Kişisel verinin yurt dışına aktarılmasında açık rıza, sanıldığından daha kırılgan bir hukuki dayanaktır. Bu yazı, KVKK kapsamında yurt dışı aktarım süreçlerinin usul planını ve rızanın geçerliliğine dair delil eksikliği riskini ele alır.
Açık Rızanın Geçerlilik Şartları
6698 sayılı KVKK'da açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan onay olarak tanımlanır. Bir hizmetin alınmasını rıza vermeye bağlamak, rızayı özgür olmaktan çıkarabilir. Bu nedenle yurt dışı aktarımda rızaya dayanılıyorsa, ilgilinin aktarımın niteliği, alıcı ülke ve olası riskler konusunda ayrıca aydınlatıldığının belgelenmesi gerekir.
Rızanın Tek Başına Yeterli Olmadığı Haller
Yurt dışı aktarımda açık rıza, mevzuattaki diğer güvence mekanizmaları yerine geçmez. Aktarımın hukuki zeminini yalnızca rızaya bina etmek, ilgilinin rızasını geri çekmesi durumunda tüm aktarım sürecini dayanaksız bırakabilir. Bu nedenle veri sorumlusunun, rıza dışındaki aktarım şartlarının da mevcut olup olmadığını önceden değerlendirmesi yerinde olur.
İspat Yükü ve Kayıt Düzeni
Bir uyuşmazlıkta açık rızanın alındığını ispat yükü veri sorumlusundadır. Rızanın hangi tarihte, hangi metinle ve nasıl alındığı kayıt altında değilse, aktarımın hukuka uygunluğu tartışmalı hale gelir. Aydınlatma metni ile rıza beyanının ayrı ayrı saklanması, bu ispat sorununu büyük ölçüde giderir.
Usul Planı
- Aktarılacak veri kategorileri ve aktarım amacı tanımlanır.
- Rıza dışındaki aktarım dayanaklarının mevcut olup olmadığı incelenir.
- Aydınlatma ve rıza metinleri ayrık biçimde hazırlanıp kayıtlanır.
- Rızanın geri çekilmesi ihtimaline karşı alternatif bir aktarım gerekçesi planlanır.
Kapanış
Yurt dışı aktarımda esas kırılganlık, rızanın alınması değil, geçerliliğinin sonradan ispat edilememesidir. Her veri işleme faaliyetinin amacı ve alıcı yapısı farklı olduğundan, bu çerçeve genel bilgilendirme niteliğindedir. Kurumsal bir aktarım süreci kuruyorsanız, süreci belgeleme mimarisini bireysel olarak değerlendirmeniz uygun olur.