Kişisel verilerin yurt dışına aktarılması, tek bir hukuki soruyu değil birbirine bağlı üç soruyu doğurur: aktarımın hukuki dayanağı nedir, ihlal iddiası hangi mercie taşınacaktır ve maddi bir talep varsa hangi yargı kolu görevlidir. Bu üç halkanın karıştırılması, başvurunun süre yönünden ya da görev yönünden sonuçsuz kalmasına yol açar.
Açık Rıza Aktarımın Tek Dayanağı Değildir
6698 sayılı KVKK çerçevesinde yurt dışına aktarım, önce yeterlilik kararının bulunup bulunmadığına bakılarak değerlendirilir. Yeterlilik kararı yoksa, uygun güvencelerin sağlandığı belirli araçlar devreye girer; bunların bulunmadığı hallerde ise istisnai koşullar gündeme gelir. Açık rıza bu yapının en kırılgan halkasıdır: özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olmadıkça geçerli sayılmaz. Hizmetin kullanımını rızaya bağlayan kurgular, rızanın özgür iradeyle verilmediği eleştirisiyle karşılaşabilir. Bu nedenle uyuşmazlıkta ilk sorulacak soru rızanın alınıp alınmadığı değil, alınan rızanın geçerli olup olmadığıdır.
Başvuru Sırası Atlanamaz
- İlgili kişi önce veri sorumlusuna yazılı olarak başvurur; talebin kapsamı ve dayanağı açıkça yazılır.
- Veri sorumlusunun cevabı beklenir; cevap verilmemesi de bir sonuç doğurur.
- Cevap yetersizse Kişisel Verileri Koruma Kuruluna şikâyet yoluna gidilir. Kurula doğrudan yapılan şikâyet, ön başvuru şartı nedeniyle işleme alınmayabilir.
- Kurul kararına karşı idari yargı yolu açıktır; bu aşamada İYUK çerçevesindeki dava süreleri işler.
Bu sıralamadaki en yaygın hata, veri sorumlusuna hiç başvurmadan doğrudan şikâyete geçilmesi ve bu sırada dava sürelerinin gözden kaçırılmasıdır.
Hangi Yargı Kolu Görevli
Ayrım şu şekilde kurulur: Kurulun idari yaptırım veya talebin reddine ilişkin kararı bir idari işlemdir ve buna karşı idare mahkemesinde iptal davası açılır. Buna karşılık ilgili kişinin uğradığı zararın tazmini istemi, genel hükümlere göre adli yargıda ileri sürülür. Aynı olayda hem idari yaptırıma itiraz hem kişisel zararın tazmini gündeme geliyorsa, iki dosya paralel yürür ve birbirinin sonucunu doğrudan bağlamaz. Verinin internet ortamında yayılması boyutu varsa, 5651 kapsamındaki içerik kaldırma yolu ayrıca değerlendirilir.
Uzlaşma Seçeneği ve Sınırları
Veri sorumlusu, aktarımı durdurma, verileri silme veya sözleşmesel güvenceyi yenileme önerisiyle gelebilir. Bu öneri ilgili kişinin bireysel zararını gidermeye elverişliyse değerlendirilmelidir; ancak idari yaptırım boyutu tarafların anlaşmasıyla ortadan kalkmaz. Kurumsal tarafta ise aktarım envanteri, saklama süreleri ve alt işleyici zinciri belgelenmediği sürece, verilen taahhüt denetimde karşılığı olmayan bir beyan olarak kalır.
Genel Değerlendirme
Bu metin yol gösterici bir çerçevedir; aktarımın türü, verinin niteliği ve başvuru tarihleri sonucu değiştirir. Somut olayda hangi yolun öncelikli olduğunu belirlemek için hukuki destek alınması yerinde olacaktır.