Kişisel veri ihlali ile yurt dışına aktarım bir araya geldiğinde, hem bildirim yükümlülüğü hem de aktarımın hukuki dayanağı ayrıca sorgulanır. 6698 sayılı KVKK ve ilgili düzenlemeler çerçevesinde yürüyen bu süreçte en sık sorun, aktarımın dayanağını gösteren belgelerin bulunmamasıdır.
İhlal ve Aktarımın Kesişimi
Veri ihlali gerçekleştiğinde veri sorumlusunun bildirim yükümlülüğü doğar. İhlale konu verinin yurt dışına aktarılmış olması, aktarımın KVKK'daki şartlara uygun yapılıp yapılmadığını da gündeme getirir. Bu iki başlık ayrı ayrı belgelenmelidir; birinin varlığı diğerini ispatlamaz.
Delil Eksikliğinin Sonucu
Aktarımın açık rıza, taahhütname veya diğer meşru sebeplerden hangisine dayandığı belgeyle gösterilmelidir. Aydınlatma metinleri, rıza kayıtları ve aktarım sözleşmeleri bulunmazsa, hem veri sorumlusunun savunması hem de ilgili kişinin talebi zeminsiz kalır.
- Aktarımın hukuki sebebini gösteren belgenin bulunmaması
- İhlalin tespit ve kapsamına dair iç kayıtların eksikliği
- İlgili kişiye yapılan bildirimlerin belgelenmemesi
Süreç Hazırlık Akışı
- İhlalin kapsamı, etkilenen veri türü ve kişi sayısı tespit edilir.
- Verinin yurt dışına aktarılıp aktarılmadığı ve dayanağı belirlenir.
- Bildirim ve aydınlatma belgeleri kronolojik biçimde derlenir.
- İlgili kişi başvurusu için başvuru ve cevap süreci izlenir.
Başvuru ve Şikâyet Yolu
İlgili kişi önce veri sorumlusuna başvurur; sonuç alınamazsa Kurul'a şikâyet yolu açılır. Bu aşamalarda belge eksikliği, hem başvurunun hem de sonraki denetimin dayanağını zayıflatır. Aktarımın dayanağını gösteremeyen veri sorumlusu, savunmasını da güçlü kuramaz.
Bu içerik genel bilgilendirme amaçlıdır. Aktarımın niteliği ve verinin türü sonucu değiştirebileceğinden, başvuru veya savunma oluşturulmadan önce somut kayıtlarla profesyonel değerlendirme alınması yerinde olur.