanı değil, anlaşılırlık aracıdır. Uzun ve mevzuat diline boğulmuş metinler, ilgili kişinin bilgilendirildiği izlenimini zayıflatır. Kısa, kategorik ve somut yazım, hem uyumu hem ispatı kolaylaştırır.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır; kurumun veri akışına özgü değerlendirme yapılması ve uyum belgelerinin bir hukukçu eşliğinde gözden geçirilmesi tavsiye edilir.