Kişisel verilerin yurt dışına aktarımına ilişkin denetimlerde tartışma, çoğu kez aktarımın yapılıp yapılmadığı değil, yapılan aktarımın hangi hukuki dayanağa oturduğudur. 6698 sayılı KVKK kapsamında ispat külfeti veri sorumlusundadır; yani "biz zaten uyumluyuz" savunması, belgeyle desteklenmedikçe sonuç doğurmaz.
VERBİS Kaydı ile Fiili Durum Arasındaki Makas
Uygulamada en sık rastlanan zafiyet, sicile bildirilen envanter ile şirketin gerçekte kullandığı sistemlerin örtüşmemesidir. Bulut tabanlı bir muhasebe programı, yurt dışı sunucuda çalışan bir müşteri ilişkileri yazılımı ya da yabancı sağlayıcıdan alınan e-posta hizmeti çoğu zaman envantere işlenmemiştir. Denetimde bu makas tespit edildiğinde, kaydın kendisi aleyhe delil haline gelir.
Aktarım Dosyasında Bulunması Gereken Unsurlar
- Hangi veri kategorisinin, hangi ülkeye ve hangi sağlayıcıya aktarıldığını gösteren envanter satırı
- Aktarımın dayandığı hukuki mekanizmaya ilişkin imzalı metin ve varsa Kuruma yapılan bildirimin kaydı
- İlgili kişiye yapılan aydınlatmanın hangi anda ve hangi kanalla yapıldığını gösteren kayıt
- Açık rızaya dayanılıyorsa, rızanın özgür iradeyle ve ayrı biçimde alındığını gösteren teknik log
- Sağlayıcıyla imzalanan sözleşmedeki teknik ve idari tedbir taahhütleri
Aydınlatma ile Rızanın Karıştırılması
Aydınlatma yükümlülüğü her halde yerine getirilmesi gereken bir bilgilendirmedir; açık rıza ise ancak belirli hallerde başvurulan bir hukuki sebeptir. Tek bir metinde bunların iç içe geçirilmesi, hem rızanın geçerliliğini tartışmalı hale getirir hem de ispatı zorlaştırır. Kayıtların birbirinden ayrı tutulması, sonraki denetimde savunmayı doğrudan güçlendirir.
Şikâyet Geldiğinde Uzlaşma Alanı Nerede Başlar?
İlgili kişinin başvurusu üzerine veri sorumlusunun vereceği cevap, yalnızca bir yazışma değil, sonraki inceleme dosyasının çekirdeğidir. Talep haklıysa, verinin silinmesi veya aktarımın durdurulması yönünde hızlı bir düzeltme, sürecin idari aşamada kapanmasına imkân verebilir. Talebin reddi tercih ediliyorsa, gerekçe hukuki dayanak gösterilerek yazılmalı; kısa ve dayanaksız bir ret, ilerleyen aşamada aleyhe yorumlanabilir. 5651 sayılı Kanun kapsamındaki erişim engelleme taleplerinin ayrı bir usule tabi olduğu da gözden kaçırılmamalıdır.
Bu içerik yalnızca genel bilgilendirme sunar. Şirketinizin veri akışı ve sözleşme yapısı farklı sonuçlar doğurabileceğinden, uyum çalışmasının hukuki denetimden geçirilmesi tavsiye edilir.