Veri sorumlusunun en sık düştüğü hata, her işleme faaliyetini açık rıza ile meşrulaştırmaya çalışmaktır. Oysa KVKK, 6698 sayılı kanunun sistematiği içinde açık rızayı istisnai bir hukuki sebep olarak konumlandırır ve yurt dışına aktarım için ayrı bir rejim öngörür. Bu rehber, hem veri sorumlusu hem ilgili kişi açısından başvuru ve savunma takvimini ele alıyor.
Açık Rızanın Geçerlilik Şartları
Bir metnin başlığında açık rıza yazması, o rızayı geçerli kılmaz. Rızanın belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması gerekir. Uygulamada geçersizlik doğuran tipik durumlar şunlardır:
- Hizmetin verilmesinin rıza şartına bağlanması
- Aydınlatma metniyle rıza beyanının tek bir kutuda birleştirilmesi
- Rızanın kapsamının her türlü işleme gibi belirsiz ifadelerle çizilmesi
- Geri alma yolunun fiilen işletilmemesi
- Rızanın alındığı ana ilişkin kaydın saklanmaması
Yurt Dışına Aktarımda Hukuki Zemin
Bulut hizmetleri, çağrı merkezi altyapıları ve grup şirketi paylaşımları çoğu zaman farkında olmadan bir yurt dışı aktarımı yaratır. Bu nedenle envanter çalışmasında verinin fiziken hangi ülkedeki sunucuda tutulduğu belirlenmelidir. Aktarımın hangi hukuki zemine dayandığı, taahhüt veya sözleşmesel güvence bulunup bulunmadığı ve bu belgelerin güncelliği düzenli olarak denetlenmelidir.
Başvuru ve Şikayet Takvimi
İlgili kişi önce veri sorumlusuna başvurmak zorundadır; doğrudan Kurula yapılan şikayet bu ön koşul nedeniyle geri çevrilir. Veri sorumlusunun cevap vermesi için tanınan süre içinde yanıt gelmemesi ya da yanıtın yetersiz olması hâlinde Kurula şikayet yolu açılır. Bu zincirde başvurunun yapıldığı tarih, tebliğ edildiği tarih ve cevabın ulaştığı tarih ayrı ayrı belgelenmelidir.
Tebligat Gecikmesinin Yarattığı İki Yönlü Risk
Gecikme her iki tarafı da vurur. İlgili kişi açısından, veri sorumlusunun cevabının geç ulaşması Kurula şikayet süresinin ne zaman başladığını tartışmalı hale getirir. Veri sorumlusu açısından ise başvurunun kurumsal e-postaya düşüp ilgili birime iletilmemesi, cevap süresinin sessizce tükenmesine ve idari yaptırım riskine yol açar. Bu nedenle başvuruların tek bir kayıt defterinde toplanması, gelen her talebe otomatik alındı numarası verilmesi ve sürelerin sistem üzerinden takip edilmesi somut bir koruma sağlar.
Veri Sorumlusu İçin Denetime Hazırlık
- İşleme envanterinin aktarım kolonuyla birlikte güncellenmesi
- Rıza kayıtlarının zaman damgalı biçimde saklanması
- Aydınlatma metni ile fiili uygulama arasındaki farkın kapatılması
- İhlal bildirimi prosedürünün yazılı hale getirilmesi
- Yurt dışı hizmet sağlayıcılarla sözleşmelerin gözden geçirilmesi
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Veri kategorileri, sektör ve aktarım yapısı değiştikçe uyum yükümlülükleri de farklılaşır; kurumsal süreçler için ayrıca hukuki değerlendirme alınması yerinde olur.