Yurt dışında barındırılan bir bulut hizmeti, yurt dışı merkezli bir analitik aracı ya da grup şirketine yapılan bir raporlama; bunların hepsi kişisel verinin sınır ötesine çıkması anlamına gelir. 6698 sayılı KVKK bakımından bu noktada iki yükümlülük iç içe geçer: aydınlatma ve aktarımın hukuki dayanağı. Bu rehber, ikisini tek bir uygulama akışında birleştirir.
Önce Veri Envanteri, Sonra Metin
Aydınlatma metnini yazmakla işe başlamak, uygulamadaki en yaygın sıralama hatasıdır. Metin, ancak arkasında gerçek bir envanter varsa doğrudur. Envanterde her veri kategorisi için şu dört sütun bulunmalıdır: veri türü, işleme amacı, saklama süresi ve aktarıldığı ülke ya da hizmet sağlayıcı. Aktarım sütunu boş bırakılan bir envanterde, aydınlatma metni kaçınılmaz olarak eksik kalır.
Aydınlatmanın Zamanı ve Yeri
Aydınlatma, verinin elde edildiği anda ve ilgili kişinin fiilen görebileceği yerde yapılmalıdır. Sözleşmenin ekine iliştirilmiş, kullanıcı akışında hiç karşılaşılmayan bir metin, biçimsel olarak var olsa da işlevini görmez. Web formu, çağrı merkezi senaryosu, mobil uygulama ilk açılışı ve İK başvuru ekranı gibi her temas noktası için ayrı bir aydınlatma anı tanımlanmalıdır. Açık rıza alınan hallerde, rızanın aydınlatmadan ayrı ve seçimlik biçimde kaydedilmesi ayrıca önemlidir.
Aktarım Dosyasında Aranan Belgeler
- Hizmet sağlayıcı ile imzalanmış, veri işleme koşullarını içeren sözleşme metni
- Verinin fiilen hangi ülkedeki sunucuda tutulduğuna ilişkin sağlayıcı beyanı
- Aktarımın hangi hukuki zemine dayandığını gösteren iç değerlendirme notu
- Alt yükleniciler zinciri ve bunların bilgi güvenliği taahhütleri
Tebligat Gecikmesi ve Kurum Yazışmalarında Süre Kaybı
İlgili kişi başvurusu ya da Kurum yazısı, çoğu kez kayıtlı e-posta adresine veya şirketin tebligata elverişli adresine ulaşır. Bu kutuyu kimin, hangi sıklıkla kontrol ettiği yazılı olarak belirlenmemişse; yanıt süresi, kimsenin farkında olmadığı bir anda işlemeye başlar. Adres ve elektronik tebligat bilgilerinin güncelliği, gelen yazının aynı gün ilgili birime iletileceği bir iç akış ve tebliğ tarihini kaydeden basit bir defter, bu riski büyük ölçüde ortadan kaldırır. Gecikmiş bir yanıt, esasa ilişkin savunma güçlü olsa dahi dosyayı zayıflatır.
Son Söz
Aktarım yapıları şirketten şirkete değişir ve teknik mimari değiştikçe hukuki değerlendirme de yenilenmelidir. Kendi yapınıza uygun bir metin ve dosya düzeni için, mevcut sistemlerinizi bilen bir hukukçuyla çalışmanız daha güvenli bir sonuç verir.