Veri Sorumluları Sicili (VERBİS) kaydı ile kişisel verilerin yurt dışına aktarımı çoğu zaman tek bir uyum sürecinin iki ayrı yüzüdür. Bir şirket verileri yurt dışındaki bir sunucuya veya grup şirketine gönderiyorsa, bu faaliyetin hem envanterde görünmesi hem de aktarım şartlarının 6698 sayılı KVKK çerçevesinde karşılanması gerekir.
VERBİS ve Aktarımın Kesişimi
VERBİS kaydında beyan edilen "yurt dışına aktarım" başlığı ile fiilen yürütülen aktarım birbirini tutmalıdır. Envanterde aktarım öngörülmediği hâlde uygulamada bulut hizmeti veya yurt dışı müşteri hizmetleri üzerinden veri çıkışı yapılıyorsa, bu tutarsızlık denetimde ilk sorulan konudur.
Aktarımın Hukuki Dayanağını Belirlemek
Yurt dışına aktarımda temel mesele, verinin gideceği ülkenin sunduğu koruma düzeyi ve ilgili kişinin durumudur. Uygulamada üç zemin öne çıkar:
- Açık rızaya dayalı aktarım ve rızanın geri alınabilir yapıda tutulması
- Yeterli korumaya ilişkin taahhüt metinleri ve bunların Kurul iznine bağlı hâlleri
- Aktarımın istisnai şartlarını (sözleşmenin ifası, hukuki yükümlülük gibi) doğru gerekçelendirme
Uyumu Belgeye Dökmek
- Hangi veri kategorisinin, hangi ülkeye, hangi amaçla gittiğini gösteren bir aktarım haritası çıkarın.
- Her aktarım için dayanağı (rıza, taahhüt, istisna) ayrı ayrı eşleştirin.
- Aydınlatma metninin yurt dışı aktarımı açıkça kapsadığını doğrulayın.
- VERBİS beyanı ile envanteri periyodik olarak karşılaştırın.
Sık Görülen Zayıf Noktalar
Bulut sağlayıcısıyla imzalanan standart hizmet sözleşmesinin, veri koruma taahhütlerini içerdiği varsayılır ama çoğu zaman bu hükümler ayrıca müzakere edilmemiştir. Grup içi veri paylaşımlarında ise "aynı şirketiz" algısı nedeniyle aktarım hiç aktarım gibi değerlendirilmez; oysa farklı tüzel kişilikler arasındaki her veri çıkışı ayrı bir aktarımdır. İlgili kişi başvurusuna verilecek yanıt süresinin de kaçırılması, idari yaptırım riskini büyütür.
Başvuru ve İtiraz Zamanlaması
İlgili kişi veri sorumlusuna başvurduğunda yanıt süresi işlemeye başlar; bu süre içinde yanıt verilmez veya yanıt yetersiz kalırsa Kurul'a şikâyet yolu açılır. Tebligatın veya elektronik bildirimin tarihini kaydetmemek, itiraz süresinin sessizce tükenmesine yol açar. Bu nedenle başvuru, yanıt ve şikâyet tarihleri tek bir takvimde izlenmelidir.
Bu metin genel bilgilendirme amaçlıdır. Aktarımın hukuki zemini, gidilecek ülkeye ve veri kategorisine göre değiştiğinden, somut yapı için bir hukukçuyla değerlendirme yapılması yerinde olur.