Kişisel verilerin yurt dışına aktarımı, veri sorumlusu için hem kayıt hem de hukuki dayanak boyutu olan çift katmanlı bir yükümlülüktür. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun ekseninde bu rehber, VERBİS kaydı ve aktarım uygulamalarına ilişkin bir denetim sonrası Kurul kararıyla karşılaşıldığında hangi mercie, hangi süre içinde başvurulacağını ve usule aykırı bir adımın savunmayı nasıl zayıflattığını ele alır.
Kurul İşlemlerinin Türleri Farklı Sonuç Doğurur
Bir denetim sürecinin sonunda ortaya çıkan işlem tek tip değildir. Uygulamada üç ayrı sonuçla karşılaşılır: ihlalin giderilmesine yönelik talimat niteliğindeki kararlar, idari para cezası kararları ve veri işlemenin durdurulması gibi ağır sonuç doğuran kararlar. Her biri için başvuru yolu ve süre analizi ayrı yapılmalıdır. Karar metninde birden fazla sonuç bir arada yer alıyorsa, itiraz dilekçesinde bunlar ayrı başlıklar hâlinde ele alınmalıdır.
Denetim Merciini Belirlerken Güncel Düzenlemeyi Kontrol Edin
Kurul kararlarına karşı başvurulacak yargı yolu, kararın niteliğine göre değişir ve bu konudaki düzenleme zaman içinde değişikliğe uğramıştır. Bu nedenle özellikle idari para cezalarına karşı başvurulacak mercii bakımından, karar tarihinde yürürlükte olan hükmün ve kararın kendi bildirim metnindeki yönlendirmenin birlikte okunması gerekir. Kararın altındaki başvuru yolu bildiriminin eksik ya da hatalı olması ihtimaline karşı, süre ve mercii bağımsız olarak da doğrulanmalıdır. Yanlış mercie yapılan başvuru, esasa girilmeden reddedilir ve bu sırada süre işlemeye devam eder.
VERBİS Kaydının Savunmadaki Rolü
VERBİS kaydı yalnızca bir bildirim işlemi değil, veri sorumlusunun kendi beyanıdır. Bu nedenle denetimde ilk karşılaştırma, VERBİS'te beyan edilen işleme amaçları, veri kategorileri, alıcı grupları ve aktarım bilgileri ile fiilî uygulama arasında yapılır. Savunma hazırlanırken şu tutarlılık kontrolü yapılmalıdır:
- Beyan edilen veri kategorileri ile fiilen işlenen veriler örtüşüyor mu?
- Yurt dışına aktarım beyanı, kullanılan bulut ve yazılım hizmetlerini kapsıyor mu?
- Saklama ve imha politikasında belirtilen süreler, sistemlerde gerçekten uygulanıyor mu?
- Aydınlatma metinleri ile VERBİS beyanı aynı amaçları gösteriyor mu?
Yurt Dışı Aktarımın Hukuki Dayanağını Belgelendirmek
Aktarımın hukuka uygunluğu, tek bir onay metniyle kurulamaz. Dosyada aktarımın dayandığı hukuki sebep, aktarılan verinin kapsamı, alıcı ülkedeki alıcının kimliği ve aktarım için öngörülen güvenceler ayrı ayrı belgelenmelidir. Sözleşmesel güvenceler kullanılıyorsa, bu belgelerin imza tarihleri ile aktarımın fiilen başladığı tarih arasındaki uyum kontrol edilmelidir; aktarım güvence belgesinden önce başlamışsa, geçmişe dönük dönem ayrıca savunulmak zorunda kalır.
Usule Aykırı İşlem: Savunma Hakkının Kullanımı
Denetim sürecinde en çok kayıp verilen aşama, bilgi ve belge talebine verilen cevap aşamasıdır. Verilen sürede cevap verilmemesi ya da eksik cevap verilmesi, hem ayrı bir yükümlülük ihlali doğurur hem de sonraki yargılamada dosyanın idare tarafından tek yönlü kurulmasına yol açar. Cevap yazılırken teknik ekiple hukuk biriminin ortak çalışması, sistem kayıtlarının cevaba ek yapılması ve gönderim tarihinin kanıtlanabilir kanalla belgelenmesi gerekir.
Buradaki açıklamalar genel çerçeve sunar; veri sorumlusunun büyüklüğü, aktarımın türü ve karar tarihinde yürürlükte olan düzenleme sonucu doğrudan etkilediğinden, karar tebliğ edilir edilmez güncel mevzuat kontrolüyle birlikte hukuki değerlendirme alınması yerinde olur.