Veri sorumlusu kuruluşlar bakımından VERBİS kaydı ile yurt dışına aktarım rejimi çoğu zaman iki ayrı uyum başlığı sanılır; oysa denetimde ikisi birlikte sorulur. 6698 sayılı KVKK ve 5651 sayılı Kanun ekseninde, bir denetim ya da şikâyet süreci başladığında hangi mercie ne söyleneceğini ve karar aleyhe çıkarsa nereye gidileceğini ele alıyoruz.
Denetimin muhatabı ve kapsamı
VERBİS bildirimi, işlenen veri kategorileri, aktarım yapılan taraflar ve saklama süreleri gibi başlıkları içerir. Bu bildirim, denetim sırasında kuruluşun kendi beyanı olarak önüne konur. Yurt dışına aktarım iddiası incelendiğinde ilk karşılaştırma, VERBİS'te beyan edilen aktarım kalemleri ile fiilen kullanılan hizmet sağlayıcılar arasında yapılır. Bulut altyapısı, e-posta hizmeti veya analitik araçlar üzerinden gerçekleşen aktarımların kayıtta görünmemesi, tek başına bir tutarsızlık başlığı yaratır. Bu nedenle uyum çalışmasının ilk adımı, envanter ile bildirimin karşılaştırılmasıdır.
Aktarım hukuka uygunluk kontrolü
Kişisel verilerin yurt dışına aktarılması, KVKK'da özel olarak düzenlenmiş bir konudur ve genel işleme şartlarının sağlanmış olması tek başına yeterli değildir. Aktarımın hangi hukuki zemine dayandığı, kullanılan mekanizmanın türü ve varsa gerekli bildirim ya da izin adımları dosyada gösterilmelidir. Kanun metninde bu alandaki hükümler değişikliğe uğradığından, uygulanacak rejimin aktarımın yapıldığı tarihe göre belirlenmesi ve güncel metinden teyit edilmesi gerekir. Sözleşme örnekleri, aydınlatma metinleri ve varsa açık rıza kayıtları tarihleriyle birlikte saklanmalıdır.
İnceleme sürecinde savunma nasıl kurulur
- Kurum yazısındaki soruların her biri ayrı başlık altında ve belgeyle cevaplanır; genel uyum anlatımı sorulara cevap sayılmaz.
- Verilen sürenin uzatılması gerekiyorsa talep, süre dolmadan yazılı olarak iletilir.
- İhlal bildirimi yapılmışsa, bildirim tarihi ile olayın öğrenilme tarihi arasındaki fark açıklanır.
- Alınan teknik ve idari tedbirler tarihli kayıtlarla desteklenir; sonradan üretilmiş izlenimi veren belgeler sürecin aleyhine işler.
Karar aleyhe çıkarsa hangi yargı yolu
Kurul'un verdiği kararlara ve idari yaptırımlara karşı izlenecek yargı yolu ile başvuru süresi, 6698 sayılı Kanun'da gösterilmiştir ve bu düzenleme değişikliğe uğramıştır. Bu nedenle karar tebliğ edildiğinde ilk yapılacak iş, tebliğ tarihini kayda geçirip başvuru yolunun güncel kanun metninden doğrulanmasıdır. Yanlış mercie yapılan başvuru, esas itirazlar güçlü olsa dahi süre kaybı doğurur.
İdari süreçte anlaşma benzeri çözümler
İdari yaptırım süreçlerinde özel hukuktaki gibi bir sulh masası yoktur; ancak eksikliğin denetim sırasında giderilmesi ve bunun belgelenmesi sonucu etkileyebilir. Öte yandan ilgili kişiyle kuruluş arasındaki tazminat tartışması özel hukuk alanındadır ve orada anlaşma mümkündür. İki hattı ayırmak gerekir: ilgili kişiyle yapılan anlaşma idari süreci kendiliğinden sona erdirmez.
Kapanış
Yukarıdaki açıklamalar genel çerçeve niteliğindedir; veri akışınız ve sözleşme yapınız değiştikçe değerlendirme de değişir. Denetim yazısına cevap vermeden önce hukuki görüş alınması yerinde olur.