Analiz, aktarım sorusundan önce başlıyor. Kanunun 5. maddesi uyarınca işleme için bir hukuki sebep gerekiyor. Meşru menfaat, iç verimlilik amaçlı kullanımların çoğunu karşılıyor ama kendiliğinden değil; yazılı bir denge testi istiyor ve 6. maddedeki özel nitelikli veriler kendi hukuki sebebini gerektiriyor. Ben bu denge belgesini dosyanın çapası olarak görüyorum.
2024'te değişen 9. madde, yurt dışı aktarım rejimini yeniden kurdu. Yeterlilik kararı yoksa aktarım uygun güvencelere dayanıyor: beş iş günü içinde Kuruma bildirilen standart sözleşmeler, bağlayıcı şirket kuralları veya Kurul onaylı taahhütname; her biri ilgili kişinin dava edilebilir haklarını koruması koşuluyla. Kurumun 2024 faaliyet bilgi notunda o yıl için 1.345 standart sözleşme bildirimi yer alıyor; GRC Legal'in aktardığı 2025 faaliyet raporu rakamı ise 2.497. 2024 yeni rejimin kısmi bir yılı olduğu için bu sayıları temiz bir yıllık artış oranı değil, dönem işaretleri olarak okuyorum.
İş akışı katmanı, uyumun günlük alışkanlığa dönüştüğü yer. Bu işi iyi yürüten ekipler, kimliğin sonuca katkısı olmadığı yerlerde istemlerden tanımlayıcıları ayıklıyor; müşteri girdileriyle model eğitimini sözleşmeyle dışlayan kurumsal planları tercih ediyor; kayıtları da hizalı tutuyor: veri envanteri, tedarikçi sözleşmesi, denge testi, aktarım mekanizması, saklama süreleri.
Savunulabilir dosya, araç başına tek sayfa: hangi veri giriyor, hangi hukuki sebeple, hangi aktarım mekanizmasıyla. Ben o sayfayı, arkasındaki silme, aydınlatma, güvenlik ve ilgili kişi hakları kayıtlarına bağlanan bir giriş indeksi olarak görüyorum. Benimsemenin aşamalı yürüdüğü ekiplerde bu sayfa pilottan önce yazılıyordu.
Sonraki yazı: Hukuk ekipleri için yapay zeka tedarikçi inceleme listesi →