Kişisel verilerin yurt dışına aktarılması, uzun süre "açık rıza alalım, sorun kalmaz" anlayışıyla yürütüldü. Oysa 6698 sayılı Kanun'daki aktarım rejimi kademeli bir yapı öngörür ve açık rıza bu yapının merkezinde değil, kenarında durur. Bu yazı KVKK denetimi ve şikâyet süreçlerinde hangi belgenin ne işe yaradığını ele alır.
Aktarımın Hukuki Zemini Nasıl Kurulur?
Kanun, yurt dışına aktarımı önce yeterlilik kararı bulunup bulunmadığına bağlar. Böyle bir karar yoksa uygun güvencelerin sağlanması gündeme gelir; standart sözleşme ve bağlayıcı şirket kuralları gibi araçlar bu başlıkta değerlendirilir. Bu iki yol da işletilemiyorsa, ancak sınırlı ve arızi hâllerde başka gerekçelere dayanılabilir. Süreklilik gösteren, iş modelinin parçası hâline gelmiş bir aktarımın arızi sayılması güçtür. Bu nedenle her aktarım için hangi zemine dayanıldığı yazılı olarak kayda geçmelidir.
İspat Yükü Kimde?
Bir uyuşmazlıkta ilgili kişinin verisinin nereye, hangi amaçla ve hangi hukuki sebeple aktarıldığını göstermek veri sorumlusunun görevidir. Bu nedenle şu kayıtların güncel tutulması gerekir:
- Kişisel veri işleme envanteri ve aktarım haritası
- Aktarımın dayandığı sözleşme ve güvence belgelerinin imzalı örnekleri
- Aydınlatma metninin sürüm geçmişi ve yayımlandığı tarihler
- Açık rızanın alındığı anı gösteren log kaydı ve arayüz görüntüsü
- Alt yüklenici ve bulut sağlayıcılarla yapılan yazışmalar
Açık rızaya dayanılıyorsa, rızanın özgür iradeyle ve belirli bir konuya ilişkin olarak alındığının gösterilmesi gerekir. Hizmetin verilmesinin rıza şartına bağlandığı kurgular bu yönüyle tartışmalıdır.
Önce Kime Başvurulur?
İlgili kişinin izleyeceği sıra bellidir ve atlanamaz: talep önce veri sorumlusuna yöneltilir. Doğrudan Kurul'a yapılan şikâyet, bu ön başvuru yapılmadığı gerekçesiyle işleme alınmayabilir. Veri sorumlusunun cevap vermemesi ya da cevabın yetersiz bulunması hâlinde Kurul'a şikâyet yolu açılır. Kurul'un idari yaptırım kararlarına karşı gidilecek yargı yolu ise yine ayrı bir konudur ve şikâyet dosyasının içinde çözülmez. Uğranılan zararın tazmini ise idari süreçten bağımsız olarak genel hükümlere göre talep edilir.
Aydınlatma ile Rızayı Ayırmak
Aynı metnin altına atılan tek imzayla hem aydınlatma yükümlülüğünün yerine getirildiğini hem de açık rıza alındığını savunmak zayıf bir kurgudur. İki belgenin ayrılması, denetim sırasında sorulan "hangi işleme faaliyeti hangi sebebe dayanıyor" sorusuna net cevap verilmesini sağlar.
Bu içerik genel bilgi amaçlıdır. Veri akışınızın yapısı ve karşı tarafın bulunduğu ülke değerlendirmeyi değiştirebileceğinden, uyum çalışmasının dosyaya özgü biçimde yürütülmesi önerilir.