Kişisel verilerin yurt dışına aktarılmasına ilişkin uyuşmazlıklarda tartışma çoğunlukla tek bir noktada düğümlenir: aktarımın hukuki dayanağı gerçekten var mıydı ve bu gösterilebiliyor mu. 6698 sayılı Kanun ile ilgili ikincil düzenlemeler çerçevesinde ispat yükü veri sorumlusundadır; bu nedenle kayıt düzeni, sonradan üretilecek savunmadan çok daha belirleyicidir.
Açık Rıza Gerçekten Geçerli mi
Açık rızanın geçerliliği üç unsura bağlıdır: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanmış olması. Hizmetin sunulmasının rıza verilmesine bağlandığı hâllerde özgür irade unsuru tartışmalı hâle gelir. Aydınlatma yükümlülüğünün rıza alınmasından ayrı bir yükümlülük olduğu ve ikisinin tek bir metinde birleştirilmesinin sakıncalı olabileceği de gözden kaçırılmamalıdır. Rıza her zaman geri alınabildiğinden, geri alma taleplerinin kaydedildiği bir mekanizmanın bulunması gerekir.
Aktarımın Dayanağını Belgelemek
Yurt dışına aktarım bakımından öngörülen kademeli yapıda öncelik, aktarımın yapılacağı ülke ya da sektör için verilmiş yeterlilik kararına dayanmaktır. Böyle bir karar yoksa uygun güvencelerden birine başvurulur; standart sözleşme kullanımı, bağlayıcı şirket kuralları ve taahhütname gibi araçlar bu kapsamdadır ve kullanılan araca göre kuruma bildirim veya izin şartı devreye girer. Bunların hiçbiri sağlanamıyorsa yalnızca sınırlı ve arızi hâllerde aktarım gündeme gelebilir. Denetim sırasında sorulan ilk soru genellikle hangi kademenin uygulandığı ve buna ilişkin belgenin tarihi olur.
İlgili Kişi Hangi Sırayla Başvurur
- Öncelikle veri sorumlusuna yazılı olarak başvurulur ve talep açıkça yazılır.
- Verilen cevap ya da cevapsız kalan süre belgelenir.
- Ardından Kişisel Verileri Koruma Kuruluna şikâyet yoluna gidilir.
- Zarar doğmuşsa tazminat talebi için genel mahkemelere ayrıca başvurulur.
Bu sıra atlandığında, doğrudan Kurula yapılan şikâyet başvuru şartı tamamlanmadığı için sonuçsuz kalabilir. Kurulun tazminata hükmetme yetkisi bulunmadığından, maddi kayıpların tazmini beklentisiyle yalnızca şikâyet yoluna gidilmesi de zaman kaybına yol açar. Kurul kararlarına karşı ise idari yargı yolu işletilir; bu ayrımın bilinmemesi sık görülen bir merci hatasıdır.
Veri Sorumlusu İçin Kanıt Dosyası
- Rıza metinlerinin sürüm geçmişi ve yürürlük tarihleri
- Rızanın alındığı ana ait sistem kayıtları ve zaman damgaları
- Aydınlatma metinlerinin ayrı olarak sunulduğunu gösteren ekran akışı
- Aktarım yapılan alıcı listesi, ülke bilgisi ve dayanak belgeleri
- Veri işleme envanteri ile kayıt sistemine ilişkin bildirimler
- Geri alma ve silme taleplerinin işlendiği kayıtlar
Kapanış Notu
Bu içerik genel bilgilendirme amacı taşır. Aktarım süreçlerinde kullanılan araç ve alıcı ülkeye göre yükümlülükler değiştiğinden, mevcut uygulamanızın mevzuata uygunluğunu somut belgeler üzerinden değerlendirecek bir hukuki inceleme yaptırmanız uygun olur.