Kişisel verilerin yurt dışına aktarılması, 6698 sayılı Kanun'da yapılan değişiklikle kademeli bir yapıya kavuştu. Bu yapıda açık rızanın konumu değişti; artık her aktarımın gerekçesi olarak kullanılabilecek genel bir dayanak değil, sınırlı hâllerde başvurulan bir seçenek hâline geldi. İlgili kişi bakımından bunun pratik sonucu şudur: aktarımın hangi dayanağa oturduğunu sormadan yapılan itiraz sonuçsuz kalır.
Açık Rızanın Yeri Neden Değişti
Aktarım öncelikle yeterlilik kararı bulunan ülkeler bakımından mümkündür. Böyle bir karar yoksa uygun güvencelere başvurulur: taraflar arasında imzalanan standart sözleşme, bağlayıcı şirket kuralları, taahhütname ya da kamu kurumları arasındaki anlaşmalar bu kapsamdadır. Bu iki basamağın da işletilemediği durumlarda ancak arızi nitelikteki hâller devreye girer ve açık rıza bu istisnalar arasında konumlandırılmıştır. Dolayısıyla süreklilik gösteren bir aktarım için yalnızca açık rızaya dayanılması, kural olarak tartışmalı bir uygulamadır.
Geçerli Bir Açık Rızanın Unsurları
- Belirli bir konuya ilişkin olmalıdır; genel ve kapsayıcı metinler bu şartı karşılamaz.
- Bilgilendirmeye dayanmalıdır; aktarımın yapılacağı ülke, alıcı grubu ve amaç anlaşılır biçimde belirtilmelidir.
- Özgür iradeyle açıklanmalıdır; hizmetin verilmesi rızaya bağlanmışsa özgür irade tartışmalı hâle gelir.
- Aydınlatma yükümlülüğünden ayrı ve ondan sonra alınmalıdır; tek bir metinde birleştirilen onaylar sıkça eleştiri konusu olur.
- Her zaman geri alınabilir olmalı ve geri alma yöntemi kolay erişilebilir biçimde gösterilmelidir.
İlgili Kişi Olarak Başvuru Adımları
- Veri sorumlusuna yazılı başvuru yapılır; talep, hangi verinin nereye aktarıldığının bildirilmesi ve dayanağın açıklanması biçiminde somutlaştırılır.
- Cevap geldiğinde aktarımın dayanağı incelenir: yeterlilik kararı mı, uygun güvence mi, arızi hâl mi gösterilmiş.
- Standart sözleşmeye dayanılıyorsa, sözleşmenin Kurum'a bildirilmiş olup olmadığı sorulabilir.
- Cevap yetersizse ya da hiç verilmezse Kurul'a şikâyet yoluna geçilir.
- Kişisel verinin bir internet yayını üzerinden görünür olduğu hâllerde 5651 sayılı Kanun kapsamındaki içerik kaldırma yolu ayrıca değerlendirilir.
Cevap Beklerken Doğan Süre Riski
Kanun, veri sorumlusuna yapılan başvurunun cevaplanması için bir süre öngörür. Bu sürenin dolmasının ardından Kurul'a şikâyet için işleyen süre kısadır ve hak düşürücü niteliktedir. Uygulamada en sık görülen kayıp, veri sorumlusuyla yazışmanın uzaması ve şikâyet süresinin bu yazışma sırasında tükenmesidir. Ayrıca doğrudan Kurul'a yapılan şikâyetler, önce veri sorumlusuna başvuru şartı karşılanmadığı için incelenmeden iade edilebilir. Bu yolun, uğranılan zarar için ayrıca dava açma hakkını ortadan kaldırmadığı da unutulmamalıdır.
Veri koruma uyuşmazlıklarında başvurunun içeriği kadar sırası da belirleyicidir. Başvuru tarihini kaydedip cevap süresini takip etmek, sonraki aşamada kullanılacak hakkın korunması için ilk şarttır; kurumsal tarafta ise aktarım envanterinin belgelenmiş olması esastır.