Kişisel verilerin yurt dışına aktarılması, KVKK uygulamasında en çok gözden kaçan ve ihlal doğduğunda en zor savunulan başlıktır. Çünkü çoğu şirket veriyi "aktarmadığını" düşünür; oysa yurt dışında sunucusu bulunan bir bulut hizmeti, analitik aracı ya da müşteri destek yazılımı kullanmak da aktarım sonucunu doğurabilir. Bu rehber, 6698 sayılı Kanun ekseninde aktarım zincirini görünür kılmanın ve ihlal riskini azaltmanın kontrol listesini sunar.
Önce Envanter: Verinin Nereye Gittiğini Kimse Ezbere Bilmez
Denetimin ilk adımı, kullanılan tüm üçüncü taraf hizmetlerin çıkarılmasıdır. Pratikte şu kaynaklar taranmalıdır: muhasebe kayıtlarındaki yazılım abonelikleri, web sitesindeki üçüncü taraf betikleri, İK ve CRM sistemleri, e-posta ve dosya paylaşım altyapısı, müşteri destek araçları. Her hizmet için üç bilgi kayda geçirilir: hangi veri kategorisi paylaşılıyor, sunucu/işleme yeri neresi, hukuki dayanak nedir. Bu envanter olmadan ihlal bildirimi doğru yapılamaz; çünkü etkilenen veri kümesinin sınırı bilinemez.
Aktarımın Hukuki Zeminini Tek Tek Doğrulamak
- Aktarımın dayanağı belgeli mi? Kanunun aktarıma ilişkin sistemi belirli şartlara bağlıdır; açık rızaya dayanıyorsa rızanın hizmete özgü, bilgilendirilmiş ve ayrıca alınmış olması gerekir. Genel bir kullanım koşulu metnine gömülü rıza tartışmaya açıktır.
- Alıcı taraf sözleşmesi var mı? Yurt dışındaki alıcıyla yapılan sözleşmede veri güvenliği, alt işleyen kullanımı ve ihlal bildirimi yükümlülükleri düzenlenmelidir.
- Alt işleyen zinciri biliniyor mu? Hizmet sağlayıcınızın kullandığı alt yükleniciler de fiilen aktarım halkasıdır; sözleşmede bildirim yükümlülüğü aranmalıdır.
- Aydınlatma metni gerçeği yansıtıyor mu? Metinde yurt dışına aktarım yapılmadığı yazılıyor ama fiilen yapılıyorsa, ihlal anında bu tek başına ayrı bir aykırılık başlığı doğurur.
- Özel nitelikli veri aktarımı ayrı değerlendirildi mi? Sağlık, biyometrik ve benzeri veriler için standart yaklaşım yeterli değildir.
İhlal Yurt Dışındaki Sağlayıcıda Doğduğunda
Bir bulut sağlayıcısında yaşanan güvenlik olayı, veri sorumlusunun sorumluluğunu kendiliğinden ortadan kaldırmaz. Bu nedenle sözleşmelerde en kritik hüküm, sağlayıcının olayı hangi süre içinde ve hangi ayrıntıda bildireceğidir. Bildirim gecikirse, veri sorumlusunun Kurul'a bildirim yükümlülüğü de fiilen gecikir ve sorumluluk veri sorumlusunda kalır. Kontrol listesine mutlaka şu madde eklenmelidir: sağlayıcının ihlal bildirim kanalı ve iletişim noktası tanımlı mı, test edildi mi?
Süreci Uyum Planıyla Kapatmak mı, Yargı Yoluna Gitmek mi?
Aktarım kaynaklı bir inceleme başladığında iki yol vardır. Birincisi, eksikliği kabul edip somut bir uyum planı (sözleşme yenileme, sağlayıcı değişikliği, veri lokalizasyonu, envanter güncellemesi) sunarak süreci kapatmaktır; bu yaklaşım yaptırımın niteliğini etkileyebilir. İkincisi, yaptırım kararına karşı yargı yoluna gitmektir. İkinci yolu güçlendiren durumlar: aktarım niteliğinin tartışmalı olması, aynı fiile birden fazla yaptırım uygulanması ve isnat edilen aykırılığın teknik gerçeklikle örtüşmemesi. Karar verirken, dava süresince aynı hizmetin kullanılmaya devam edip etmeyeceği de değerlendirilmelidir; süregelen bir uygulama, itiraz argümanını zayıflatır.
Bu içerik genel bilgilendirme amaçlıdır. Kullanılan hizmetlerin yapısı, veri kategorileri ve sözleşme hükümleri değerlendirmeyi kökten değiştirebileceğinden, aktarım denetiminin veri koruma alanında çalışan bir hukukçu eşliğinde yürütülmesi önerilir.