Kişisel verilerin sınır ötesine aktarılması, KVKK'nın (6698 sayılı Kanun) en dikkat gerektiren alanlarından biridir. Açık rıza tek dayanak sanılsa da mevzuat birden çok meşru zemin öngörür. Bu rehber, aktarımın hangi sırayla değerlendirileceğini ve ilgili kişinin başvuru sürelerini usul ekseninde açıklar.
Önce Zemin Sorusu: Rıza mı, Başka Bir Dayanak mı
Usul planının ilk adımı aktarımın hangi hukuki zemine dayanacağını belirlemektir. Açık rıza; belirli konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle verilen onaydır. Bir hizmetin ön koşulu hâline getirilmiş genel geçer onay geçerli sayılmaz. Rıza her zaman tek yol değildir.
Rıza Dışındaki Zeminler
- Aktarımın yapılacağı ülkede yeterli korumanın bulunması
- Tarafların yeterli korumayı yazılı taahhüt etmesi ve gerekli iznin alınması
- Sözleşmenin ifası veya hukuki yükümlülük gibi istisnai hâllerin varlığı
Aydınlatma ile Sıralama İlişkisi
Açık rıza ile aydınlatma yükümlülüğü karıştırılmamalıdır. İlgili kişi, verisinin nereye ve neden aktarıldığı konusunda önceden bilgilendirilmelidir. Aydınlatması eksik bir rıza sonradan geçersiz sayılma riski taşır; bu iki metnin ayrı, açık ve anlaşılır tutulması usul açısından güvenlidir.
İlgili Kişinin Başvuru Süreleri
Verisinin hukuka aykırı aktarıldığını düşünen kişi, önce veri sorumlusuna başvurmalıdır; yanıt alınamaz veya yetersiz kalırsa öngörülen süre içinde Kurula şikâyet edebilir. Bu sıra atlanır ya da süre kaçırılırsa şikâyet usulden reddedilebilir. Veri sorumlusunun cevap süresi ile şikâyet süresini bir takvimde izlemek gerekir.
Veri Sorumlusu İçin Kayıt Disiplini
Kurumlar; hangi verinin hangi ülkeye, hangi zeminle aktarıldığını gösteren güncel bir envanter tutmalıdır. Bu kayıt, denetim anında meşruiyeti ispatlamanın temel aracıdır.
Yurt dışı aktarım kuralları teknik ve değişkendir; kullanılan bulut hizmetleri ve iş ortaklarına göre farklılaşır. Veri akışınızı düzenlemeden önce güncel mevzuat çerçevesinde bir değerlendirme almanız faydalı olur.