Kişisel verilerin yurt dışına aktarıldığı yapılarda uyum sorunlarının büyük bölümü, teknik altyapıdan değil metinlerin birbirini tekrar etmesinden doğar. Aydınlatma metni, aktarımın hukuki dayanağını göstermeyen genel cümlelerle yazıldığında; şeffaflık yükümlülüğü kâğıt üzerinde yerine getirilmiş, fiilen ise ilgili kişi bilgilendirilmemiş olur. KVKK 6698 ve 5651 ekseninde bu rehber, aktarım ile aydınlatma arasındaki bağı kurar.
Aydınlatma, Rıza ve Aktarım Dayanağını Karıştırmamak
Aydınlatma yükümlülüğü, işleme faaliyeti için hangi hukuki sebebe dayanıldığından bağımsız olarak her hâlde yerine getirilir. Buna karşılık yurt dışına aktarımın kendisi ayrı bir meşruiyet dayanağı ister. Bu iki katmanın tek paragrafta birleştirilmesi, uygulamada en çok rastlanan hatadır. Metinde önce işleme amacı ve hukuki sebep, sonra aktarımın alıcı grupları ve aktarım mekanizması ayrı başlıklarla gösterilmelidir. Açık rızanın istisnai ve dar bir yol olduğu, hizmetin şartı hâline getirilemeyeceği de gözden kaçırılmamalıdır.
Aktarım Mekanizmaları ve Metne Yansıması
- Aktarımın yapılacağı ülke veya sektör bakımından yeterlilik kararı bulunması
- Taraflar arasında standart sözleşme imzalanması
- Şirketler topluluğu içinde bağlayıcı şirket kurallarının onaylanmış olması
- Kurumun izniyle yazılı taahhütname yoluna gidilmesi
- Bunların bulunmadığı hâllerde arızi nitelikteki sınırlı istisnalara dayanılması
Hangi mekanizmaya dayanıldığı aydınlatma metninde anlaşılır bir dille belirtilmelidir. Standart sözleşme yoluna gidilmişse, sözleşmenin imzalanmasının ardından mevzuatta öngörülen kısa süre içinde Kuruma bildirim yapılması gerekir; bildirim yapılmadığında aktarımın dayanağı eksik kalır ve denetimde bu eksiklik doğrudan görünür.
Envanter, VERBİS ve Saklama Süreleriyle Tutarlılık
Aydınlatma metni tek başına değerlendirilmez. Kişisel veri işleme envanteri, VERBİS kaydı, saklama ve imha politikası ile aynı bilgileri göstermelidir. Envanterde yer almayan bir alıcı grubunun metinde görünmesi ya da metinde belirtilmeyen bir aktarımın envanterde bulunması, tutarsızlık olarak değerlendirilir. Yer sağlayıcı konumundaki yapılarda 5651 kapsamındaki trafik bilgisi saklama yükümlülükleri de bu tabloya eklenmeli; hangi kaydın hangi mevzuat gereği tutulduğu ayrıştırılmalıdır.
Sık Görülen Usul Aksaklıkları
İlgili kişi başvurularının cevapsız bırakılması ya da süresi geçirildikten sonra yanıtlanması, esasa ilişkin uyumun tamam olduğu hâllerde bile idari sorumluluk doğurabilir. Başvuru kanallarının metinde gösterilmemesi, çevrim içi formlardaki onay kutucuklarının önceden işaretli gelmesi, çerez yönetiminde reddetme seçeneğinin kabul kadar erişilebilir olmaması diğer yaygın eksikliklerdir. Veri ihlali hâlinde Kurula ve ilgili kişilere bildirim akışının önceden yazılı bir prosedüre bağlanması, kriz anında süre kaybını önler.
Bu rehber genel bilgilendirme amaçlıdır; işlenen veri kategorileri, hizmet sağlayıcıların konumu ve grup şirketi yapısı sonucu değiştirebilir. Metinlerinizi yayımlamadan önce süreç bazlı bir uyum incelemesi yaptırmanız yararlı olacaktır.