Kişisel verilerin yurt dışındaki bir sunucuya, bulut sağlayıcısına veya grup şirketine aktarılması, KVKK bakımından sıradan bir işleme faaliyeti değildir; ek bir hukuki dayanak ve ek bir belgelendirme gerektirir. Aktarım zincirinin bir halkasında yaşanan sızıntı ise hem ilgili kişiye başvuru hakkı hem de veri sorumlusuna bildirim yükümlülüğü doğurur. Bu rehber, aktarım kaynaklı ihlallerde ilgili kişinin izleyeceği yolu ve veri sorumlusunun savunma hattını birlikte ele alır.
Aktarımın Hukuki Zemini Var mıydı
İlk soru her zaman aynıdır: veri yurt dışına hangi dayanakla çıktı? 6698 sayılı Kanun, yurt dışına aktarım için açık rıza dışında da yollar tanır; ancak bu yolların her biri belgeye bağlıdır. Uygulamada dosyanın kaderini belirleyen unsur, aktarımın gerçekleştiği tarihte ilgili taahhüt, sözleşme veya kurumsal kuralların fiilen mevcut olup olmadığıdır. Sonradan hazırlanan belge, geçmişe etkili bir meşruiyet sağlamaz.
İlgili Kişinin Adım Sırası
- Veri sorumlusuna yazılı başvuru yapılır; hangi verinin, nereye, hangi amaçla aktarıldığı sorulur.
- Yanıt verilmez ya da yetersiz kalırsa Kişisel Verileri Koruma Kurumu'na şikâyet yoluna gidilir.
- Şikâyet dilekçesine başvuru ve yanıt yazışmasının tamamı eklenir.
- Zarar doğmuşsa tazminat talebi için ayrıca genel mahkemelerde dava açılır.
Kurum Başvurusunda En Çok Düşülen Usul Hatası
Kuruma doğrudan şikâyette bulunmak, önce veri sorumlusuna başvurulmadığı gerekçesiyle sonuçsuz kalabilir. Bu, dosyayı baştan alma anlamına gelir. İkinci sık hata, başvurunun ispatlanabilir bir kanaldan yapılmamasıdır: kayıtlı elektronik posta, noter ihtarnamesi veya veri sorumlusunun ilan ettiği başvuru kanalı kullanılmalı, gönderi kaydı saklanmalıdır. Üçüncüsü, talebin "verilerim silinsin" gibi tek cümleyle bırakılmasıdır; silme, yok etme, anonim hâle getirme ve aktarımın durdurulması ayrı taleplerdir.
Veri Sorumlusunun Hazır Tutması Gerekenler
- Aktarımın dayanağını gösteren sözleşme ve taahhüt metinleri
- Kişisel veri işleme envanteri ve saklama-imha politikası
- Aydınlatma metninin ilgili tarihteki sürümü ve yayınlandığı yerin kaydı
- Alıcı ülkedeki hizmet sağlayıcıyla imzalanan teknik ve idari tedbir taahhütleri
- İhlal tespit edildiğinde tutulan olay kayıt ve müdahale raporu
İhlal Bildiriminin Zamanlaması
Veri ihlali öğrenildiğinde Kurum'a ve etkilenen ilgili kişilere bildirim yapılması gerekir. Bildirimde gecikme, tek başına ayrı bir aykırılık olarak değerlendirilebilir. Bu nedenle teknik ekiplerin "olayın boyutu netleşsin sonra bildiririz" yaklaşımı riskli bir tercihtir; bilinen bilgilerle bildirim yapıp sonrasında güncelleme sunmak daha güvenli bir yoldur.
Buradaki değerlendirmeler genel çerçeveyi anlatmakta olup her aktarım senaryosunun kendi teknik mimarisi vardır. Sürecinizi başlatmadan önce hukuki ve teknik değerlendirmeyi birlikte yapmanız yararlı olacaktır.