Kişisel verinin yurt dışındaki bir sunucuya, hizmet sağlayıcıya ya da grup şirketine aktarılması, KVKK bakımından ayrı bir işleme faaliyetidir ve yurt içindeki işlemenin hukuka uygunluğu tek başına aktarımı meşrulaştırmaz. 6698 sayılı Kanun ve 5651 sayılı Kanun ekseninde, bu uyuşmazlıkların hangi merci önünde ve hangi sırayla görüleceği aşağıda ele alınmıştır.
Açık Rıza Aktarımın Tek Dayanağı Değildir
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Hizmetin verilmesini rızaya bağlayan, tek kutucukta toplanmış ya da geri alınması fiilen imkânsız kılınan yapılar bu ölçütü karşılamaz. Aktarımda ayrıca yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi mekanizmalar bulunduğundan, rızaya dayanmak çoğu kez en kırılgan seçenektir; rıza geri alındığında aktarımın hukuki temeli boşa düşer.
Zorunlu İlk Adım: Veri Sorumlusuna Başvuru
İlgili kişi doğrudan Kurula gidemez. Önce veri sorumlusuna yazılı başvuru yapılması, cevap verilmemesi veya cevabın yetersiz bulunması hâlinde Kurula şikâyet yolunun açılması gerekir. Bu sıra atlandığında şikâyet usulden reddedilir ve süre kaybı doğar. Başvurunun tarihi ve tebliği ispatlanabilir olmalıdır; elektronik yolla yapılan başvurularda gönderim kaydı saklanmalıdır.
Kurul Kararına Karşı Yargı Yolu
Kurulun şikâyet üzerine verdiği karar ile idari para cezası kararı birer idari işlemdir; bunlara karşı iptal talebiyle idare mahkemesinde dava açılır. Buna karşılık verinin hukuka aykırı işlenmesinden doğan maddi ve manevi zararın tazmini, adli yargıda genel hükümlere göre görülür. Aynı olayın iki yargı kolunu birden ilgilendirmesi olağandır; asıl risk, tazminat talebinin idari yargıya, iptal talebinin adli yargıya yöneltilmesidir.
Yurt Dışı Aktarımda Dosyaya Konulacaklar
- Aktarımın hangi ülkeye, hangi alıcı grubuna ve hangi amaçla yapıldığını gösteren envanter kaydı
- Aktarım dayanağı olarak kullanılan sözleşme veya taahhüt metninin tarihli hâli
- Aydınlatma metni ile rıza metninin ayrı ayrı sunulduğunu gösteren ekran akışı
- Rızanın geri alınması hâlinde aktarımın durdurulduğuna dair teknik kayıt
- Yurt dışındaki alıcının veri güvenliği yükümlülüklerini üstlendiğine ilişkin belgeler
Sık Rastlanan Usul Kusurları
Başvuru dilekçesinde talebin somutlaştırılmaması, hangi verinin hangi tarihte aktarıldığının belirtilmemesi ve cevap süresinin başlangıç anının belgelenmemesi, esasa girilmeden dosyanın kapanmasına yol açar. Şikâyet ile idari yaptırım süreçlerinin karıştırılması da yaygındır; ihbar üzerine resen yürütülen inceleme ile ilgili kişinin şikâyeti farklı sonuçlar doğurur.
Bu metin bilgilendirme amacı taşır ve her aktarım senaryosuna doğrudan uygulanamaz. Veri akışınızın yapısına göre değerlendirme yapılması için uzman görüşüne başvurmanız uygun olacaktır.