Kişisel verilerin yurt dışına aktarılması, KVKK uygulamasında en sık denetime konu olan başlıklardan biridir. 6698 sayılı Kanun kapsamındaki veri sorumluları çoğu zaman bulut hizmeti, uluslararası grup şirketi paylaşımı veya yurt dışı destek ekibi erişimi nedeniyle farkında olmadan aktarım yapmaktadır. Bu rehber, açık rıza dayanağının sınırlarını ve süreç takvimini ele alır.
Açık rıza tek başına yeterli bir dayanak mı?
Mevzuatta yapılan değişiklikle yurt dışı aktarım rejimi kademeli bir yapıya kavuşmuştur: önce yeterlilik kararı, yoksa uygun güvenceler, bunlar da yoksa istisnai hâller. Açık rıza bu sıralamada arızi nitelikte bir çözümdür; süreklilik arz eden aktarımların temeli hâline getirilemez. Her ay tekrarlanan bir veri akışını açık rızaya dayandıran yapı, denetimde sürdürülebilir bulunmaz.
Aydınlatma ile rızanın karıştırılması
Uygulamadaki en yaygın usul hatası, aydınlatma metni ile açık rıza beyanının tek bir kutucukta birleştirilmesidir. Rızanın özgür iradeye dayanması, belirli bir konuya ilişkin olması ve bilgilendirmeye dayanması gerekir. Hizmetin verilmesi rıza şartına bağlandığında irade serbestliği tartışmalı hâle gelir. Bu nedenle metinler ayrılmalı, rıza kaydının zamanı ve içeriği loglanmalıdır.
Başvuru ve şikâyet zinciri
- İlgili kişi önce veri sorumlusuna yazılı olarak başvurur; bu adım atlanamaz.
- Veri sorumlusunun cevabı veya cevapsız kalması üzerine Kurula şikâyet yolu açılır.
- Şikâyette, başvuru tarihi ve cevap tarihi belgeyle ortaya konur.
- Zararı doğmuş ilgili kişi bakımından tazminat talebi ayrı bir yargı yolunda değerlendirilir.
Denetime hazır dosya için kontrol listesi
- Aktarımın hangi hukuki sebebe dayandığını gösteren yazılı analiz
- Alıcı ülke ve alıcı grup bazında aktarım envanteri
- Uygun güvence belgelerinin imzalı ve güncel örnekleri
- Rıza alma akışının ekran kayıtları ve zaman damgaları
- Veri saklama ve imha politikasıyla aktarımın uyumu
Son söz
Yurt dışı aktarımda risk, çoğu zaman kötü niyetten değil belgelenmemiş bir süreçten doğar; denetim anında yazılı dayanağı olmayan uygulama savunulamaz. Envanterin güncelliği ve rıza kayıtlarının izlenebilirliği bu nedenle önceliklidir. Bu metin genel bilgilendirme sunar; kurumunuzun veri akışına özgü değerlendirme için hukuki destek alınması önerilir.