Veri sorumluları için yurt dışı aktarımının en kırılgan noktası, aktarımın yapılmış olması değil, hangi hukuki sebebe dayandığının denetimde gösterilememesidir. Açık rıza kolay bir çözüm gibi görünse de KVKK bakımından en dar ve en tartışmalı zemindir. 6698 sayılı Kanun ile 5651 sayılı Kanun kapsamındaki saklama yükümlülükleri birlikte okunduğunda, aktarım kayıtlarının izlenebilir tutulması zorunlu hale gelir.
Açık Rızayı Geçersiz Kılan Tasarım Hataları
- Hizmetin alınmasını rızaya bağlamak, yani rızayı sözleşmenin ön koşulu haline getirmek
- Aydınlatma ile rızayı tek bir kutucukta birleştirmek
- Aktarımın yapılacağı ülkeyi, alıcı grubunu ve amacını belirtmeden genel ifadelerle rıza almak
- Rızayı önceden işaretli kutucukla ya da sessiz kalmayla varsaymak
- Geri alma yolunu göstermemek veya geri alma talebini teknik olarak uygulanamaz bırakmak
Aktarımın Hukuki Sebebini Doğru Seçmek
Açık rıza her aktarımın çözümü değildir. Sözleşmenin ifası, hukuki yükümlülük veya meşru menfaat gibi bir işleme şartı varken rıza istemek, hem gereksiz risk yaratır hem de rızanın geri alınması hâlinde faaliyeti durdurur. Kanunda öngörülen aktarım araçlarından hangisinin kullanıldığı — taahhütname, standart sözleşme ya da bağlayıcı şirket kuralları gibi — dosyada açıkça belgelenmelidir. Bulut hizmetleri, e-posta altyapısı ve analitik araçlar üzerinden gerçekleşen dolaylı aktarımlar da bu envantere dahildir.
Denetimde İstenen Kayıtlar
- Rızanın alındığı ana ait zaman damgalı sistem kaydı ve o tarihte yürürlükte olan metin sürümü
- Aydınlatma metinlerinin sürüm geçmişi ve değişiklik tarihleri
- Aktarım yapılan alıcıların listesi, ülke bilgisi ve sözleşmesel güvenceler
- Veri işleyenlerle imzalanan sözleşmelerin gizlilik ve güvenlik hükümleri
- Kişisel veri işleme envanteri ile kayıt yükümlülüğü kapsamındaki bildirimlerin uyumu
Rızanın İspatı Kimdedir?
Rızanın varlığını ve geçerlilik unsurlarını taşıdığını gösterme yükü veri sorumlusundadır. Bu nedenle ekran tasarımının sonradan değişmesi ciddi bir risktir: bugünkü arayüz, iki yıl önce alınan rızayı kanıtlamaz. Sürüm arşivi tutulmayan yapılarda, ilgili kişinin rıza vermediği yönündeki beyanına karşı çıkacak somut veri kalmaz. Kayıt saklama süreleri ile rızanın geri alınması hâlinde verinin silinmesi arasındaki denge de ayrıca kurgulanmalıdır.
İlgili Kişi Başvurusu Geldiğinde
Aktarıma ilişkin bir başvuru geldiğinde, cevapta hangi verinin nereye ve hangi sebeple aktarıldığının somut olarak açıklanması gerekir. Genel geçer bir yanıt, sonraki şikâyet aşamasında aleyhe yorumlanır. Kurula şikâyet yolundan önce veri sorumlusuna başvuru basamağının işletilmiş olması da usul bakımından takip edilmelidir.
Buradaki değerlendirmeler genel çerçeve sunar; her veri akışının teknik mimarisi ve sözleşme yapısı farklı sonuç doğurabilir. Aktarım modelinizi hayata geçirmeden önce hukuki ve teknik incelemeyi birlikte yaptırmanız önerilir.