Yurt dışında bulunan bir sunucuya, bulut sağlayıcısına ya da grup şirketine veri gönderen her yapı için ilk kritik belge aydınlatma metnidir. Uygulamada ihtilafların önemli kısmı aktarımın kendisinden değil, veri sahibine aktarımın hiç ya da yeterince anlatılmamış olmasından doğar. Bu rehber, 6698 sayılı KVKK ekseninde aydınlatma metnini aktarım gerçeğine göre kurmayı ve bir uyuşmazlık çıktığında sulh ile dava arasındaki tercihi ele alır.
Aydınlatma Metni Aktarımı Gerçekten Anlatıyor mu?
Genel geçer bir cümleyle "verileriniz yurt dışına aktarılabilir" demek, aydınlatma yükümlülüğünü karşılamaz. Metnin, veri sahibinin kendi verisinin nereye ve neden gittiğini anlayabileceği açıklıkta olması beklenir. Pratikte şu üç unsurun metinde ayrı ayrı görünmesi gerekir: aktarımın amacı, aktarımın hukuki dayanağı ve alıcı grubunun niteliği.
Aktarım Dayanağını Belgeye Bağlamak
KVKK, yurt dışı aktarım için kademeli bir yapı öngörür. Sırasıyla değerlendirilmesi gereken başlıklar şunlardır:
- İlgili ülke veya sektör bakımından yeterlilik kararı bulunup bulunmadığı
- Yeterlilik kararı yoksa standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvencelerden hangisinin kullanıldığı
- Uygun güvence de yoksa yalnızca istisnai hâllerin gündeme gelebileceği
- Kullanılan belgenin Kurula bildirim gerektirip gerektirmediği
Bu tercihin yazılı bir gerekçesi olmalıdır. Denetimde "hangi dayanağı neden seçtiniz" sorusuna sözlü cevap vermek, çoğu zaman eksik değerlendirme sonucunu doğurur.
Veri Sahibi Başvurusu Geldiğinde İzlenecek Yol
- Başvurunun ulaştığı tarih ve kanal kayıt altına alınır; kanunda öngörülen cevap süresi buradan işletilir.
- Talebin aydınlatmaya mı, aktarımın hukuka aykırılığına mı yoksa silme talebine mi ilişkin olduğu ayrıştırılır.
- İlgili kişinin verisinin hangi sistemlerde tutulduğu envanter üzerinden çıkarılır.
- Cevap yazısı, kullanılan aktarım güvencesine somut olarak atıf yapacak şekilde hazırlanır.
- Cevabın tebliğine ilişkin kayıt saklanır; şikâyet aşamasında bu kayıt belirleyici olur.
Uzlaşma mı, Şikâyet ve Dava mı?
Veri sahibi açısından Kurula şikâyet yolu ile maddi–manevi tazminat davası birbirinin alternatifi değil, farklı sonuç üreten iki ayrı yoldur. Şikâyet idari yaptırıma ve uygulamanın düzeltilmesine odaklanır; tazminat talebi ise zararın ispatını gerektirir. Veri sorumlusu açısından ise erken aşamada aktarımı durdurup metni düzelten bir uzlaşma, çoğu zaman uzun süren bir denetim sürecinden daha az maliyetlidir. Karar verirken zararın somut olarak gösterilebilirliği, aktarımın devam edip etmediği ve itibar riski birlikte tartılmalıdır.
Sık Görülen Uygulama Hataları
- Aydınlatma metninin açık rıza formuyla aynı sayfada birleştirilmesi
- Alt işleyenlerin aktarım zincirinde hiç anılmaması
- Sözleşme yenilendiğinde metnin güncellenmemesi
- Çalışan verileri için ayrı bir aydınlatma yapılmaması
Buradaki değerlendirmeler genel nitelikte olup her veri işleme faaliyetinin kendi teknik ve sözleşmesel yapısı farklıdır. Aktarımın niteliğine göre yükümlülükler değişebileceğinden, süreci başlatmadan önce dosyanızın ayrıntılarıyla birlikte hukuki görüş alınması yerinde olur.