Kişisel verilerin yurt dışına aktarımı, KVKK uygulamasında hem veri sorumlusu hem ilgili kişi açısından en tartışmalı başlıklardan biridir. Açık rıza, bu aktarımda çoğu zaman düşünüldüğü kadar geniş bir dayanak sunmaz; uyuşmazlık doğduğunda ise asıl soru, başvurunun 6698 sayılı Kanun kapsamında hangi mercie yapılacağıdır.
Açık Rızanın Aktarımdaki Sınırlı Rolü
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onaydır. Hizmetin verilmesinin rızaya bağlanması, yani rıza vermeyen kullanıcının hizmetten yararlandırılmaması, rızanın özgür iradeye dayanmadığı sonucunu doğurabilir. Yurt dışı aktarımda açık rızanın, aktarımın riskleri konusunda ayrıca bilgilendirme yapılmadan alınmış olması da geçerliliği tartışmalı hâle getirir. Bu nedenle aktarımı yalnızca genel bir üyelik sözleşmesindeki onay kutusuna dayandırmak, denetimde en sık eleştirilen uygulamadır.
İlgili Kişi İçin Basamak Sırası
KVKK sistemi, doğrudan yargıya gitmek yerine kademeli bir yol öngörür. İlgili kişi önce veri sorumlusuna başvurur; talebi reddedilir, yetersiz yanıtlanır veya süresinde cevaplanmazsa Kurul'a şikâyette bulunur. Bu basamağın atlanması, şikâyetin usulden değerlendirilmemesine yol açar. Veri sorumlusuna yapılan başvurunun tarihinin belgelenmesi, sonraki tüm aşamalarda sürenin başlangıcını gösterdiği için kritik önemdedir.
Kurul Kararından Sonra Yargı Yolu
Kurul kararlarının niteliği, izlenecek yargı yolunu belirler. İdari işlem niteliğindeki kararlar bakımından idari yargı denetimi gündeme gelirken, idari yaptırım kararlarına itiraz farklı bir usule tabi olabilmektedir. Bu ayrım uygulamada karışıklık yaratan bir noktadır; kararın tebliğ edildiği yazının sonunda yer alan başvuru yolu ve süre bilgisi mutlaka okunmalı, tereddüt hâlinde güncel mevzuat metni üzerinden doğrulanmalıdır. Ayrıca aktarımdan doğan zarar için adli yargıda tazminat talebi, idari süreçten bağımsız olarak ileri sürülebilir.
Tebligat Gecikmesi Nerede Vurur?
Bu alanda süreler dar tutulmuştur ve neredeyse tamamı tebliğ tarihine bağlanır. Kurumsal veri sorumlularında yazının kayıtlı elektronik posta adresine ulaşması ile ilgili birimin haberdar olması arasında geçen süre, itiraz hakkını fiilen tüketebilir. Aynı sorun ilgili kişi tarafında da yaşanır: adres değişikliği bildirilmemişse karar geç öğrenilir. Şirket içinde tek bir tebligat takip noktası belirlenmesi ve her yazının aynı gün ilgili birime yönlendirilmesi, bu riski büyük ölçüde kapatır.
Aktarım Öncesi Denetim Başlıkları
- Aktarımın hangi hukuki dayanağa oturduğunun yazılı olarak tespiti
- Rızanın hizmet şartına bağlanıp bağlanmadığının gözden geçirilmesi
- Aktarılan veri kategorilerinin ve alıcı gruplarının envanterde güncel tutulması
- 5651 kapsamındaki yer sağlayıcı yükümlülükleriyle çakışan noktaların ayrıca değerlendirilmesi
Bu metin genel bilgilendirme amacı taşır. Aktarımın yapısı, alıcı ülkenin durumu ve verinin niteliği sonucu değiştirebileceğinden, somut yapı için hukuki değerlendirme alınmasında yarar vardır.