Kişisel verilerin yurt dışına aktarımı, çoğu kuruluşta fark edilmeden başlar: bulut e-posta, analitik araç, uzaktan destek yazılımı ya da grup şirketiyle paylaşılan bir müşteri listesi. Bu rehber KVKK, 6698 ve 5651 çerçevesinde VERBİS kaydı ile aktarım arasındaki bağlantıyı ve inceleme başladığında izlenecek adımları ele alır.
VERBİS Kaydı Bir Beyan Değil, Bir Envanterin Özetidir
VERBİS'e girilen bilgiler, kişisel veri işleme envanterinden türetilir. Envanterde yurt dışına aktarılan veri kategorileri, aktarımın amacı ve alıcı grubu görünmüyorsa, sisteme yapılan kayıt gerçeği yansıtmaz. İnceleme aşamasında en çok sorun yaratan durum da budur: beyan ile fiilî akışın örtüşmemesi. Bu nedenle uyum çalışmasına kayıt ekranından değil, veri akış haritasından başlanmalıdır.
Aktarımın Hukuki Zeminini Belirlemek
Yurt dışı aktarım için mevzuat kademeli bir yapı öngörür. Sırasıyla değerlendirilmesi gerekenler şunlardır:
- Aktarımın yapılacağı ülke veya sektör bakımından yeterlilik kararı bulunup bulunmadığı
- Yeterlilik kararı yoksa uygun güvencelere dayalı bir yolun kullanılıp kullanılamayacağı
- Bu yollar mümkün değilse istisnai hâllerden birinin somut olayda gerçekten var olup olmadığı
Uygulamada en sık yapılan hata, her aktarımı açık rızaya dayandırmaktır. Rıza; özgür irade, aydınlatma ve konuya özgü olma koşullarını taşımıyorsa hukuki zemin oluşturmaz ve çalışan-işveren ilişkisi gibi bağımlılık içeren durumlarda tartışmaya açıktır.
İnceleme veya Şikâyet Başladığında
Kuruma iletilen bir şikâyet ya da resen başlatılan inceleme sonrası istenen bilgi ve belgeler için tanınan süre kısadır. Bu aşamada cevap yazısının, teknik ve idari tedbirleri soyut ifadelerle değil tarihli kayıtlarla göstermesi beklenir: erişim yetkisi matrisi, log kayıtları, veri işleyen sözleşmeleri, saklama ve imha politikasının uygulandığını gösteren kayıtlar. 5651 kapsamındaki trafik bilgisi saklama yükümlülüğü ile KVKK'daki saklama sınırı arasında görünürde bir gerilim varsa, bunun gerekçesi yazıda açıklanmalıdır.
Karara Karşı Ne Yapılabilir
Verilen karara ya da idari para cezasına karşı başvurulacak merci ve süre, kararın tebliğ metninde gösterilir. Bu alandaki başvuru yolu mevzuat değişikliklerine konu olduğundan, tebligattaki bilgi ile yürürlükteki düzenleme birlikte teyit edilmeli, süre tebliğ tarihinden itibaren takvime işlenmelidir. İtiraz dilekçesi hazırlanırken yalnızca ihlalin varlığı değil, cezanın belirlenmesinde dikkate alınan ölçütler de ayrıca tartışılabilir.
Uyumu Sürdürülebilir Kılmak
Aktarım listesi bir kez hazırlanıp bırakılan bir belge değildir. Yeni bir yazılım aboneliği, yeni bir hizmet sağlayıcı ya da grup içi bir raporlama akışı listeyi değiştirir. Periyodik gözden geçirme takvimi belirlenmesi, kayıt ile gerçeğin yeniden ayrışmasını önler.
Yukarıdaki açıklamalar genel bilgilendirme amaçlıdır. Veri akışlarının teknik yapısı kuruluştan kuruluşa değiştiğinden, cevap yazınızı ya da itiraz dilekçenizi hazırlamadan önce hukuki değerlendirme almanız önerilir.