Verinin yurt dışına aktarılmasında dayanağın açık rıza olarak gösterilmesi, hem veri sahibi hem veri sorumlusu için kırılgan bir zemindir. 6698 sayılı KVKK ve ilgili düzenlemeler ekseninde bu rehber, aktarıma itirazın hangi mercide ve hangi sırayla ileri sürüleceğini ele alır.
Aktarımın Dayanağını Yeniden Okumak
Yurt dışına aktarım rejimi kademeli bir yapıdadır: önce yeterlilik kararının bulunup bulunmadığı, yoksa uygun güvencelerin sağlanıp sağlanmadığı, bunlar da yoksa istisnai hallerin varlığı incelenir. Açık rıza, bu sıralamada ilk seçenek değil son çare niteliğindedir. Dolayısıyla itirazın çıkış noktası çoğu zaman, rızanın hizmet şartına bağlanmış olması yani özgür iradeyle verilmemesidir.
Rızanın Geçerlilik Testi
Geçerli bir açık rıza belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Uygulamada en çok tartışılan noktalar şunlardır: aydınlatma metninin rıza metniyle iç içe yazılması, aktarımın yapılacağı ülke ve alıcı grubunun belirtilmemesi, rızanın hizmetin kullanımına ön şart kılınması. Bu unsurlar başvuru dilekçesinde tek tek gösterilmelidir.
Önce Veri Sorumlusuna Başvuru
KVKK sisteminde doğrudan Kurula şikâyet yolu kapalıdır; ilgili kişinin önce veri sorumlusuna yazılı olarak başvurması gerekir. Başvuruda hangi verinin, hangi ülkeye, hangi dayanakla aktarıldığının sorulması ve rızanın geri alındığının açıkça bildirilmesi yerinde olur. Cevap verilmemesi veya yetersiz cevap, sonraki aşamanın kapısını açar.
Kurula Şikâyet ve İdari Yargı Aşaması
Veri sorumlusunun cevabı tatmin edici değilse Kurula şikâyette bulunulur. Kurul kararına karşı ise idari yargı yolu işletilir ve burada İYUK usulü uygulanır. Şikâyet ve dava süreleri birbirinden bağımsız işlediğinden, veri sorumlusuyla yürütülen yazışmaların uzaması hak kaybına yol açabilir. Yazışma trafiği tarihli bir tabloda tutulmalıdır.
Uzlaşma Zemini mi, Dava Kararı mı?
Uygulamada veri sorumlusu, aktarımı durdurma veya veriyi silme taahhüdüyle süreci kapatmayı önerebilir. Bu çözüm hızlıdır; ancak taahhüt yazılı ve doğrulanabilir değilse denetim imkânı kalmaz. Ayrıca idari yaptırım süreci ile bireysel zarar talebi ayrı yollardır; birinin kapanması diğerini kendiliğinden sona erdirmez.
Burada anlatılanlar genel çerçeveyi gösterir. Aktarımın yapıldığı ülke, veri kategorisi ve sözleşme yapısı sonucu değiştirebileceğinden, işlem öncesinde dosyanızın ayrıca değerlendirilmesi uygun olur.