Bulut hizmeti, uluslararası grup şirketi kullanımı veya yurt dışı merkezli yazılımlar, birçok şirketin farkında olmadan kişisel veri aktarımı yapmasına yol açar. 6698 sayılı Kanun bu aktarımı ayrı bir rejime bağlamıştır ve aydınlatma metni bu rejimi doğru yansıtmıyorsa, hukuka uygun bir aktarım da eksik gösterilmiş olur. Aşağıda aydınlatma yükümlülüğü ile aktarım rejiminin nasıl birlikte kurulacağı ele alınmaktadır.
Aydınlatma Metninin Aktarımı Kapsayan Kısmı
Aydınlatma, verinin elde edildiği sırada yapılır; sonradan gönderilen bilgilendirme yükümlülüğü karşılamaz. Metinde veri sorumlusunun kimliği, işleme amacı, hukuki sebebi ve aktarılan taraf ile aktarım amacı yer almalıdır. Yurt dışına aktarım söz konusuysa bunun ayrıca ve açıkça belirtilmesi gerekir; genel bir üçüncü kişilere aktarılabilir ifadesi ilgili kişiyi bilgilendirmez.
Aktarım İçin Kullanılabilecek Zeminler
- Kurul tarafından ilan edilen yeterlilik kararı bulunan ülke veya sektöre aktarım
- Yeterlilik kararı yoksa uygun güvenceler: standart sözleşme, bağlayıcı şirket kuralları, taraflar arasında yazılı taahhüt veya uluslararası sözleşme niteliğindeki düzenlemeler
- Bu iki yol da mümkün değilse yalnızca arızi nitelikte olmak kaydıyla kanunda sayılan istisnai haller
Gözden Kaçan Bildirim Süresi
Standart sözleşmeye dayanılarak yapılan aktarımda, sözleşmenin imzalanmasından itibaren kanunda öngörülen beş iş günü içinde Kuruma bildirim yapılması gerekir. Bu kısa süre uygulamada en çok atlanan yükümlülüklerden biridir; sözleşme imzalanır, dosyaya konur ve bildirim unutulur. Aktarım hukuka uygun zemine dayansa bile bildirim eksikliği ayrı bir aykırılık olarak değerlendirilebilir.
İlgili Kişi Başvurusunda İşleyen Takvim
İlgili kişi önce veri sorumlusuna başvurur; veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvuru reddedilirse veya cevap yetersiz bulunursa, cevabın öğrenilmesinden itibaren otuz gün ve her halde başvuru tarihinden itibaren altmış gün içinde Kurula şikayet edilebilir. Doğrudan Kurula yapılan şikayet, veri sorumlusuna başvuru yolu tüketilmediği için usulden değerlendirilmez ve bu sırada altmış günlük süre işlemeye devam eder. Kurul kararlarına karşı yargı yolu ise idari yargı usulüne tabidir.
Şirket Tarafında Kurulması Gereken Kayıt Düzeni
Denetim anında en çok işe yarayan belge, hangi verinin hangi hizmet sağlayıcıya, hangi ülkeye ve hangi zemine dayanarak aktarıldığını gösteren envanterdir. Bu envanterin aydınlatma metniyle, saklama ve imha politikasıyla ve varsa açık rıza kayıtlarıyla tutarlı olması gerekir. Metinlerden biri güncellenip diğerleri sabit kaldığında ortaya çıkan çelişki, tek başına bir uyumsuzluk göstergesine dönüşür.
Buradaki açıklamalar genel çerçeve sunar. Aktarım yapılan ülkeye ve verinin niteliğine göre uygulama değiştiğinden, kurumsal süreçlerinizi hukuki değerlendirmeye tabi tutmanız yerinde olur.