Kişisel verilerin izinsiz ifşası veya hukuka aykırı biçimde yurt dışına taşınması, veri sorumluları için ciddi yaptırım riski doğurur. Bu rehber, 6698 sayılı KVKK çerçevesinde veri ihlali ile yurt dışı aktarımın hukuki çerçevesini ele alır.
Veri İhlalinde Bildirim Yükümlülüğü
İşlenen kişisel verilerin hukuka aykırı olarak başkaları tarafından ele geçirilmesi halinde, veri sorumlusunun iki yönlü bir bildirim yükümlülüğü doğar: Kişisel Verileri Koruma Kurulu'na ve ihlalden etkilenen ilgili kişilere bilgi verilmesi. Bildirimin makul en kısa sürede yapılması esastır; gecikme, sorumluluğu ağırlaştıran bir unsur olarak değerlendirilir. Bildirimde ihlalin niteliği, etkilenen veri kategorileri ve alınan önlemler açıklanmalıdır.
İhlal Anında Yapılması Gerekenler
İhlalin fark edilmesiyle birlikte veri sorumlusunun izlemesi gereken adımlar şunlardır:
- İhlalin kapsamının ve etkilenen kayıtların tespiti,
- Sızıntının durdurulması ve sistem güvenliğinin sağlanması,
- Bildirim metinlerinin hazırlanması,
- Olayın ve alınan önlemlerin iç kayıt altına alınması.
Bu adımların belgelenmesi, olası bir incelemede sorumlunun özenini ortaya koyar.
Yurt Dışına Aktarımın Koşulları
Kişisel verilerin yurt dışına aktarılması KVKK'da özel koşullara bağlanmıştır. Kural olarak, ilgili kişinin açık rızası ya da kanunda öngörülen güvence mekanizmalarının varlığı aranır. Aktarımın yapılacağı ülkenin sağladığı koruma düzeyi ve tarafların üstlendiği taahhütler bu değerlendirmede öne çıkar. 5651 sayılı Kanun kapsamındaki barındırma ve erişim sağlayıcı yükümlülükleri de veri konumlandırması bakımından dikkate alınmalıdır.
İdari Süreç ve Yaptırım Riski
Kurul, ihlal veya kurallara aykırı aktarım nedeniyle inceleme başlatabilir ve idari yaptırım uygulayabilir. Kurul kararlarına karşı idari yargı yolu açıktır; bu nedenle savunma dilekçesinin ve dayanak belgelerin baştan özenle hazırlanması önem taşır.
Kısa Değerlendirme
Veri ihlali ve yurt dışı aktarımı, hızlı ve belgeli bir yanıt gerektiren teknik-hukuki konulardır. Her veri işleme faaliyetinin yapısı farklı olduğundan, bildirim ve aktarım süreçlerini bir hukukçuyla birlikte kurgulamanız önerilir.