Kişisel verilerin yurt dışındaki bir sunucuya, hizmet sağlayıcıya veya grup şirketine aktarılması, ilgili kişinin karşısına çoğu zaman "zaten açık rıza verdiniz" cevabıyla çıkar. Oysa 6698 sayılı KVKK sisteminde açık rıza, aktarımı her koşulda meşrulaştıran genel bir anahtar değildir. Bu rehber, yurt-dışı-aktarım itirazında başvuru sırasını ve süre yönetimini ele alıyor.
Açık Rızanın Geçerlilik Testi
Bir rızanın hukuken sonuç doğurması için belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması gerekir. Hizmetin alınabilmesi rıza şartına bağlanmışsa, kayıt ekranında önceden işaretli kutucuk kullanılmışsa veya aktarımın hangi ülkeye ve hangi amaçla yapılacağı gösterilmemişse, rızanın geçerliliği tartışmaya açılır. İtiraz dilekçesinin omurgası bu testtir; "rıza vermedim" demek yerine "verilen rıza şu unsuru taşımıyor" demek gerekir.
Önce Veri Sorumlusu, Sonra Kurul
KVKK sisteminde ilgili kişinin doğrudan Kurula şikâyette bulunması kural olarak mümkün değildir. Önce veri sorumlusuna yazılı başvuru yapılır; başvuruya süresinde cevap verilmez veya cevap yetersiz bulunursa Kurula şikâyet yolu açılır. Bu iki aşamanın karıştırılması en sık görülen hak kaybı sebebidir, çünkü şikâyet süresi veri sorumlusunun cevabına ya da cevapsız kalan sürenin dolmasına bağlı olarak işlemeye başlar.
Başvuruda Somutlaştırılması Gerekenler
- Hangi verinin, hangi tarihte, hangi ülkeye aktarıldığı iddiası
- Aktarımın dayanağı olarak gösterilen metnin tam hâli
- Aydınlatma yükümlülüğünün yerine getirilip getirilmediği
- Rızanın geri alınmış olması hâlinde geri alma tarihi ve yöntemi
- Talebin ne olduğu: aktarımın durdurulması, silme, yok etme veya bilgilendirme
Aktarım Zincirini Belgelemek
İlgili kişi çoğu zaman aktarımın teknik ayrıntısını bilemez. Bu nedenle başvuruda, aktarımı işaret eden dolaylı belirtiler kayda geçirilmelidir: yurt dışı kaynaklı bildirim e-postaları, uygulamanın gizlilik metnindeki sunucu bilgisi, faturada görünen yabancı hizmet sağlayıcı. Bu belirtiler, veri sorumlusunun cevabında aktarımı inkâr etmesi hâlinde çelişkiyi göstermeye yarar.
Zımni Ret ve İdari Yargı Aşaması
Veri sorumlusunun sessiz kalması bir sonuçsuzluk değil, süreyi başlatan bir olgudur. Kurul kararının ilgili kişi aleyhine olması hâlinde ise uyuşmazlık idari yargıya taşınabilir. Bu aşamada dava süresinin kararın tebliğinden itibaren işlediği unutulmamalı, tebligat adresinin güncelliği başvuru anında teyit edilmelidir. 5651 sayılı Kanun kapsamındaki içerik kaldırma yolu ise ayrı bir mecradır ve KVKK başvurusunun yerini almaz.
Yukarıdaki çerçeve genel bilgilendirme amacı taşır. Veri türü özel nitelikliyse veya aktarım grup şirketleri arasında yapılıyorsa değerlendirme değişebileceğinden, başvuru metnini göndermeden önce hukuki destek almanız tavsiye edilir.