Yurt dışına veri aktaran kuruluşlar için VERBİS kaydı çoğu zaman bir formalite gibi görülür; oysa kayıt içeriği ile fiili aktarım pratiğinin uyuşmaması, denetim dosyalarında ilk tespit edilen aykırılıklardan biridir. KVKK ve 6698 çerçevesinde aktarımın hukuki dayanağı, kayıt beyanı ve saklama süreleri birbiriyle tutarlı olmadığında, sürecin sonunda tartışılan konu artık aktarımın kendisi değil beyanın doğruluğu olur.
Kayıt Beyanı ile Fiili Aktarımın Karşılaştırılması
Denetim öncesi yapılabilecek en yararlı çalışma, VERBİS beyanındaki veri kategorileri, alıcı grupları ve aktarım yapılan ülkeler ile şirketin gerçekte kullandığı bulut hizmetleri, analiz araçları ve grup şirketi paylaşımlarının satır satır karşılaştırılmasıdır. Yurt dışında sunucusu bulunan bir hizmete veri yazılması da aktarım sayıldığından, yalnızca doğrudan gönderimlerin listelenmesi tabloyu eksik bırakır.
Aktarımın Hukuki Zemini Nasıl Kurulur?
Yurt dışı aktarımı için öncelikle yeterlilik kararının bulunup bulunmadığına bakılır. Böyle bir karar yoksa uygun güvenceler devreye girer: standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi araçlar bu grupta yer alır ve bunların Kurula bildirim ya da izin gerektirip gerektirmediği ayrıca kontrol edilir. Bunların hiçbiri sağlanamıyorsa yalnızca sınırlı ve arızi hallere ilişkin istisnalar gündeme gelebilir; bu istisnaların süreklilik arz eden aktarımlar için genel bir dayanak gibi kullanılması, denetimde en sık düzeltilen hatalardan biridir.
İlgili Kişi Başvurusundan Kurul Şikayetine
- İlgili kişi önce veri sorumlusuna yazılı olarak başvurur ve talebini somut biçimde tanımlar.
- Veri sorumlusu, talebi kabul veya gerekçeli olarak reddettiğini yazılı ya da elektronik ortamda bildirir.
- Yanıt verilmez veya yanıt yetersiz bulunursa Kurula şikayet yoluna gidilir.
- Şikayet aşamasında, önceki başvurunun tarihi ve içeriği belge olarak sunulur.
- Kurul kararı üzerine izlenecek yol, kararın tebliğ metninde gösterilen yönteme göre belirlenir.
Usule Aykırı İşlem Nerede Ortaya Çıkıyor?
- Veri sorumlusuna başvuru aşaması atlanarak doğrudan şikayet yoluna gidilmesi
- Başvurunun gönderildiği adresin veri sorumlusunun bildirdiği kanal olmaması
- Talebin hangi işleme faaliyetine yönelik olduğunun dilekçede belirtilmemesi
- İdari yaptırım kararına karşı, tebligatta gösterilenden farklı bir mercie başvurulması
- Aydınlatma metni ile açık rıza metninin tek belge içinde birleştirilmesi
Kurul Kararına Karşı Ne Yapılabilir?
Kurul kararlarına ve idari para cezalarına karşı izlenecek yargı yolu ile süreler mevzuat değişiklikleriyle güncellenmiştir. Bu nedenle karar elinize ulaştığında ilk yapılacak iş, tebliğ zarfının tarihini kayda geçirmek ve karar metninin sonunda gösterilen başvuru merci ile süreyi esas almaktır. Genel kabullerle hareket edip eski uygulamaya göre dilekçe hazırlamak, esasa ilişkin savunma ne kadar güçlü olursa olsun dosyanın kapanmasına yol açabilir.
Yukarıdaki açıklamalar yol gösterici bir çerçeve sunar; her kuruluşun veri envanteri, kullandığı hizmet sağlayıcılar ve aktarım hacmi farklı sonuçlar doğurur. Denetim yazısı ya da Kurul kararı alındığında, süreyi tüketmeden hukuki destek almanız önerilir.