Kişisel verilerin yurt dışına aktarılmasında açık rıza, çoğu kurumda ilk akla gelen çözüm olmakla birlikte genellikle en kırılgan olanıdır. 6698 sayılı KVKK ve 5651 sayılı Kanun kapsamındaki yükümlülükler birlikte değerlendirildiğinde, rızaya dayanmadan önce cevaplanması gereken bir soru vardır: bu aktarım gerçekten rızaya mı dayanmalıdır, yoksa başka bir hukuki sebep mi mevcuttur?
Rızadan Önce Hukuki Sebebi Belirlemek
Bir işleme faaliyeti sözleşmenin ifası, hukuki yükümlülük ya da meşru menfaat gibi bir sebebe dayanabiliyorsa, ayrıca açık rıza alınması hem gereksizdir hem de yanıltıcıdır. Rızaya dayandırılan bir aktarımda ilgili kişi rızasını her zaman geri alabileceğinden, faaliyetin sürekliliği baştan belirsiz hâle gelir. Bu nedenle envanter çalışması, rıza metni yazılmadan önce tamamlanmalıdır.
Rızanın Geçerlilik Ölçütleri
Rızanın geçerli sayılabilmesi için taşıması gereken nitelikler şunlardır:
- Belirli bir konuya ilişkin olması; genel ve kapsayıcı ifadelerle alınmaması
- Bilgilendirmeye dayanması; aktarımın amacı, alıcı kategorileri ve ülkesinin açıklanması
- Özgür iradeyle verilmesi; hizmetin ön koşulu hâline getirilmemesi
- Diğer metinlerden ayrı ve ayrıca onaylanabilir biçimde sunulması
Aydınlatma metniyle rıza metninin tek bir kutuda birleştirilmesi, uygulamada en sık rastlanan geçersizlik sebeplerinden biridir.
Aktarım Öncesi Dokümantasyon Takvimi
Aktarım başlamadan önce tamamlanması gereken bir hazırlık zinciri vardır: veri envanterinin güncellenmesi, alıcı taraf ile yapılacak sözleşmenin hazırlanması, aktarılacak veri kategorilerinin asgariye indirilmesi ve saklama sürelerinin belirlenmesi. Bu adımlar aktarım başladıktan sonra tamamlanmaya çalışıldığında, geçmişe dönük olarak düzeltilemeyen bir uyum açığı doğar.
Başvuru ve Şikâyetin Sırası
İlgili kişi bakımından yol, kural olarak önce veri sorumlusuna başvurmak, sonuç alınamazsa Kurula şikâyette bulunmaktır. Bu sıralamanın atlanması, şikâyetin esasa girilmeden değerlendirilmemesine yol açabilir. Veri sorumlusu tarafında ise başvuruya verilecek cevabın süresi ve içeriği, sonraki idari sürecin seyrini doğrudan etkiler; geçiştirilen bir cevap, dosyanın en zayıf halkası hâline gelir.
İdari Süreçte Çözmek mi, Yargı Yoluna Gitmek mi?
Uyuşmazlık teknik bir eksiklikten kaynaklanıyorsa ve düzeltme mümkünse, veri sorumlusuyla yazışma aşamasında çözüme ulaşmak her iki taraf için de en hızlı yoldur. Buna karşılık aktarım sürüyor, veri geri alınamaz biçimde üçüncü ülkeye geçmişse ve zarar doğmuşsa, idari başvuruyla yetinmek zamanla birlikte ispat imkânını da azaltır. Verilen idari yaptırım kararlarına karşı yargı yolu ise ayrı bir süreye tabidir ve bu süre kararın tebliğinden itibaren ayrıca takip edilmelidir.
Kapanış
Bu içerik genel bilgilendirme amacı taşır. Aktarımın konusu, alıcı ülke ve veri kategorileri yükümlülükleri değiştirdiğinden, uyum çalışmasının kendi faaliyetiniz üzerinden yapılandırılması gerekir.