Kişisel verilerin yurt dışına aktarımı, veri sorumlusu açısından tek seferlik bir işlem değil, sürekli izlenmesi gereken bir uyum başlığıdır. 6698 sayılı KVKK kapsamındaki VERBİS kayıtları ile fiilî aktarım pratiğinin birbirini tutmaması, denetimde ilk fark edilen uyumsuzluklardandır. 5651 sayılı Kanun kapsamındaki yer sağlayıcı yükümlülükleri de aynı tabloya eklendiğinde, sürelerin tek bir takvimde toplanması zorunlu hâle gelir.
VERBİS Kaydı Fotoğraf Değil, Canlı Kayıttır
Sicile yapılan bildirim, yapıldığı tarihteki işleme faaliyetini gösterir. Yeni bir bulut hizmetine geçilmesi, yurt dışında sunucusu bulunan bir analiz aracının devreye alınması ya da yeni bir grup şirketiyle veri paylaşımı, kaydın güncellenmesini gerektirir. Güncelleme yükümlülüğü belirli bir süreye bağlıdır ve bu süre, değişikliğin fiilen yapıldığı tarihten itibaren işler; "yıl sonunda toplu güncelleme" alışkanlığı bu nedenle risklidir.
Aktarım Hangi Hukuki Zemine Oturuyor?
Yurt dışına aktarımda önce zemin belirlenir, sonra belge hazırlanır. Değerlendirme sırası şu şekilde kurulabilir:
- Aktarımın yapılacağı ülke veya sektör bakımından Kurulca verilmiş bir yeterlilik kararı bulunup bulunmadığı incelenir.
- Yeterlilik kararı yoksa uygun güvenceler gündeme gelir: taraflar arasında imzalanan standart sözleşme, bağlayıcı şirket kuralları veya öngörülen diğer araçlar.
- Standart sözleşme kullanılıyorsa, imzalanmasının ardından Kurula bildirim yapılması için öngörülen süreye uyulur; bu bildirim, uyumun kanıtıdır.
- Bunların hiçbiri sağlanamıyorsa, ancak sınırlı ve istisnai hâllerde arızi aktarım değerlendirilebilir; bu istisnalar süreklilik arz eden aktarımların dayanağı yapılamaz.
Belgeleme Zinciri
- Veri envanteri ve aktarım haritası: hangi veri, hangi ülkeye, hangi amaçla
- Aydınlatma metinlerinde aktarımın açıkça yer alması
- Yurt dışındaki alıcıyla imzalanan sözleşme metni ve ekleri
- Alt yüklenici ve bulut sağlayıcı zincirinin kayıt altına alınması
- Saklama ve imha politikasının aktarılan verilerle uyumu
Şikâyet Geldiğinde Süre Aleyhe İşler
İlgili kişinin başvurusuna kanunda öngörülen süre içinde cevap verilmemesi, tek başına Kurula şikâyet yolunu açan bir eksikliktir. Uygulamada cevabın gecikmesi çoğu zaman içeriğin hazırlanmasından değil, başvurunun kurum içinde doğru birime ulaşmamasından kaynaklanır. Bu nedenle başvuruların tek bir kanaldan toplanıp tarihlendirildiği bir kayıt sistemi, teknik bir ayrıntı değil hukuki bir korumadır.
Denetimde Sorulan İlk Soru
Bir inceleme başladığında istenen ilk belge genellikle envanterdir; ikinci olarak aktarımın dayanağı sorulur. Bu iki belge arasındaki tutarsızlık, sonraki tüm açıklamaların değerini düşürür. Uyum çalışmasının önceliği bu nedenle tutarlılık olmalıdır.
Buradaki anlatım genel çerçeveyi tarif eder; şirketin faaliyet alanı, veri kategorileri ve alıcı ülkeye göre yükümlülükler değişir. Aktarım modelinin seçimi ve belgelendirmesi için kurumsal yapıya özgü hukuki değerlendirme yapılması uygun olur.