Kişisel verilerin yurt dışına aktarılmasında en sık başvurulan gerekçe açık rızadır; oysa açık rıza, aktarım için tasarlanmış birincil hukuki zemin değildir. 6698 sayılı KVKK kapsamında yürütülen denetimlerde şirketlerin karşılaştığı sorun, çoğunlukla rızanın hiç alınmamış olması değil, geçerli biçimde alınmamış olmasıdır. Bu rehber, aktarım öncesinde yapılması gereken kontrolleri ve şikâyet aşamasında merci karışıklığını ele alır.
Açık Rıza Neden Son Sıraya Yazılmalı
Açık rıza, belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Bir hizmetin sunulması rıza vermeye bağlanmışsa özgür irade unsuru tartışmalı hâle gelir. Ayrıca rıza her zaman geri alınabilir; bu durumda aktarımın hukuki dayanağı bir anda ortadan kalkar ve yurt dışındaki alıcı nezdindeki veriler için silme yükümlülüğü doğar. Sürekli ve sistemli aktarımlarda bu belirsizlik, uyum açısından yönetilmesi güç bir risk yaratır.
Aktarım Zemini Haritası
- Aktarım yapılacak ülke veya sektör için verilmiş bir yeterlilik kararı bulunuyor mu?
- Yeterlilik kararı yoksa uygun güvencelerden hangisi kullanılacak: standart sözleşme, bağlayıcı şirket kuralları, taahhütname ya da kurumlar arası anlaşma?
- Kullanılan güvence bakımından Kurula bildirim veya izin yükümlülüğü var mı?
- Aktarım süreklilik taşıyor mu, yoksa yalnızca arızi nitelikte tek seferlik bir işlem mi?
- Aktarılan veri özel nitelikli kişisel veri içeriyor mu?
Bu sıralama önemlidir: uygun güvence sağlanabiliyorken açık rızaya dayanmak, denetimde zayıf bir tercih olarak değerlendirilebilir.
Rıza ve Aydınlatma Metni Denetimi
- Aydınlatma yükümlülüğü, rıza alınmasından önce ve ayrı bir metinle yerine getirildi mi?
- Rıza metninde aktarımın yapılacağı ülke ve alıcı kategorisi somut biçimde belirtildi mi?
- Rıza, diğer sözleşme hükümleriyle aynı kutuya sıkıştırılmış genel bir onay mı, yoksa bağımsız bir seçim mi?
- Rızanın alındığı tarih, kanal ve içerik ispatlanabilir biçimde kayıt altına alınıyor mu?
- Rızanın geri alınması hâlinde işletilecek silme ve bildirim akışı yazılı hâle getirildi mi?
Şikâyet ve İtiraz Aşamasında Merci Karışıklığı
İlgili kişi bakımından kural, önce veri sorumlusuna başvurulmasıdır; bu adım atlanarak doğrudan Kurula yapılan şikâyet, başvuru yolu tüketilmediği gerekçesiyle sonuçsuz kalabilir. Veri sorumlusunun yanıt vermemesi veya yanıtın yetersiz bulunması hâlinde Kurula şikâyet yolu açılır. Kurul kararlarına ve idari para cezalarına karşı gidilecek yargı yolu ise ayrı bir konudur ve bu konuda mevzuatta değişiklik yapılmış olduğundan, dilekçe hazırlanmadan önce yürürlükteki düzenlemenin teyit edilmesi gerekir. Ayrıca zarar doğmuşsa tazminat talebi, Kurul sürecinden bağımsız olarak genel mahkemelerde ileri sürülür.
Bu içerik genel bilgilendirme amaçlıdır. Veri koruma uyumunda şirketin işleme envanteri ve sözleşme yapısı sonucu doğrudan etkilediğinden, aktarım modeli kurgulanırken hukuki değerlendirme alınması yerinde olur.