Lunova, sınır ötesi veri aktarımı süreçlerinde KVKK Madde 9 uyumunu nasıl garanti altına alıyor?

Lunova henüz fikir ve yasal uyum çalışması aşamasında olan erken aşama bir girişimdir. Platformun fiili üretimine ve yazılım geliştirmesine ancak bu yasal uyum çalışmaları tamamlandıktan sonra başlanacaktır.

İleride üretilecek olan Lunova platformunda, kullanıcıların hassas sağlık verileri ile diğer kişisel verilerinin korunması amacıyla, KVKK Madde 9 kapsamında sınır ötesi (yurt dışına) veri aktarımı süreçlerinde mevzuata tam uyumun garanti altına alınması için şu stratejik ve hukuki adımlar planlanmaktadır:

1. Yerelleştirme İlkesi ve Türkiye Sınırları İçinde Depolama

• Yerli Bulut Altyapısı: Lunova, barındırdığı hassas sağlık ve klinik verilerinin mahremiyeti gereği, temel veritabanı altyapısını Türkiye sınırları içerisindeki yerli veri merkezlerinde (data center) konumlandıracaktır.

• Doğrudan Aktarımın Önlenmesi: KVKK Madde 9 kapsamındaki yükümlülükleri ve riskleri en aza indirmek adına, kullanıcıların özel nitelikli kişisel sağlık verilerinin yurt dışındaki sunuculara veya yabancı bulut sağlayıcılarına doğrudan aktarılmaması ana kural olarak benimsenecektir.

2. Yabancı Hizmet Sağlayıcılar İçin "Standart Sözleşme" ve "5 İş Günü" Kuralı

Yönetimsel araçlar, siber güvenlik servisleri veya platform içi bazı yardımcı yazılımlar (örneğin yabancı menşeili sunucu denetim sistemleri, global e-posta/iletişim araçları) nedeniyle dolaylı bir yurt dışı aktarımı söz konusu olursa, güncel KVKK Madde 9 mevzuatı ve yönetmelikleri uyarınca şu adımlar uygulanacaktır:

• Standart Sözleşme (SCC) Akdedilmesi: Aktarım yapılacak yurt dışındaki veri alıcıları ile Kişisel Verileri Koruma Kurulu tarafından ilan edilen, asgari teknik-idari tedbirleri ve veri kategorilerini içeren matbu Standart Sözleşmeler imzalanacaktır. Bu sözleşmeler üzerinde hiçbir değişiklik yapılmayacaktır.

• Yasal Bildirim Süresi: İmzalanan standart sözleşmeler, imzalandığı tarihten itibaren beş iş günü içinde Kurul’a fiziksel olarak, KEP veya Kurum'un ilgili modülü üzerinden bildirilecektir.

• Veri Alıcısının Denetimi: Standart sözleşme kapsamında yurt dışındaki alıcının (veri işleyenin), verileri bir alt veri işleyene aktarması durumunda da aynı teknik ve idari koruma düzeyini (KVKK Madde 12 standartlarında) sağlaması şart koşulacaktır.

3. Kurul Yeterlilik Kararlarının Takibi

• KVKK uyarınca yurt dışına veri aktarımı yapılabilmesi için ön koşullardan biri, aktarımın yapılacağı ülkenin, sektörün veya uluslararası kuruluşun Kişisel Verileri Koruma Kurulu tarafından ilan edilen yeterlilik kararı kapsamında bulunmasıdır.

• Lunova, veri paydaşlarını seçerken yalnızca Kurul'un geçerli bir yeterlilik kararı verdiği güvenli ülkeleri/sektörleri tercih edecek, bu kararların dört yılda bir yapılacak yeniden değerlendirme süreçlerini de yakından takip edecektir.

4. İstisnai ve Arızi Durumlarda Bilgilendirilmiş Açık Rıza

• Açık Rıza ve Risk Bilgilendirmesi: Mevzuatta yapılan güncel reformlar doğrultusunda, yeterlilik kararı veya uygun güvencelerin bulunmadığı arızi (geçici/tek seferlik) durumlarda yurt dışına veri aktarılması gerekirse; kullanıcılara aktarımın muhtemel riskleri hakkında detaylı bilgi verilerek bilgilendirilmiş açık rızaları alınacaktır.

• Ancak sistemin genel işleyişi, rıza unsurunu tek başına temel aktarım yöntemi yapmaktan çıkarıp "güvencelere dayalı sistematik aktarım" esasına göre kurgulanacaktır.

5. Yasal Denetim ve Tasarımdan İtibaren Uyum

• Tüm veri haritası ve sınır ötesi veri akış diyagramları, platformun idari kadrosunda yer alacak olan Veri Gizliliği ve Etik Sorumlusu tarafından periyodik olarak denetlenecek, KVKK Madde 9 uyumluluğuna aykırı hiçbir harici entegrasyona veya üçüncü parti kütüphaneye izin verilmeyecektir.