Kişisel verilerin yurt dışına aktarılması, KVKK uygulamasında hem veri sorumluları hem ilgili kişiler bakımından en tartışmalı başlıklardan biridir. Uyuşmazlıkların önemli kısmı, açık rızanın hukuka uygun biçimde alınmamış olmasından ve ilgili kişinin başvurusunu yanlış sırayla, yanlış mercie yapmasından doğar. Aşağıda 6698 sayılı Kanun ve 5651 sayılı Kanun ekseninde süreç ele alınmıştır.
Açık rıza her aktarımın çözümü değildir
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Hizmetin verilmesi açık rıza şartına bağlanmışsa, iradenin özgür olduğu tartışmalı hale gelir. Aynı şekilde üyelik sözleşmesinin içine gömülmüş, tek kutucukla alınan ve aydınlatma metninden ayrılmayan onaylar sıklıkla geçersiz sayılır. Aktarım için önce Kanun'da öngörülen diğer şartların bulunup bulunmadığı değerlendirilmeli, açık rıza son çare olarak konumlandırılmalıdır.
Veri sorumlusu için kontrol listesi
- Aktarımın amacı, alıcı kategorileri ve aktarılan veri türleri envanterde ayrı ayrı yazılı mı?
- Aydınlatma metni ile açık rıza metni fiziken ve işlevsel olarak ayrılmış mı?
- Rızanın geri alınması için kullanılabilir, kayıt bırakan bir kanal sunulmuş mu?
- Yurt dışındaki alıcıyla yapılan sözleşmede güvenlik ve gizlilik yükümlülükleri düzenlenmiş mi?
- Bulut hizmeti veya analiz aracı kullanımı nedeniyle dolaylı aktarım doğuyor mu?
İlgili kişi için başvuru sırası
- Talep önce veri sorumlusuna yazılı olarak iletilir; kimlik bilgisi, talep konusu ve tebligata esas adres açıkça yazılır.
- Veri sorumlusunun cevabı beklenir; bu aşamanın atlanması, sonraki şikâyetin usulden değerlendirilmemesine yol açar.
- Cevap yetersizse veya süresinde cevap verilmezse, Kanun'da öngörülen süre içinde Kişisel Verileri Koruma Kurulu'na şikâyette bulunulur.
- Kişilik hakkı ihlali nedeniyle tazminat isteniyorsa bu talep ayrıca genel mahkemelerde ileri sürülür; Kurul tazminata hükmetmez.
- İçeriğin internetten kaldırılması gerekiyorsa 5651 sayılı Kanun kapsamındaki ayrı yol işletilir.
İdari yaptırıma karşı ne yapılır?
Kurul tarafından verilen idari yaptırım kararına karşı başvurulacak merci ve süre, kararın kendisinde gösterilir. Uygulamada en çok bu bilgi gözden kaçırıldığı için hak kaybı yaşanır; karar tebliğ alındığı gün kanun yolu bilgisi işaretlenmeli ve takvime bağlanmalıdır.
Şikâyet dosyasını güçlendiren kayıtlar
Başvuru anındaki ekran görüntüleri, onay kutucuklarının görünümü, aydınlatma metninin o tarihteki hali ve veri sorumlusuyla yapılan yazışmalar tarih sırasıyla saklanmalıdır. Sonradan güncellenen metinler, ihlal anındaki durumu göstermez.
Bu metin genel bilgi vermek için hazırlanmıştır. Aktarımın yapısı ve veri kategorileri değerlendirmeyi değiştirebileceğinden, somut durumunuz için hukuki görüş alınması önerilir.