Kişisel verilerin yurt dışına aktarımı ve VERBİS yükümlülükleri, denetim sonrası bir yaptırım kararıyla karşılaşıldığında teknik bir uyum meselesi olmaktan çıkıp usul meselesine dönüşür. Bu aşamada en kritik soru, kararın hangi mercie ve hangi süre içinde taşınacağıdır. Yanlış merci seçimi, esasa dair güçlü savunmaların hiç incelenmemesine yol açabilir.
Başvuru merciini mevzuatın güncel hâlinden okuyun
KVKK kapsamındaki idari yaptırım kararlarına karşı başvurulacak merci konusunda mevzuatta değişiklikler yapılmıştır. Bu nedenle kararın tebliğ edildiği tarihte yürürlükte olan düzenlemenin esas alınması gerekir; internette dolaşan eski tarihli örnek dilekçelere göre hareket etmek, süresinde ama yanlış mercie yapılmış bir başvuru anlamına gelebilir. Kararın kendi metnindeki başvuru yolu bilgisi ilk kontrol noktasıdır, ancak tek başına yeterli sayılmamalı, 6698 sayılı Kanunun ilgili hükmünün güncel hâli teyit edilmelidir.
Aktarım uyuşmazlığında dosyanın omurgası
- Aktarımın hangi hukuki zemine dayandığı belirlenir: açık rıza mı, yoksa kanunda öngörülen aktarım mekanizmalarından biri mi.
- Aktarılan veri kategorileri ve alıcı grupları, VERBİS kaydındaki beyanla karşılaştırılır.
- Beyan ile fiilî durum arasında fark varsa, farkın hangi tarihte doğduğu belgelenir.
- Aktarımın yapıldığı ülke ve alıcının niteliği, kullanılan sözleşmesel güvencelerle birlikte dosyalanır.
- Denetim yazışmaları ve verilen sürelerin takvimi çıkarılır.
VERBİS kaydı ile fiilî işleme arasındaki uyumsuzluk
Uygulamada en çok tartışma yaratan nokta, sicil kaydının bir kez doldurulup güncellenmemesidir. Yeni bir bulut hizmeti, yeni bir analiz aracı ya da yurt dışındaki bir grup şirketine açılan erişim, aktarım tablosunu değiştirir. Kayıt güncellenmediğinde şirket, esasen hukuka uygun olan bir aktarımı bile belgeleyemez duruma düşer. Bu, klasik anlamda bir delil eksikliğidir: işleme faaliyeti vardır, dayanağı vardır, ancak dayanağın o tarihte mevcut olduğunu gösteren kayıt yoktur.
Savunmayı belgeye bağlamak
- Aydınlatma metinlerinin sürüm geçmişi ve yayım tarihleri
- Açık rızanın alındığı arayüzün o tarihteki görüntüsü ve kayıt logları
- Alıcıyla imzalanan sözleşmelerin imza tarihli nüshaları
- Erişim yetkileri ve saklama sürelerine ilişkin iç politika belgeleri
- İhlal bildirimi yapılmışsa bildirimin zamanına ilişkin kayıt
İdari yol ile özel hukuk yolunu karıştırmamak
Kurul kararına karşı yürütülen süreç ile ilgili kişilerin açtığı tazminat davaları farklı raylardır ve biri diğerinin sonucunu otomatik olarak belirlemez. Şirket açısından doğru strateji, idari yaptırıma karşı yürütülen savunma ile özel hukuk taleplerine karşı hazırlanan savunmanın birbirini zayıflatmamasını sağlamaktır. Aynı belgelerin iki dosyada tutarsız biçimde sunulması, ikisinde de aleyhe sonuç doğurabilir. Elektronik ortam üzerinden yayımlanan içerikler söz konusuysa 5651 kapsamındaki talepler de ayrıca değerlendirilir.
Bu metin genel bilgilendirme amacıyla hazırlanmıştır; başvuru mercii ve süreler karar tarihine göre değişebileceğinden, elinizdeki kararın bir hukukçu tarafından incelenmesi tavsiye edilir.