Veri sorumluları için en tartışmalı başlıklardan biri, yurt dışı aktarım işlemlerinde açık rızanın gerçekten uygun bir dayanak olup olmadığıdır. KVKK ve 6698 sayılı Kanun çerçevesinde açık rıza, aktarımda kural değil, diğer güvencelerin bulunmadığı hâllere özgü istisnai bir yoldur. Bu ayrımı ve uyum takvimini ele alıyoruz.
Aktarım Dayanakları Arasındaki Hiyerarşi
Yurt dışına aktarımda önce yeterlilik kararının bulunup bulunmadığına bakılır. Böyle bir karar yoksa uygun güvenceler devreye girer; standart sözleşme, bağlayıcı şirket kuralları ve taahhütname bu grupta yer alır. Açık rıza ise ancak bu yolların hiçbirinin kullanılamadığı, arızi nitelikteki aktarımlar için gündeme gelir. Süreklilik arz eden bir veri akışını açık rızaya dayandırmak, uyum denetiminde en sık karşılaşılan eleştiri konusudur.
Geçerli Açık Rızanın Üç Şartı
- Belirli bir konuya ilişkin olması; genel ve kapsamı belirsiz metinler geçersiz sayılır.
- Bilgilendirmeye dayanması; aktarımın yapılacağı ülke ve olası risklerin anlatılması gerekir.
- Özgür iradeyle açıklanması; hizmetin sunulmasını rızaya bağlamak rızayı sakatlar.
Ayrıca açık rızanın her an geri alınabileceği ve geri alma hâlinde aktarımın nasıl durdurulacağının önceden planlanmış olması gerekir.
Belgelendirme Olmadan Uyum Sayılmaz
- Veri envanterinde yurt dışına çıkan her akışın ayrı satırda gösterilmesi.
- Her akış için seçilen hukukî dayanağın ve gerekçesinin yazılı hâle getirilmesi.
- Standart sözleşme kullanılıyorsa bildirim yükümlülüğünün takvime bağlanması.
- Bulut hizmetleri ve alt yükleniciler dâhil olmak üzere aktarım zincirinin uçtan uca çıkarılması.
- Aydınlatma metni ile rıza metninin ayrı belgeler olarak düzenlenmesi.
Şikâyet Geldiğinde İşleyen Süre
İlgili kişinin önce veri sorumlusuna başvurması, ardından cevaba veya cevapsızlığa bağlı olarak Kurula şikâyet yoluna gitmesi gerekir. Veri sorumlusu için kritik olan, başvuruya süresinde ve gerekçeli cevap verilmesidir; cevapsız bırakılan bir başvuru, sonraki aşamada aleyhe değerlendirilir. 5651 sayılı Kanun kapsamındaki içerik ve erişim talepleriyle KVKK başvurularının farklı mercilere yapıldığı da unutulmamalıdır.
Değerlendirme
Uyum çalışması tek seferlik bir belge üretimi değil, süreklilik gerektiren bir yönetim işidir. Buradaki açıklamalar genel niteliktedir; kurumunuzun veri akışları üzerinden ayrı bir hukukî inceleme yapılması gerekir.