Yurt dışına veri aktarımında en sık başvurulan çözüm açık rıza almaktır; oysa 6698 sayılı KVKK sisteminde açık rıza istisnai ve en kırılgan dayanaktır. Bu rehber, aktarım meşruiyetinin doğru sırayla kurulmasını ve ilgili kişinin başvuru–şikâyet takvimini kaçırma riskini birlikte ele alır.
Açık Rıza Neden Son Sırada Değerlendirilmelidir
Açık rıza belirli bir konuya ilişkin, bilgilendirmeye dayanan ve özgür iradeyle açıklanan bir irade beyanıdır. Hizmetin verilmesi rızaya bağlanmışsa özgür irade tartışmalı hâle gelir; ayrıca rıza her zaman geri alınabilir ve geri alındığı anda aktarımın hukuki dayanağı ortadan kalkar. Bir hizmet sözleşmesinin ifası, hukuki yükümlülük veya meşru menfaat gibi bir işleme şartı zaten varsa, aynı faaliyet için ayrıca rıza istemek hem gereksiz hem de riskli bir kurgudur.
Aktarım Zincirinin Sırayla Kurulması
- Aktarımın konusu olan veri kategorileri ve alıcı grupları listelenir.
- Yurt içindeki işleme şartlarından hangisine dayanıldığı belirlenir.
- Aktarılacak ülke bakımından yeterlilik kararı bulunup bulunmadığına bakılır.
- Yeterlilik kararı yoksa uygun güvence yollarından biri (taahhütname, standart sözleşme, bağlayıcı şirket kuralları gibi) seçilir.
- Hiçbiri uygulanamıyorsa ancak sınırlı arızi hâller değerlendirilir.
Standart Sözleşme ve Bildirim Yükümlülüğü
Standart sözleşme yoluna başvurulduğunda metnin imzalanmasıyla iş bitmez; imzalanan sözleşmenin Kurula bildirilmesi kanunda öngörülen kısa süre içinde yapılmalıdır. Bildirimin atlanması, aktarımın kendisi hukuka uygun kurgulanmış olsa bile ayrı bir aykırılık doğurur. Grup şirketleri arasındaki aktarımlarda ise bağlayıcı şirket kurallarının onay süreci uzun sürdüğünden, geçiş dönemi için hangi güvenceye dayanılacağı yazılı olarak kararlaştırılmalıdır.
İlgili Kişi Tarafında Süre Takvimi
Verisi yurt dışına aktarılan kişi önce veri sorumlusuna başvurmak zorundadır. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvuru reddedilir, verilen cevap yetersiz bulunur veya süresinde cevap verilmezse; cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunulabilir. Buradaki altmış günlük dış sınır, cevap gecikmesini beklerken hak kaybına yol açan en yaygın tuzaktır.
Hesap Verebilirliği Belgeleyen Kayıtlar
- Aydınlatma metninin aktarım yapılan ülkeyi ve amacı açıkça göstermesi
- Rıza alınmışsa alınma anına, kapsamına ve geri alma mekanizmasına ait log kayıtları
- Alıcıyla imzalanan güvence belgesinin sürüm ve tarih takibi
- Veri envanteri ile sözleşmelerin birbiriyle uyumlu tutulması
Yukarıdaki değerlendirmeler genel çerçeveyi anlatır; aktarımın yapıldığı ülke, verinin niteliği ve grup yapısı sonucu değiştirebilir. Somut aktarım modeliniz için hukuki destek alınması yerinde olacaktır.