Verilerin yurt dışındaki bir sunucuya, hizmet sağlayıcıya veya grup şirketine aktarılması, KVKK uygulamasında en çok tartışılan başlıklardan biridir. Aktarımın hukuki dayanağı olarak açık rızaya yaslanmak ilk bakışta kolay görünür; ancak açık rızanın geçerliliği ispatlanamadığında hem idari süreç hem de bireysel talepler veri sorumlusunun aleyhine döner. Bu rehber, açık rızaya dayalı yurt dışı aktarımında hangi merciin devrede olduğunu ve hangi kaydın eksikliğinin sonucu belirlediğini anlatır.
Açık Rıza Gerçekten Serbest İrade Ürünü mü?
Açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Hizmetin alınmasının rıza şartına bağlandığı, tek kutucukla aydınlatma ve rızanın birleştirildiği ya da geri alma imkânının fiilen kapatıldığı kurgular bu üç unsuru zedeler. Yurt dışı aktarımında bilgilendirmenin ayrıca aktarılacak ülkeyi, alıcı kategorisini ve aktarım amacını kapsaması beklenir; genel ifadelerle yapılan bir metin, rızayı belirli olmaktan çıkarır.
Hangi Yol Adli, Hangi Yol İdari?
Uyuşmazlığın yönü mercii belirler. İlgili kişi önce veri sorumlusuna başvurur; yanıt alamaz ya da yanıtı yetersiz bulursa Kişisel Verileri Koruma Kurulu'na şikayette bulunur. Kurul kararlarına ve verilen idari yaptırımlara karşı açılacak dava idari yargıda görülür ve İYUK'taki dava açma süresine tabidir. Buna karşılık ihlal nedeniyle uğranılan maddi ve manevi zararın tazmini talebi genel hükümlere göre hukuk mahkemesinde ileri sürülür. Fiil suç oluşturuyorsa ceza şikayeti ayrıca savcılığa yapılır. Aynı olayda bu üç hattın paralel işleyebileceği, ancak birinin diğerinin yerine geçmediği gözden kaçırılmamalıdır.
İspat Yükü Kimde ve Neyle Karşılanır?
Aktarımın hukuka uygunluğunu ortaya koyma yükü veri sorumlusundadır. Bu yük, aşağıdaki kayıtlarla karşılanır:
- Rızanın alındığı anı gösteren zaman damgalı log kayıtları ve arayüz ekran akışının o tarihteki hâli
- Aydınlatma metninin sürüm geçmişi ve rızadan ayrı sunulduğunu gösteren tasarım kanıtı
- Aktarımın hangi ülkeye, hangi alıcıya ve hangi amaçla yapıldığını gösteren işleme envanteri kayıtları
- Rızanın geri alınması hâlinde aktarımın durdurulduğunu gösteren teknik iz
Yalnızca Rızaya Yaslanmanın Kırılganlığı
Açık rıza her an geri alınabilir; geri alma anından itibaren aktarımın hukuki dayanağı düşer. Süreklilik gerektiren hizmetlerde tek dayanak olarak rıza seçildiğinde, tek bir geri alma talebi operasyonel bir tıkanmaya dönüşebilir. Bu nedenle mevzuatın öngördüğü diğer aktarım mekanizmalarının uygulanabilirliği en baştan değerlendirilmeli; rıza, ancak gerçekten seçimlik olan işlemler için ayrılmalıdır.
Kısa Kontrol Turu
Bir aktarımın dosyası; dayanağın ne olduğu, bilgilendirmenin kapsamı, kaydın nerede tutulduğu ve geri alma akışının çalışıp çalışmadığı sorularına belgeyle cevap verebiliyorsa sağlamdır. Bu dört başlıktan biri boşsa, uyuşmazlık çıktığında savunma sözlü açıklamaya indirgenir.
Bu metin genel bilgilendirme amacı taşır; veri akışının teknik mimarisi ve sektörel düzenlemeler sonucu değiştirebileceğinden, somut uygulamanız için hukuki değerlendirme almanız uygun olur.