Kişisel verilerin yurt dışına aktarılması, KVKK'nın en tartışmalı ve en sık ihlal edilen alanlarından biridir. Açık rıza çoğu zaman tek dayanak sanılsa da, mevzuat aktarım için ayrı bir güvence rejimi öngörür.
Açık Rıza Neden Tek Başına Yetersiz Kalır
6698 sayılı KVKK'da açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Bir hizmetin kullanımını rızaya bağlamak, yani rızayı zorunlu kılmak, iradeyi sakatlar ve rızayı geçersiz hale getirebilir. Bu nedenle aktarımın yalnızca imzalanan bir onay kutusuna dayandırılması çoğu halde eksik bir hukuki zemindir.
Aktarımın Meşru Zemini
- Aktarımın açık rızaya değil, sözleşmenin ifası gibi başka bir işleme şartına dayanıp dayanmadığının belirlenmesi
- Alıcı ülkede yeterli korumanın bulunup bulunmadığının değerlendirilmesi
- Yeterli koruma yoksa tarafların yazılı taahhütle güvence sağlaması gereği
- Aydınlatma yükümlülüğünün aktarım özelinde ayrıca yerine getirilmesi
İhlal Halinde Başvuru Sırası
Verisi hukuka aykırı aktarılan kişi, önce veri sorumlusuna başvurmak durumundadır. Bu başvuru, Kurul'a şikayetin ön koşulu niteliğindedir. Veri sorumlusunun cevabı yetersizse veya süresinde yanıt gelmezse, Kurul'a şikayet yolu açılır. Aydınlatmanın yapılmadığı hallerde bu eksiklik başlı başına bir ihlal gerekçesi oluşturur.
Zamanaşımı ve İspat
Başvuru ve şikayet süreleri hak düşürücü niteliktedir; bu yüzden ihlalin öğrenildiği tarih ve veri sorumlusuna başvuru tarihi belgeyle sabitlenmelidir. Aktarımın gerçekleştiğini gösteren kayıtlar, log verileri ve sözleşme metinleri ispatın omurgasını kurar.
Kurumsal Tarafın Sorumluluğu
Veri sorumlusu için mesele yalnızca idari yaptırım değildir; ilgili kişinin ayrıca tazminat talep etme hakkı saklıdır. Bu nedenle aktarım süreçlerinin baştan hukuka uygun kurulması, sonradan savunma yapmaktan daha güvenlidir.
Yurt dışı aktarım rejimi teknik ayrıntı içerir ve alıcı ülkeye göre değişir. Somut aktarım yapınıza uygun zeminin belirlenmesi için uzman değerlendirmesi almanız yerinde olacaktır.