Yurt dışı sunucu kullanan her şirket için iki başlık iç içe geçmiştir: kayıt yükümlülüğünün doğru yerine getirilmesi ve aktarımın hukuki dayanağının kurulması. Bu rehber, KVKK kapsamındaki denetimin nerede başlayıp yargısal denetimin nerede devreye girdiğini ve idari yaptırıma karşı hangi mercie gidileceğini ele alır.
Kayıt yükümlülüğü kimler için doğar?
6698 sayılı Kanun kapsamında veri sorumluları sicilinde kayıt, kural olarak veri sorumluları için öngörülmüş; Kurul tarafından belirlenen ölçütlere göre bazı veri sorumluları istisna tutulmuştur. Yükümlülüğün kapsamı çalışan sayısı, mali büyüklük ve işlenen verinin niteliği gibi ölçütlerle belirlendiğinden, şirketin durumu her yıl yeniden değerlendirilmelidir. Kayıt yaparken beyan edilen veri kategorileri, saklama süreleri ve aktarım alıcı grupları, sonraki bir denetimde şirketin kendi beyanı olarak karşısına çıkar; bu nedenle sicil beyanı ile gerçek işleme envanteri birebir uyumlu olmalıdır.
Yurt dışı aktarımın dayanağını kurmak
- Aktarımın hangi işleme şartına dayandığının yazılı olarak belirlenmesi
- Alıcı ülkedeki koruma düzeyi ve kullanılan aktarım mekanizmasının belgelenmesi
- Bulut hizmet sağlayıcısıyla imzalanan sözleşmedeki veri koruma eklerinin incelenmesi
- Alt işleyicilerin listesi ve bunların bulunduğu ülkeler
- İlgili kişiye yapılan aydınlatmada yurt dışı aktarımın açıkça yer alması
Denetim geldiğinde ne sorulur?
Kurul incelemelerinde çoğunlukla üç belge istenir: kişisel veri işleme envanteri, saklama ve imha politikası ile aydınlatma metinleri. Bu üç belge birbiriyle çelişiyorsa, tek başına eksiksiz olan bir sicil kaydı da koruma sağlamaz. Uygulamada sık rastlanan tutarsızlık, envanterde yer almayan bir yazılımın fiilen kullanılması ve verinin farkında olunmadan yurt dışına aktarılmasıdır. Bu nedenle bilgi işlem envanteri ile hukuki envanterin düzenli olarak karşılaştırılması gerekir.
İdari yaptırım kararına karşı yol haritası
Kurul tarafından verilen idari para cezasına karşı başvurulacak merci, yaptırımın türüne göre belirlenir. Kabahatler hukuku kapsamındaki idari para cezalarına karşı sulh ceza hakimliğine başvuru yolu işlerken, Kurulun diğer nitelikteki kararlarına karşı idari yargı yolu gündeme gelir. Başvuru mercii yanlış seçildiğinde süre işlemeye devam ettiğinden, karar tebliğ edilir edilmez kararın hukuki niteliği belirlenmelidir. Başvuru dilekçesinde yalnızca cezanın ağırlığı değil, ihlalin oluşmadığına ilişkin teknik ve hukuki gerekçeler öncelikli olarak işlenmelidir.
Uyum çalışması mı, itiraz mı?
Karar öncesinde eksikliğin giderilmesi, ihlalin ortadan kaldırılması ve alınan tedbirlerin Kurula bildirilmesi, birçok dosyada yaptırımın kapsamını etkileyen bir tutum olarak değerlendirilir. Buna karşılık şirketin veri sorumlusu sıfatının bulunmadığı, aktarımın yurt içinde kaldığı veya işlemenin başka bir hukuki dayanağa oturduğu savunulabiliyorsa, itiraz yolu asli seçenek haline gelir. Doğru karar, teknik gerçekliğin tespitinden sonra verilir; bu nedenle hukuki değerlendirme ile sistem incelemesi eş zamanlı yürütülmelidir. 5651 sayılı Kanun kapsamındaki yükümlülükler de aynı incelemede birlikte ele alınmalıdır.
Bu metin genel bilgilendirme amacı taşır. Kayıt istisnaları ve aktarım mekanizmaları güncellenebildiğinden, uyum kararı verilmeden önce şirketinizin fiili veri akışına göre değerlendirme yapılması önerilir.