Kişisel verilerin sınır ötesine taşınması, KVKK uygulamasında hem uyum hem uyuşmazlık boyutuyla öne çıkan başlıktır. Açık rıza, uygulamada çoğu zaman tek meşrulaştırma yolu sanılır; oysa 6698 sayılı Kanun yurt dışı aktarım için kademeli bir sistem öngörür. Uyuşmazlık çıktığında ise başvurunun hangi sırayla ve hangi mercie yapılacağı ayrı bir teknik sorundur.
Aktarımın Meşruiyeti: Rıza Tek Yol Değildir
Yurt dışına aktarımda ilk aranan ölçüt, aktarımın yapılacağı ülke, sektör ya da uluslararası kuruluş bakımından yeterlilik kararı bulunup bulunmadığıdır. Yeterlilik kararı yoksa taraflar uygun güvencelere başvurur; standart sözleşme, bağlayıcı şirket kuralları ve taahhütname bu güvenceler arasındadır ve bir kısmı Kurula bildirim ya da izin gerektirir. Bunların da bulunmadığı hâllerde ancak arızi nitelikteki sınırlı durumlarda aktarım mümkündür. Açık rızayı rutin ve süreklilik gösteren aktarımların dayanağı hâline getirmek, uyum riskini büyütür. Ayrıca açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayalı ve özgür iradeyle verilmiş olmalıdır. Hizmetin verilmesini rıza şartına bağlamak, rızayı geçersiz kılabilecek bir uygulamadır.
Veri Sorumlusuna Başvuru Zorunlu Ön Aşamadır
İlgili kişi, hakkının ihlal edildiğini düşündüğünde doğrudan şikâyet yoluna gidemez. Önce veri sorumlusuna yazılı başvuru yapılması, başvurunun reddedilmesi, yetersiz cevap verilmesi ya da kanunda öngörülen süre içinde cevap verilmemesi hâlinde Kurula şikâyette bulunulması gerekir. Ön başvuru yapılmadan iletilen şikâyet, bu eksiklik nedeniyle işleme alınmayabilir. Başvurunun tarihini ve içeriğini belgeleyebilmek için veri sorumlusunun bildirdiği kanalın kullanılması ve teslim kaydının saklanması önemlidir.
Kurul Kararı Sonrası Yargı Yolu
Kurulun verdiği kararlara ve uyguladığı idari yaptırımlara karşı başvurulacak yargı yolu, mevzuat değişiklikleriyle güncellenmiş bir konudur. Bu nedenle karar tebliğ edildiğinde, kararın kendi metnindeki başvuru yolu ve süre bilgisi mutlaka okunmalı, güncel kanun metni ile birlikte doğrulanmalıdır. Yanlış yargı koluna açılan dava görev yönünden reddedilir ve bu sırada dava açma süresi işlemeye devam edebilir. Kişisel verilerin hukuka aykırı işlenmesinden doğan tazminat talebi ise genel hükümlere tabidir ve adli yargıda ileri sürülür; bu talep Kurul şikâyetinden bağımsızdır.
İspat Yükü ve Belge Düzeni
Uyuşmazlıkta aktarımın hukuka uygun olduğunu göstermek veri sorumlusuna düşer. Bu nedenle aydınlatma metinleri, rıza kayıtları ve rızanın alındığı ana ilişkin sistem logları, veri envanteri, aktarım yapılan alıcıların listesi, imzalı standart sözleşme örnekleri ve saklama süresi politikası düzenli biçimde tutulmalıdır. İlgili kişi tarafında ise başvuru yazışmaları, verinin nerede göründüğüne dair kayıtlar ve zarar doğduğunu gösteren belgeler dosyanın omurgasını oluşturur.
Veri koruma mevzuatı sık güncellenen bir alandır ve rehber niteliğindeki bu açıklamalar genel bilgi sunar. Aktarım yapısı kurgulanmadan ya da şikâyet dosyası hazırlanmadan önce güncel düzenlemeye göre bireysel değerlendirme alınması yerinde olur.