Bir veri ihlalinin ardından tartışma çoğu zaman tek bir noktaya kilitlenir: verinin yurt dışına hangi hukuki dayanakla aktarıldığı. KVKK ve 6698 sayılı Kanun çerçevesinde bu sorunun cevabı, veri sorumlusunun elindeki belgelerle verilir. Belge yoksa, iyi niyet beyanı ispat yerine geçmez.
İhlalin Kapsamını Saat Bazında Sabitlemek
İlk yapılması gereken, hangi veri kategorisinin, kaç ilgili kişiye ait olarak, hangi zaman aralığında ve hangi sistemden çıktığının teknik kayıtla ortaya konmasıdır. Kapsam raporu olmayan dosyalarda bildirim metni ya gerçeğin altında kalır ya da gereğinden geniş yazılır; her iki durum da sonraki inceleme aşamasında aleyhe yorumlanır.
Aktarımın Dayanağını İspat Yükü Kimdedir
Yurt dışına aktarımda hukuki dayanağın varlığını gösterme yükü, aktarımı yapan veri sorumlusundadır. Bu nedenle aktarımın hangi mekanizmaya dayandığı, mekanizmanın hangi tarihte kurulduğu ve ilgili kişiye ne şekilde bildirildiği dosyada hazır bulunmalıdır. Sonradan üretilen sözleşme metinleri, sistem kayıtlarıyla tarih olarak örtüşmediğinde ispat değerini kaybeder.
Dosyada Bulunması Gereken Belgeler
- Veri envanteri ve aktarım yapılan alıcı grubu listesi
- Aktarımın dayandığı sözleşmesel veya kurumsal düzenlemenin imzalı örneği
- Açık rızaya dayanılıyorsa rızanın alındığı arayüz kaydı ve metni
- Alıcı ülkedeki hizmet sağlayıcıyla yapılan teknik ve idari tedbir taahhütleri
- İhlal sonrası alınan önlemlerin tarihli kaydı
Başvuru Zincirini Atlamamak
İlgili kişi tarafında sıra bellidir: önce veri sorumlusuna yazılı başvuru, cevap alınamaz veya cevap yetersiz kalırsa Kurula şikâyet. Bu sıra atlanarak doğrudan şikâyete gidildiğinde başvuru usulden değerlendirilmeden kalır ve süre yeniden işletilmek zorunda kalınır. Veri sorumlusu tarafında ise ihlalin öğrenilmesinden sonra bildirim yükümlülüğünün gecikmesi, ayrı bir aykırılık başlığı yaratır.
Usule Aykırı İşlemin Tipik Görünümleri
Uygulamada en sık karşılaşılan hatalar; başvurunun kimlik doğrulaması yapılmadan işleme alınması, cevabın veri sorumlusunu bağlamayan bir kanaldan verilmesi ve ihlal bildiriminin ilgili kişilere ulaşılabilir bir yöntemle duyurulmamasıdır. Ayrıca çevrim içi yayın boyutu doğduğunda 5651 sayılı Kanun kapsamındaki talepler ayrı bir hat olarak yürütülmelidir; iki hattın karıştırılması her ikisini de yavaşlatır.
Bu metin genel bir yol haritasıdır. Aktarım mimarisi, alıcı ülke ve veri kategorisi değiştikçe yükümlülükler de değişir; somut yapıyı teknik ekip ve hukukçuyla birlikte gözden geçirmek en sağlıklı yaklaşımdır.