Kişisel verilerin yurt dışına aktarılması, KVKK uygulamasında hem veri sorumlusu hem ilgili kişi bakımından usul hatasına en açık başlıklardan biridir. Sorunun kaynağı çoğunlukla aktarımın kendisi değil, hangi hukuki sebebe dayanıldığı ve itirazın hangi kapıdan başlatıldığıdır. Aşağıdaki çerçeve 6698 sayılı Kanun ve 5651 sayılı Kanunun ilgili yükümlülükleri ekseninde kurulmuştur.
Açık Rıza Aktarımın Olağan Dayanağı Değildir
Yurt dışı aktarımda kural, uygun güvencelerin sağlanması ya da yeterlilik kararının bulunmasıdır. Açık rıza ise ancak bunların bulunmadığı hallerde ve arızi nitelikteki aktarımlar için gündeme gelir. Süreklilik arz eden bir aktarımı yalnızca kutucuk onayına dayandırmak, hem hukuki sebebi zayıflatır hem de rızanın özgür iradeyle verilmediği eleştirisini davet eder. Hizmetin sunulmasının rıza şartına bağlandığı yapılarda bu eleştiri daha da güçlenir.
Şikâyetten Önce Veri Sorumlusuna Başvuru Zorunluluğu
İlgili kişi, doğrudan Kurula şikâyette bulunamaz. Önce veri sorumlusuna yazılı başvuru yapılması gerekir. Veri sorumlusunun talebi sonuçlandırması için tanınan otuz günlük süre dolduğunda ya da olumsuz yanıt verildiğinde şikâyet yolu açılır. Şikâyet için de cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış günlük süre öngörülmüştür. Bu iki eşik takvime yazılmadığında, esasen haklı bir talep süre yönünden değerlendirme dışı kalabilir.
Kurul Kararına Karşı Yargı Yolu
Kurul kararına karşı gidilecek yer adli yargı değildir. Bu kararlar idari işlem niteliğinde olduğundan, İYUK hükümleri uyarınca idari yargıda iptal davasına konu edilir. Yanlış merciye başvuru bu aşamada en görünür usul hatasıdır ve dava süresi işlemeye devam ettiği için sonuçları ağır olur. İdari para cezalarına karşı öngörülen itiraz yolunun ayrı bir rejime tabi olabileceği de göz önünde tutulmalıdır.
Tazminat Talebi Bağımsız Bir Hattır
Hukuka aykırı işleme nedeniyle uğranılan zararın tazmini, Kurula şikâyetten bağımsız olarak genel hükümlere göre adli yargıda istenir. Kurulun bir ihlal tespiti bulunması tazminat davasında güçlü bir dayanak oluşturur, ancak tazminat için Kurul kararını beklemek zorunlu değildir. İki hattın birbirini beklemesi çoğu zaman gereksiz zaman kaybı doğurur.
Aktarım Dosyasında Bulunması Gerekenler
- Aktarımın hukuki sebebini gösteren belge ve varsa taahhüt metni
- Aydınlatma metninin sunulduğu an ve biçimi
- Rızanın hizmet şartına bağlanmadığını gösteren arayüz kaydı
- Aktarılan veri kategorileri ve alıcı grubunun listesi
- Veri sorumlusuna yapılan başvurunun tebliğ kaydı
Buradaki bilgiler genel niteliktedir. Aktarımın yapıldığı ülke, verinin kategorisi ve işleme amacı sonucu değiştirebileceğinden, somut yapı için ayrı bir hukuki inceleme yapılması gerekir.