Kişisel verilerin yurt dışındaki bir sunucuya, grup şirketine veya bulut hizmet sağlayıcısına aktarılmasında en çok başvurulan gerekçe açık rızadır. Oysa 6698 sayılı Kanun'un kurgusunda açık rıza, düzenli aktarımların kalıcı dayanağı olarak tasarlanmamıştır. Rızaya yaslanan bir aktarım modeli hem geçersizlik hem de yaptırım riski taşır; üstelik ihlal ortaya çıktığında başvuru ve şikâyet süreleri hızla işlemeye başlar.
Açık Rıza Hangi Hâllerde Geçersiz Kalır
Açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Uygulamada bu üç unsurdan biri çoğunlukla eksiktir. Hizmetin verilmesi rıza şartına bağlanmışsa irade özgür sayılmaz. Aydınlatma metni aktarımın yapılacağı ülkeyi, alıcı kategorisini ve amacı göstermiyorsa bilgilendirme eksiktir. "Tüm işlemler için" biçiminde alınan genel nitelikli rıza ise belirlilik ölçütünü karşılamaz. Rızanın her zaman geri alınabilir olması, sürekliliği rızaya bağlanan aktarımı operasyonel olarak da kırılgan kılar.
Dayanak Sıralaması: Rıza En Sonda
Doğru sıralama, aktarımın hukuki sebebinin önce işleme şartları arasında aranması, ardından aktarım mekanizmasının belirlenmesidir. Kanun yurt dışına aktarımda yeterlilik kararı ve uygun güvence yöntemlerini esas alır; rızaya dayalı aktarım arızi ve istisnai hâller için düşünülmüştür. Tekrarlayan, sistemli aktarımların rıza ile yürütülmesi denetimlerde ilk sorgulanan noktadır. Bu nedenle sözleşmesel zorunluluk, hukuki yükümlülük veya meşru menfaat gibi şartların uygulanabilirliği önce test edilmelidir.
Aktarım Öncesi Kontrol Listesi
- Aktarılan veri kategorileri, özel nitelikli veri içerip içermediği ayrı ayrı işaretlenmeli
- Alıcının veri sorumlusu mu işleyen mi olduğu sözleşmeyle netleştirilmeli
- Rıza metni ile aydınlatma metni ayrı belgelerde tutulmalı, birlikte onaylatılmamalı
- Rızanın alındığı an, kanal ve metin sürümü ispat edilebilir biçimde kayıt altına alınmalı
- Rıza geri alındığında aktarımı durduracak teknik akış önceden tanımlanmalı
- Alt yüklenici zinciri (bulut, analitik, destek hattı) uçtan uca haritalanmalı
Süre Kaybını Önleyen Takvim
İlgili kişi talebi geldiğinde veri sorumlusunun cevap için sınırlı bir süresi vardır; bu süre kaçırıldığında ya da yetersiz cevap verildiğinde şikâyet yolu açılır. Kurul kararlarına ve idari para cezalarına karşı başvuru yolları da ayrı ve kısa sürelere bağlıdır. Bu nedenle talep, cevap, şikâyet ve yargı yolu tarihleri tek bir takvimde izlenmeli; son gün yerine ara kontrol tarihleri belirlenmelidir. Tebligatın kuruma ulaştığı tarihin kayda geçirilmemesi, pratikte en sık görülen hak kaybı sebebidir.
Yukarıdaki değerlendirmeler genel çerçeveyi anlatır; aktarımın yapısı, alıcı ülke ve veri kategorisi sonucu değiştirebilir. Somut bir aktarım modeli kurmadan önce dosyanın kendi şartlarıyla hukuki inceleme yaptırılması yerinde olur.