KVKK uygulamasında en sık karşılaşılan uyumsuzluk, aydınlatma metninin şirketin gerçek veri akışını yansıtmamasıdır. Özellikle sunucusu veya hizmet sağlayıcısı yurt dışında olan yapılarda, 6698 sayılı Kanun kapsamındaki aydınlatma yükümlülüğü ile aktarım rejimi birbirinden bağımsız kurgulanınca ortaya belgeye dayanmayan bir uyum görüntüsü çıkar. 5651 sayılı Kanun kapsamındaki log saklama yükümlülükleri de bu tablonun içine yerleştirilmelidir.
Aydınlatma Metni Aktarımı Kapsıyor mu
Aydınlatma, ilgili kişiye verisinin kim tarafından, hangi amaçla, hangi hukuki sebeple işlendiğini ve kimlere aktarılabileceğini anlatır. Yurt dışına aktarım söz konusu ise metinde bunun açıkça yer alması gerekir. Uygulamada sık görülen hata, aktarımın yalnızca genel bir ifadeyle geçiştirilmesidir. Bulut e-posta, müşteri ilişkileri yazılımı, analitik araç veya ödeme altyapısı yurt dışında konumlanıyorsa, bunların her biri veri akış envanterinde ayrı satır olarak görünmelidir.
Aktarımın Dayanağını Seçmek
- Önce aktarımın gerçekten zorunlu olup olmadığı, verinin yurt içinde tutulabilme imkânı sorgulanır.
- Aktarım yapılacaksa dayanılacak hukuki mekanizma belirlenir ve seçim gerekçesiyle birlikte kayda geçirilir.
- Alıcı taraf ile imzalanan sözleşmede veri güvenliği, alt işleyen kullanımı ve ihlal bildirimi maddeleri aranır.
- Aktarımın kapsamı zamanla genişlerse dayanak yeniden değerlendirilir; ilk kurulan yapı kalıcı sayılmaz.
Başvuru ve Şikayet Takvimi
İlgili kişi önce veri sorumlusuna başvurur. Veri sorumlusunun talebi en geç otuz gün içinde sonuçlandırması beklenir. Başvurunun reddedilmesi, yetersiz yanıtlanması veya süresinde yanıtlanmaması hâlinde Kurula şikayet yolu açılır; bu yol için kanunda öngörülen süreler kaçırıldığında ilgili kişi idari denetim imkânını yitirir, tazminat talebi ise ayrıca değerlendirilir. Veri sorumlusu açısından ise kritik nokta, yanıt süresinin başvurunun ulaştığı tarihten itibaren hesaplanması ve yanıtın yazılı olarak belgelenmesidir.
Denetime Hazır Kayıt Düzeni
- Veri envanteri, aydınlatma metni ve aktarım sözleşmeleri aynı sürüm numarasıyla eşleştirilir.
- Aydınlatmanın ilgili kişiye hangi anda sunulduğu teknik olarak kanıtlanabilir hâle getirilir.
- Açık rıza alınan hâller, rızaya dayanmayan işleme faaliyetlerinden ayrı bir kayıt setinde tutulur.
- Veri ihlali senaryosu için bildirim akışı önceden yazılır; ihlal anında karar verilmeye çalışılmaz.
Sık Görülen Uyum Açıkları
Aydınlatmanın yalnızca web sitesinde yayımlanıp fiziksel kanallarda hiç sunulmaması, çalışan verilerinde ayrı bir metin hazırlanmaması, işe alım süreçlerinde toplanan özgeçmişlerin saklama süresinin tanımsız bırakılması ve alt hizmet sağlayıcıların envantere hiç girmemesi en çok rastlanan açıklardır. Bu açıklar tek başına küçük görünse de bir denetimde birbirini destekleyen bir tablo oluşturur.
Yukarıdakiler genel çerçevedir; şirketin faaliyet alanı, veri hacmi ve kullandığı altyapı uyum sonucunu değiştirir. Aktarım kararı verilmeden önce dosyanın hukuki ve teknik yönüyle birlikte incelenmesi önerilir.