Bir uygulamanın kullanım koşullarını onaylarken tıklanan tek bir kutu, kişisel verilerin yurt dışındaki bir sunucuya aktarılmasını çoğu zaman tek başına hukuka uygun hale getirmez. 6698 sayılı KVKK açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar. Bu üç unsurdan biri eksikse aktarımın dayanağı da tartışmalı hale gelir. Aşağıda, aktarıma itiraz etmek isteyen ilgili kişinin izleyeceği sıra ile sürecin sonunda sulh ve dava arasında yapılacak tercihin ölçütleri ele alınmaktadır.
Onayın Geçerliliğini Sınayan Sorular
- Onay, hizmetin verilmesinin ön koşulu olarak mı sunuldu? Hizmete erişim onaya bağlanmışsa özgür irade tartışmalı hale gelir.
- Aydınlatma metni ile rıza metni aynı ekranda birleştirilmiş mi? Birleştirilmiş onay, belirli konuya ilişkin olma şartını zayıflatır.
- Aktarımın yapılacağı ülke, alıcı grubu ve aktarım amacı açıkça yazılmış mı?
- Rızanın geri alınabileceği ve geri alındığında ne olacağı anlatılmış mı?
Başvuru Sırası Atlanamaz
KVKK, ilgili kişinin doğrudan Kurula gitmesine izin vermez. Önce veri sorumlusuna başvurulur ve cevabı beklenir. Cevap yetersiz kalırsa, talep reddedilirse veya kanunda öngörülen süre içinde yanıt verilmezse Kurula şikâyet yolu açılır. Bu sıranın atlanması, şikâyetin esasa girilmeden değerlendirilmemesine ve yalnızca zaman kaybına yol açar. Başvurunun veri sorumlusuna ulaştığı tarih, sonraki tüm süre hesabının başlangıcıdır; bu nedenle gönderim kanıtı dosyanın en kritik belgesidir.
Dilekçede Aktarımı Somutlaştırma
Genel bir mahremiyet şikâyeti yerine, hangi veri kategorisinin hangi hizmet üzerinden yurt dışına çıktığını göstermek gerekir. Uygulamanın gizlilik politikasının tarihli ekran görüntüsü, çerez ve izin panelinin kaydı, size gönderilen e-postaların başlık bilgileri ve varsa veri sorumlusundan alınan cevap yazısı birlikte sunulduğunda dosya somutlaşır. Talep de ölçülebilir yazılmalıdır: aktarımın durdurulması, yurt dışındaki alıcıdan verinin silinmesi ve bu silmenin belgelenmesi gibi.
Uzlaşma ile Dava Arasındaki Tercih
Kurula şikâyet, kural olarak idari denetim ve yaptırım sonucu doğurur; kişisel zararın karşılanması ayrı bir yargılamayı gerektirir. Veri sorumlusu, süreç içinde aktarımı durdurup silme taahhüdü verirse, ilgili kişinin asıl amacı sağlanmış olabilir. Buna karşılık ihlal sürüyorsa, veri geniş bir kitleye açılmışsa veya somut bir zarar doğmuşsa, taahhütle yetinmek hak kaybı yaratabilir. Tercihi yaparken kayıt altına alınmış bir taahhüdün icra edilebilirliği ile yargılamanın süresi birlikte tartılmalıdır.
Kapanış
Buradaki açıklamalar yol gösterici niteliktedir. Aktarımın dayanağı, veri kategorisi ve veri sorumlusunun statüsü değiştiğinde izlenecek yol da değişir; kendi dosyanız için avukatınızla birlikte değerlendirme yapmanız yerinde olur.