Kişisel verinin yurt dışındaki bir sunucuda işlenmesi, günümüzde bulut hizmeti kullanan hemen her yapıda gündeme gelir. Sorun, aktarımın kendisinden çok, ihlal gerçekleştiğinde aktarım zincirinin belgelenememesinden doğar. 6698 sayılı KVKK, yurt dışına aktarımı belirli hukuki mekanizmalara bağlamıştır; ihlal anında ilk sorulan soru, verinin hangi hukuki dayanakla, hangi ülkeye ve hangi güvenceyle aktarıldığıdır.
Aktarım Envanteri Olmayan Yapıda İhlal Yönetilemez
Veri sorumlusunun yükümlülüklerinin merkezinde, hangi verinin nerede tutulduğunu bilmek yer alır. Kullanılan analiz araçları, müşteri ilişkileri yazılımları, e-posta altyapısı ve ödeme sağlayıcıları çoğu zaman veriyi yurt dışında işler; bu araçlar teknik ekip tarafından uyum süreçlerine haber verilmeden devreye alındığında envanter gerçeği yansıtmaz. İhlal bildirimi hazırlanırken bu boşluk ortaya çıkar ve savunulabilir bir anlatım kurmak güçleşir.
Aktarımın Hukuki Dayanağı
- Aktarımın dayandığı işleme şartı, aktarımdan bağımsız olarak ayrıca bulunmalıdır.
- Aktarımın yapıldığı ülke ve alıcı taraf, sözleşmesel belgelerle tanımlanmış olmalıdır.
- KVKK kapsamında öngörülen aktarım mekanizmalarından hangisine dayanıldığı kayıt altında olmalıdır.
- Alt işleyicilerin varlığı hâlinde zincirin tamamı görünür kılınmalıdır.
- Aydınlatma metni, gerçekte yapılan aktarımı yansıtmalı; şablon metin ile uygulama arasındaki fark başlı başına bir risktir.
İhlal Anında İşleyen Takvim
Veri ihlali tespit edildiğinde işleyen süreç hızlıdır: Kurula bildirim, etkilenen ilgili kişilere bilgilendirme ve etkinin sınırlandırılması eş zamanlı yürür. Bu aşamada tutulan kayıtlar sonradan hem denetimde hem tazminat taleplerinde esas alınır. Bildirimde eksik ya da düzeltilmesi gereken bilgi bulunması hâlinde tamamlayıcı bildirim yapılması gerekebilir; ilk bildirimde gerçeğe uygun olmayan bir anlatım kurmak, sonraki tüm aşamaları zorlaştırır.
Log Kayıtlarının Konumu
Erişim kayıtlarının tutulması ve saklanması, ihlalin kapsamını belirlemenin tek yoludur. Kimin hangi veriye ne zaman eriştiği bilinmiyorsa, etkilenen kişi sayısı da veri kategorisi de tahmine dayanır. 5651 sayılı Kanun kapsamındaki yükümlülükler kendi alanında ayrı bir kayıt rejimi öngörür; bu iki rejim birbirinin yerine geçmez, birlikte değerlendirilir. Kayıtların bütünlüğünü koruyacak biçimde saklanması, sonradan üretilmiş olma itirazına karşı da önemlidir.
İlgili Kişi Başvurusundan Sonrası
- Başvuru veri sorumlusuna yapılır ve cevap süresi bu tarihten itibaren işler.
- Cevap verilmemesi ya da yetersiz cevap hâlinde Kurula şikâyet yolu açılır.
- İdari süreçten bağımsız olarak genel hükümlere dayalı tazminat talebi ileri sürülebilir.
- Tazminat talebinde zararın somutlaştırılması, ihlalin varlığından ayrı bir ispat konusudur.
Yukarıdaki değerlendirmeler genel niteliktedir; kullanılan teknoloji, aktarımın yapıldığı ülke ve veri kategorisi sonucu değiştirebilir. Aktarım yapılarınızı ve ihlal müdahale planınızı somut olarak gözden geçirmek için hukuki destek almanız önerilir.