Kişisel verilerin yurt dışına aktarılmasında açık rıza, hukuka uygunluk sebeplerinden yalnızca biridir ve istisnai bir zemin oluşturur. Uyuşmazlık çıktığında ilgili kişinin ya da veri sorumlusunun karşısına çıkan asıl soru, itirazın hangi sırayla ve hangi mercie yöneltileceğidir.
Aktarım Zemininin Doğru Kurulması
6698 sayılı KVKK'da yurt dışına aktarım için kademeli bir yapı benimsenmiştir: yeterlilik kararı bulunan ülkelere aktarım, uygun güvencelere dayalı aktarım ve bunların bulunmadığı hâllerde arızi nitelikteki istisnalar. Açık rıza bu son grupta yer alır; süreklilik arz eden aktarımların kalıcı biçimde açık rızaya dayandırılması eleştiriye açıktır. Ayrıca açık rızanın özgür iradeyle, belirli bir konuya ilişkin ve bilgilendirmeye dayalı olması zorunludur; hizmetin ön şartı hâline getirilen rıza geçersiz sayılabilir.
İlgili Kişinin Başvuru Sırası
- Önce veri sorumlusuna yazılı başvuru yapılır; bu adım zorunludur.
- Başvurunun reddi, yetersiz yanıt verilmesi veya süresinde yanıt verilmemesi hâlinde Kişisel Verileri Koruma Kurulu'na şikâyet yoluna gidilir.
- Kurul kararına karşı idari yargıda iptal davası açılabilir.
Doğrudan Kurul'a yapılan şikâyet, ön başvuru koşulu sağlanmadığı için usul yönünden değerlendirilmeyebilir. Bu, en sık karşılaşılan merci hatasıdır.
Kurul Kararlarının Yargısal Denetimi
Kurul bir idari otoritedir; kararları idari işlem niteliği taşır ve idari yargının denetimine tabidir. İdari para cezalarının denetimi bakımından ise kanunda öngörülen özel yol izlenir. Veri sorumlusu açısından yaptırım kararı ile ihlal tespiti kararı farklı sonuçlar doğurduğundan, dava dilekçesinde hangi işlemin iptalinin istendiği açıkça belirtilmelidir.
Tazminat ve Ceza Boyutu Ayrıdır
- Verinin hukuka aykırı işlenmesinden doğan zararlar için genel hükümlere göre tazminat davası
- Verilerin hukuka aykırı ele geçirilmesi veya yayılması hâlinde TCK kapsamında suç duyurusu
- İnternet ortamındaki içeriğin kaldırılması için 5651 çerçevesindeki yol
Kurul'a şikâyet, tazminat hakkını ortadan kaldırmaz; bu yollar birbirine alternatif değil, birbirini tamamlayıcıdır.
Veri Sorumlusu İçin Belge Düzeni
Aktarım öncesinde rıza metinlerinin sürüm geçmişi, aydınlatma metinleri, aktarım yapılan ülke ve alıcı grubu bilgisi ile teknik ve idari tedbir kayıtları tarih sırasıyla saklanmalıdır. Denetimde bu kayıtların bütünlüğü, sonradan üretilen açıklamalardan daha etkilidir.
Buradaki bilgiler genel çerçeve niteliğindedir. Aktarımın yapısı, veri kategorisi ve alıcı ülkeye göre değerlendirme değişebileceğinden, süreç öncesinde uzman görüşü alınması yerinde olur.