Kişisel verinin yurt dışındaki bir sunucuya ya da hizmet sağlayıcıya aktarılması, aktarımın hukuki dayanağı gösterilemediğinde başlı başına bir ihlal iddiasına dönüşür. Uyuşmazlıkların büyük bölümü de açık rızanın gerçekten alınıp alınmadığının kayıtla ispatı üzerinde yoğunlaşır. Bu rehber, ilgili kişinin başvuru sırasını ve veri sorumlusunun kayıt düzenini birlikte ele alıyor.
Açık Rıza Neden Tek Başına Yeterli Sayılmaz
KVKK ve 6698 sayılı Kanun bakımından açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Hizmetin verilmesinin rıza şartına bağlanması, aydınlatma metninin rıza metniyle iç içe geçirilmesi ya da tek bir kutucukla hem üyelik hem aktarım onayının alınması bu unsurları zedeler. Yurt dışı aktarımı için alınan rızanın diğer işleme faaliyetlerinden ayrı ve seçilebilir biçimde sunulması beklenir.
İlgili Kişinin İzleyeceği Sıra
- Veri sorumlusuna yazılı başvuru yapılır; hangi verinin, hangi ülkeye, hangi dayanakla aktarıldığı sorulur.
- Yanıt verilmez veya yetersiz kalırsa Kişisel Verileri Koruma Kurulu'na şikâyet yoluna gidilir.
- Şikâyet dilekçesine başvuru tarihi ve yanıt yazışması eklenir; bu belgeler olmadan aşama atlanmış sayılır.
- Kurul kararına karşı idari yargıda dava yolu değerlendirilir.
- Zarar doğmuşsa tazminat talebi ayrı bir dosya olarak kurgulanır.
Veri Sorumlusu Tarafında Kayıt Düzeni
- Rıza metninin sürüm geçmişi ve her sürümün yürürlük tarihi
- Rızanın hangi arayüzde, hangi anda ve hangi seçeneklerle alındığını gösteren işlem kaydı
- Rızanın geri alınmasına ilişkin talep ve bunun uygulanma zamanı
- Aktarımın yapıldığı ülke, alıcı grubu ve aktarım amacının kayıt altına alınması
- Çerez ve izleyici teknolojilerinin envanteri ile bunların aktarım zinciriyle ilişkisi
Web Sitesi ve Uygulama Katmanının Etkisi
Yurt dışı aktarımı çoğu zaman bilinçli bir sözleşmeden değil, sayfaya eklenen ölçümleme ve reklam bileşenlerinden doğar. Bu bileşenler kullanıcı henüz bir tercihte bulunmadan çalışıyorsa, rıza öncesinde aktarım gerçekleşmiş olur. 5651 sayılı Kanun kapsamındaki yer sağlayıcı yükümlülükleriyle veri koruma yükümlülüklerinin karıştırılmaması, hangi kaydın hangi amaçla tutulduğunun ayrıştırılması gerekir.
Delil Eksikliğinin İki Yönlü Sonucu
İlgili kişi açısından ekran görüntüsü, tarih ve alan adı bilgisi olmadan yapılan şikâyet çoğu kez soyut kalır. Veri sorumlusu açısından ise rıza alındığı savunulsa bile bunu gösteren zaman damgalı bir kayıt sunulamıyorsa savunma karşılıksız kalır. Her iki tarafın da başvuru öncesinde kendi kayıt setini eksiksiz çıkarması, sürecin sonucunu belirleyen asıl adımdır.
Buradaki değerlendirme genel çerçeveyi anlatır; aktarımın yapısı, alıcı ülke ve işlenen verinin niteliği yükümlülükleri değiştirebilir. Somut olayda başvuru metni hazırlanmadan önce hukuki görüş alınması önerilir.