Bir veri ihlali yaşandığında ilk incelenen konulardan biri, etkilenen verilerin yurt dışına aktarılıp aktarılmadığıdır. Aktarımın kendisi hukuka uygun olsa bile, dayanağının belgelenememesi ihlal incelemesini genişletir. Bu nedenle 6698 sayılı Kanun kapsamındaki hazırlık, kriz anında değil öncesinde yapılan kayıt disiplinine dayanır.
İhlal Bildiriminin İki Ayrı Muhatabı
Veri sorumlusu, ihlali öğrendiğinde durumu Kurula ve etkilenen ilgili kişilere bildirmekle yükümlüdür. Kurula bildirim için öngörülen süre en kısa sürede ve yetmiş iki saat içinde olarak uygulanır. İlgili kişilere bildirim ise makul en kısa sürede, doğrudan veya uygun yöntemlerle yapılır. Süre, ihlalin öğrenildiği andan işlediği için, teknik ekibin bulguyu hukuk birimine ilettiği saatin de kaydedilmesi gerekir.
Aktarımın Hukuki Dayanağını Gösteren Belgeler
- Aktarımın yapıldığı ülke bakımından yeterlilik kararı bulunup bulunmadığı
- İmzalanmış standart sözleşme metni ve imza tarihi
- Kurul tarafından onaylanmış bağlayıcı şirket kuralları
- Yazılı taahhütname ve buna ilişkin izin kayıtları
- Açık rıza alınmışsa rızanın alınma yöntemi ve zamanı
Standart sözleşmeye dayanılan hallerde, sözleşmenin imzalanmasından itibaren beş iş günü içinde Kurula bildirim yapılması gerekir. Bu bildirim yapılmamışsa, ihlal incelemesinde aktarımın dayanağı tartışmalı hale gelir.
Aktarım Zincirinin Görünmeyen Halkaları
Uygulamada aktarım çoğu zaman bilinçli bir kararla değil, kullanılan altyapı nedeniyle gerçekleşir. Bulut sunucunun bulunduğu bölge, log kayıtlarının tutulduğu merkez, e-posta ve destek yazılımlarının konumu ya da bir alt hizmet sağlayıcının kendi tedarikçisi bu zincirin parçasıdır. Envanter çalışmasında yalnızca doğrudan sözleşme yapılan taraf değil, verinin fiilen nerede işlendiği de kayda geçirilmelidir. 5651 sayılı Kanun kapsamındaki trafik kaydı yükümlülükleri de aynı tabloda değerlendirilmelidir.
İlgili Kişi Başvurusu ve Şikayet Takvimi
İlgili kişi önce veri sorumlusuna başvurur; talebin cevaplanması için kanunda süre öngörülmüştür. Cevabın yetersiz bulunması veya hiç verilmemesi halinde Kurula şikayet yoluna gidilir ve bu adım da kendi süresine bağlıdır. İhlal sonrası gelen toplu başvurularda tarih takibinin elle yapılması gecikmeye yol açtığından, başvuru kayıt sistemi kurulması pratik bir tedbirdir.
Denetimde İstenecek Kayıtlar
İnceleme başladığında genellikle kişisel veri işleme envanteri, saklama ve imha politikası, aydınlatma metinleri, aktarım sözleşmeleri, yetkilendirme matrisi ve teknik tedbirlere ilişkin kayıtlar istenir. Bu belgelerin ihlal tarihindeki hallerinin sürüm bilgisiyle saklanması, sonradan hazırlanmış izlenimini önler.
Buradaki açıklamalar genel niteliktedir. Aktarımın yapısı, sektörel düzenlemeler ve kullanılan altyapı değerlendirmeyi değiştirebileceğinden, ihlal yönetiminde hukuki destek alınması önerilir.