Kişisel verilerin yurt dışındaki bir sunucuya, bulut hizmetine ya da grup şirketine aktarıldığı hemen her yapıda iki ayrı yükümlülük iç içe geçer: aktarımın hukuki zemininin bulunması ve bu aktarımın aydınlatma metninde ilgili kişiye anlaşılır biçimde açıklanması. 6698 sayılı KVKK kapsamında yapılan denetimlerde en sık karşılaşılan eksiklik, aktarımın fiilen yapılması ancak metinde hiç yer almamasıdır.
Aydınlatma Metni Aktarımı Gerçekten Anlatıyor mu?
Metinde gerekli hâllerde yurt dışına aktarılabilir biçiminde geçiştirilen ifadeler yükümlülüğü karşılamaz. İlgili kişinin, hangi veri kategorisinin, hangi amaçla, kime aktarıldığını anlayabilmesi gerekir. Uygulamada faydalı olan yöntem, aydınlatma metnini veri envanteriyle karşılaştırmalı okumaktır: envanterde görünen her aktarım, metinde bir karşılık bulmalıdır.
Aktarımın Hukuki Zemininin Belirlenmesi
- Aktarım yapılacak ülke veya sektör bakımından yeterlilik kararı bulunup bulunmadığı kontrol edilir.
- Yeterlilik kararı yoksa uygun güvencelerden hangisine dayanılacağı belirlenir; standart sözleşme veya bağlayıcı şirket kuralları bu kapsamdadır.
- Standart sözleşmeye dayanılıyorsa imzalanan metnin Kurula bildirilmesine ilişkin usul takvime bağlanmalıdır.
- Arızi nitelikteki aktarımlar için öngörülen istisnalar süreklilik arz eden aktarımlara dayanak yapılmamalıdır.
Belgelendirme: Uyumun Kanıtlanabilir Olması
Uyum, yapılan işlerin değil belgelenebilen işlerin toplamıdır. Hizmet alınan yurt dışı sağlayıcıların listesi, imzalı sözleşmeler, veri işleyenlerle yapılan protokoller, saklama ve imha politikası ile açık rıza alınmışsa rızanın alınma biçimine ilişkin kayıtlar bir arada tutulmalıdır. Bir şikâyet başvurusunda ilk istenen belgeler bunlardır ve sonradan hazırlanmaları mümkün değildir.
Şikâyet Sonrası: Uzlaşma mı, Dava mı?
İlgili kişi önce veri sorumlusuna başvurur; yanıt alamaz veya yanıtı yetersiz bulursa Kurula şikâyette bulunabilir. Bu aşamada veri sorumlusunun ilgili kişiyle iletişime geçerek talebi karşılaması, hem şikâyetin konusuz kalmasını sağlayabilir hem de aynı eksikliğin başka başvurulara dönüşmesini engeller. Buna karşılık idari para cezası verilmişse, yaptırıma karşı yargı yoluna gitmekle ödeme yapmak arasındaki tercih; cezanın gerekçesi, tekrar riski ve kurum içi düzeltme maliyeti birlikte hesaplanarak yapılmalıdır.
Burada yer alan açıklamalar genel bir uyum çerçevesi sunar. Veri akışınızın yapısı ve aktarım yapılan ülke, yükümlülükleri değiştirebileceğinden kurumsal süreçlerin hukuki incelemeden geçirilmesi önerilir.