Kişisel verilerin yurt dışına aktarılmasında açık rızaya dayanmak, ilk bakışta en kolay çözüm gibi görünür. Oysa mevzuat açık rızayı istisnai bir dayanak olarak konumlandırmıştır ve rızanın geçerlilik şartları katıdır. Bu rehber, aktarım hukukunun yanı sıra denetim sonrası ortaya çıkan uyuşmazlıkta hangi yargı yoluna gidileceğine odaklanır.
Açık Rızanın Geçerliliği: Üç Kümülatif Şart
6698 sayılı Kişisel Verilerin Korunması Kanunu, açık rızayı belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlar. Yurt dışı aktarımında bu şartlar şu sonuçları doğurur: rıza metni hizmetin ön koşulu hâline getirilemez, aktarımın yapılacağı ülke ve alıcı grubu ile aktarımın doğurabileceği riskler açıkça bildirilmelidir. Aydınlatma yükümlülüğü ile açık rıza aynı metinde birleştirildiğinde, rızanın bilgilendirmeye dayanıp dayanmadığı tartışmalı hâle gelir; bu nedenle iki metnin ayrı sunulması yerleşik uygulamadır. Rızanın her zaman geri alınabileceği, aktarım altyapısının geri alma sonrası nasıl işleyeceğini planlamayı zorunlu kılar.
Açık Rıza Dışındaki Aktarım Yolları
- Yeterlilik kararı bulunan ülkelere yapılan aktarımlar.
- Uygun güvenceye dayalı aktarımlar; standart sözleşme ve bağlayıcı şirket kuralları bu kapsamdadır. Standart sözleşmelerin imzalanmasının ardından Kurum'a bildirim yükümlülüğü bulunduğu unutulmamalıdır.
- Kanunda sayılan arızi durumlara dayalı aktarımlar; bunlar süreklilik arz eden veri akışları için elverişli değildir.
Bulut hizmeti kullanımında sunucunun yurt dışında bulunması başlı başına aktarım anlamına geldiğinden, tedarikçi envanterinin çıkarılması ilk adımdır.
İhlal Bildirimi ve İdari Süreç
Veri ihlali gerçekleştiğinde ilgili kişilere ve Kurul'a bildirim yapılması gerekir; bildirimde gecikme, esas ihlalden bağımsız ayrı bir yaptırım sebebidir. Şikâyet üzerine başlayan incelemede veri sorumlusundan istenen bilgi ve belgeye süresinde cevap verilmesi, savunmanın ilk aşamasıdır. Bu aşamada sunulan teknik açıklamalar sonradan yargı önünde de dayanak oluşturacağından, kayıtlarla çelişmeyecek biçimde hazırlanmalıdır.
Kurul Kararına Karşı Nereye Başvurulur?
Kişisel Verileri Koruma Kurulu'nun idari para cezası veya düzeltici işlem içeren kararları idari işlem niteliğindedir ve bunlara karşı idare mahkemesinde iptal davası açılır. Dava, kararı veren idarenin bulunduğu yer idare mahkemesinde görülür ve idari yargı süreleri işler. Buna karşılık verisi hukuka aykırı işlenen kişinin uğradığı zararın tazmini talebi özel hukuk uyuşmazlığıdır; bu dava asliye hukuk mahkemesinde açılır. İçeriğin internet üzerinden yayılması söz konusuysa 5651 sayılı Kanun kapsamındaki erişim engelleme yolu da ayrıca işletilebilir. Aynı olayın üç ayrı mecrada yürüyebilmesi, savunmaların birbiriyle çelişmemesini gerektirir.
İdari Süreci Sürdürmek mi, Dava Açmak mı?
İdari yargıda tarafların uzlaşarak uyuşmazlığı sona erdirmesi mümkün olmadığından buradaki tercih, Kurul kararının gereğini yerine getirip süreci kapatmak ile iptal davası açmak arasındadır. Karar verirken cezanın tutarı kadar, kararın gerekçesinin benzer işlemler için emsal oluşturup oluşturmayacağı da tartılmalıdır. Kararın gereğinin yerine getirilmesi, dava açma hakkını kendiliğinden ortadan kaldırmasa da uygulamada savunmanın tutarlılığını etkileyebilir.
Yukarıdaki açıklamalar genel bilgi niteliğindedir; veri kategorisi, aktarım yapısı ve alıcı ülkeye göre değerlendirme değişir. Süreye tabi bir Kurul kararıyla karşılaşıldığında, hem teknik hem hukuki yönüyle birlikte inceleme yapılması önerilir.