Açık rıza alınmış olması, kişisel verinin yurt dışına aktarılabileceği anlamına gelmez; rızanın geçerliliği ile aktarımın hukuki dayanağı birbirinden ayrı iki denetim konusudur. Aşağıdaki kontrol listesi, 6698 sayılı KVKK çerçevesinde açık rızaya dayandırılan yurt dışı aktarımlarında en sık rastlanan kusurları önceden ayıklamak ve tarafların talebi yanlış mercie taşıyarak süre kaybetmesini önlemek için hazırlanmıştır.
Açık Rızanın Geçerlilik Testi
Bir rıza metni değerlendirilirken üç ölçüt birlikte aranır: bilgilendirmeye dayanma, belirli bir konuya ilişkin olma ve özgür iradeyle açıklanma. Uygulamada en çok şu noktalar zayıf kalır:
- Rızanın hizmetin ön koşuluna bağlanması, yani rıza vermeyen kullanıcının hizmet dışında bırakılması
- Aydınlatma metni ile rıza metninin tek bir onay kutusunda birleştirilmesi
- Aktarımın yapılacağı ülke, alıcı grubu ve aktarım amacının metinde hiç yer almaması
- Rızanın geri alınma yönteminin gösterilmemesi ve geri alma talebinin kayda geçirilmemesi
Aktarımın Belgelenmesi
Açık rıza aktarım için tek başına dayanak yapılacaksa, bunun olaya özgü ve süreklilik taşımayan niteliği kayıt altına alınmalıdır. Düzenli tekrarlanan aktarımlarda ise mevzuatın öngördüğü diğer aktarım araçlarının değerlendirilip değerlendirilmediği dosyada görünür olmalıdır. Sunucu konumu, alt yüklenici zinciri ve barındırma sağlayıcısının bulunduğu ülke bilgisi; sözleşme, veri envanteri ve teknik kayıtlarda birbiriyle tutarlı olmalıdır. Bu üç kaynak arasındaki çelişki, incelemede ilk fark edilen unsurdur.
Doğru Başvuru Hattını Kurmak
- İlgili kişinin talebi önce veri sorumlusuna, kimliği doğrulanabilir biçimde ve yazılı olarak iletilir.
- Yanıtın içeriği ve tarihi kayda geçirilir; yanıtsız kalması da bir sonuçtur ve tarihlendirilmelidir.
- Yanıt yetersizse Kişisel Verileri Koruma Kurulu'na şikâyet yolu değerlendirilir.
- Maddi veya manevi zarar iddiası varsa bu talep genel hükümlere göre ayrıca ileri sürülür.
- Aktarılan içerik aynı zamanda erişimin engellenmesini gerektiriyorsa 5651 sayılı Kanun kapsamındaki ayrı usul ihmal edilmez.
Merci Seçiminde Kırılma Noktaları
- Veri sorumlusuna hiç başvurmadan doğrudan şikâyet yoluna gitmek
- Tazminat talebini idari şikâyet dilekçesinin içine yazmak ve hukuk yolunu hiç işletmemek
- Suç oluşturabilecek fiilleri yalnızca idari hatta taşıyıp ceza şikâyeti süresini akıtmak
- Şirket içi uyum yazışmasını resmî başvuru sanarak süre başlangıcını yanlış hesaplamak
Bu başlıklar genel bilgilendirme amacıyla derlenmiştir; her veri işleme faaliyetinin teknik mimarisi ve sözleşmesel yapısı farklı sonuç doğurabilir. Somut aktarım modelinizi değerlendirmeden önce kendi kayıtlarınız üzerinden hukuki görüş alınması yerinde olur.