Yurt dışına veri aktarımı, KVKK uygulamasında en çok denetim sorusu doğuran başlıklardan biridir. Açık rızanın tek başına bir aktarım dayanağı olarak kullanılması ise çoğu zaman en kırılgan tercihtir. Bu rehber, 6698 sayılı Kanun ve ilgili düzenlemeler ışığında aktarım öncesi kurulması gereken belge ve süre planını ele alır.
Açık rıza neden en zayıf dayanaktır?
Açık rıza; belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Her üç unsurdan biri eksikse rıza geçersiz sayılır. Üstelik rıza her an geri alınabilir; geri alındığı anda aktarımın hukuki dayanağı ortadan kalkar ve yurt dışındaki alıcıdaki verinin akıbeti sorun hâline gelir. Bu nedenle açık rıza, süreklilik gösteren aktarımlarda değil, istisnai ve tek seferlik durumlarda anlamlıdır.
Aktarımdan önce tamamlanması gereken sıra
- Aktarılan veri kategorileri, alıcı ülke ve alıcı türü envantere işlenir.
- Aktarım için hangi hukuki mekanizmaya dayanıldığı yazılı olarak kararlaştırılır.
- Uygun güvence yolu seçildiyse ilgili sözleşme veya kurallar imzalanır ve bildirim yükümlülüğü takvime bağlanır.
- Aydınlatma metni, aktarımın amacını ve alıcı ülkeyi açıkça içerecek biçimde güncellenir.
- Rıza alınacaksa, rıza ekranı diğer sözleşmesel onaylardan ayrıştırılır.
Bildirim ve kayıt sürelerinin gözden kaçan yüzü
Uygulamada en sık görülen usul kusuru, sözleşme imzalandıktan sonra Kurula yapılması gereken bildirimin unutulması ya da geç yapılmasıdır. Bu tür gecikmeler, aktarımın esasen hukuka uygun olduğu dosyalarda dahi idari yaptırım riskini doğurur. Bildirim tarihleri, sözleşme yenileme tarihleri ve saklama süresi sonu aynı takvimde tutulduğunda bu risk büyük ölçüde yönetilebilir.
İlgili kişi tarafında doğru başvuru sırası
Verisinin yurt dışına aktarıldığını öğrenen kişi, doğrudan Kurula şikâyet yoluna gitmeden önce veri sorumlusuna başvurmak zorundadır. Bu ön başvuru yapılmadan iletilen şikâyetler usulden değerlendirme dışı bırakılabilir. Veri sorumlusunun cevap süresi ile şikâyet için tanınan süre birbirini izler; bu zincirin bir halkası atlandığında hak arama yolu kapanmasa bile ciddi zaman kaybı doğar.
Denetimde sorun çıkaran noktalar
- Rızanın hizmet şartına bağlanması, yani reddedildiğinde hizmetin verilmemesi
- Bulut hizmetinin aktarım sayılmadığı varsayımıyla hiç dayanak belirlenmemesi
- Aydınlatma ve rıza metinlerinin tek bir kutucukta birleştirilmesi
- Grup şirketleri arasındaki aktarımların iç işlem sayılıp belgelendirilmemesi
Bu metin genel bilgilendirme amacı taşır. Aktarımın yapısı, alıcı ülkedeki koruma düzeyi ve verinin niteliği sonucu değiştirebileceğinden, kurumsal süreç kurulmadan önce dosyaya özgü hukuki inceleme yapılması önerilir.