Kişisel verinin yurt dışına aktarılması, KVKK uygulamasında en çok denetlenen başlıklardan biridir. Şirketler çoğu zaman en kolay yol göründüğü için açık rızaya dayanır; oysa açık rıza, aktarım için ilk değil son sıradaki zemindir.
Aktarım Zeminlerinin Sırası
- Öncelikle yeterlilik kararı bulunan ülkeye aktarım ihtimali değerlendirilir.
- Yoksa uygun güvencelere dayanılıp dayanılamayacağı incelenir; standart sözleşme kullanılıyorsa Kurula bildirim yükümlülüğü takvime alınır.
- Grup şirketleri bakımından bağlayıcı şirket kurallarının onay süreci ayrı planlanır.
- Bunlar sağlanamıyorsa ancak arızi nitelikteki hâller ve açık rıza gündeme gelir.
Açık Rızanın Geçerlilik Testi
- Rıza belirli bir konuya ilişkin mi, yoksa genel bir onay metnine mi gömülmüş?
- Aktarımın yapılacağı ülke, alıcı grubu ve olası riskler bilgilendirmede açıkça yer alıyor mu?
- Rıza hizmetin ön şartı hâline getirilmiş mi; verilmediğinde hizmet reddediliyor mu?
- Geri alma imkânı fiilen kullanılabilir durumda mı ve geri alma kaydı tutuluyor mu?
- Aydınlatma yükümlülüğü ile rıza alma işlemi ayrı ayrı belgelenmiş mi?
İlgili Kişi Tarafında Başvuru Sırası
Verisi aktarılan kişi doğrudan Kurula gidemez; önce veri sorumlusuna başvurmak gerekir. Bu başvurunun tarihi, kanalı ve içeriği daha sonra şikâyet aşamasında dosyanın temelini oluşturur. Başvuruda hangi verinin, hangi işleme faaliyeti kapsamında, hangi ülkeye aktarıldığının açıklanması ve varsa silme ya da aktarımın durdurulması talebinin ayrıca yazılması gerekir.
Yaptırım Kararına Karşı Yol
Kurul kararları ve idari para cezaları bakımından izlenecek yargı yolu, mevzuatta zaman içinde değişikliğe uğramıştır. Bu nedenle karar tebliğ edildiğinde, kararın kendisinde gösterilen başvuru yolu ve süresi esas alınmalı, güncel düzenleme mutlaka teyit edilmelidir. Yanlış mercie yapılan başvuru, esasa girilmeden reddedilir ve süre bu arada işlemeye devam eder.
Şirket Tarafında Belge Düzeni
Denetimde ilk istenen belgeler veri envanteri, aydınlatma metinleri, rıza kayıtları, aktarım sözleşmeleri ve saklama imha politikasıdır. Bu belgelerin birbiriyle çelişmesi tek başına usule aykırı işlem tartışması doğurur. Özellikle envanterde görünmeyen bir aktarımın sözleşmelerde yer alması ya da tersi durum, savunmayı baştan zayıflatır. Veri işleyenlerle yapılan sözleşmelerdeki alt yüklenici zinciri de aynı titizlikle izlenmelidir.
Buradaki açıklamalar genel niteliktedir. Aktarımın kapsamı, alıcının konumu ve veri kategorileri sonucu değiştirebileceğinden, uyum çalışması veya başvuru öncesinde dosyanın hukuki değerlendirmeden geçirilmesi tavsiye edilir.