Kişisel verilerin yurt dışına aktarımında açık rıza, çoğu kurumun ilk başvurduğu ama en kırılgan olan dayanaktır. Rızanın hukuka uygun alınmadığı ortaya çıktığında aktarımın tüm zinciri sakatlanır. Bu rehber, 6698 sayılı Kanun ve ilgili düzenlemeler ekseninde aktarım zemininin doğru kurulmasını, ilgili kişinin başvuru sırasını ve delil eksikliğinin nasıl giderileceğini ele alır.
Açık Rızanın Dar Alanı
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Hizmetin sunulmasının rıza verilmesi şartına bağlanması, rızayı özgür olmaktan çıkarır. Aynı şekilde, sözleşme metnine gömülmüş, genel ve süresiz biçimde kaleme alınmış onay ifadeleri de aktarımın hukuki dayanağı olarak kabul edilmeyebilir. Bu nedenle aktarım için alınan rıza; alıcı ülkeye, aktarımın amacına ve veri kategorilerine göre ayrıştırılmış olmalıdır.
Zeminin Doğru Sıralanması
- Aktarım yapılacak ülke veya sektör bakımından yeterlilik kararı bulunup bulunmadığı kontrol edilir.
- Yeterlilik kararı yoksa uygun güvence yollarına bakılır: standart sözleşme, bağlayıcı şirket kuralları veya öngörülen diğer araçlar.
- Bu araçlar da kullanılamıyorsa, ancak istisnai ve süreklilik taşımayan hâllerde açık rızaya dayanılabileceği gözetilir.
- Standart sözleşme kullanıldığında, bunun ilgili kuruma bildirilmesine ilişkin usul yükümlülüğü ayrıca yerine getirilir.
Sıralamanın atlanarak doğrudan açık rızaya geçilmesi, denetim aşamasında en sık karşılaşılan eksikliktir.
Zorunlu İlk Adım: Veri Sorumlusuna Başvuru
İlgili kişi doğrudan Kurula şikâyette bulunamaz; önce veri sorumlusuna yazılı başvuru yapılması gerekir. Başvuruda; verinin hangi amaçla işlendiği, yurt dışına aktarılıp aktarılmadığı, aktarıldıysa hangi ülkeye ve hangi hukuki zemine dayanıldığı açıkça sorulmalıdır. Genel ifadelerle yapılan başvurular, aynı ölçüde genel cevaplar üretir ve şikâyet aşamasında dosyayı zayıflatır. Başvurunun yapıldığı tarih ve kanal, sürelerin işlemesi bakımından belgelenmelidir.
Şikâyet Aşamasında Delil Eksikliği
Kurula yapılacak şikâyet, veri sorumlusunun cevabına veya cevapsız kalmasına bağlı olarak işleyen süreler içinde yapılır. Şikâyet dosyasında bulunması beklenen belgeler şunlardır:
- Veri sorumlusuna yapılan başvurunun kendisi ve gönderim kaydı
- Alınan cevap ve varsa ekleri
- Aktarımı gösteren ekran görüntüleri, aydınlatma metinleri ve çerez politikaları
- Rızanın nasıl alındığını gösteren arayüz kayıtları veya sözleşme metinleri
İlgili kişinin elinde bu belgeler bulunmuyorsa, aktarımın varlığına ilişkin somut emareler açıklanmalı ve incelemenin bu yönde yapılması talep edilmelidir.
Yaptırım ve Yargı Yolu
İnceleme sonucunda verilen kararlara ve idari para cezalarına karşı başvurulacak yargı yolu, mevzuat değişiklikleriyle güncellenmiştir. Bu nedenle itiraz mercii, kararın tebliğ tarihinde yürürlükte olan hükme göre belirlenmelidir; yanlış mercie yapılan başvuru süre kaybına yol açar. Veri sorumlusu tarafında ise, denetime hazırlık amacıyla işleme envanteri ve aktarım kayıtlarının güncel tutulması esastır.
Bu metin genel bilgilendirme amacı taşır. Aktarımın kapsamı, alıcı ülke ve veri kategorisi değerlendirmeyi değiştirebileceğinden, somut süreç için belgelerinizle birlikte hukuki görüş alınması uygun olur.