Veri sorumluları uzun süre açık rızayı her sorunun çözümü gibi kullandı; oysa özellikle yurt dışına aktarım bakımından açık rıza, üzerine kalıcı bir uyum yapısı kurulamayacak kadar kırılgan bir dayanaktır. Rıza her an geri alınabilir, geri alındığında aktarım hukuki temelini kaybeder ve geriye dönük sorumluluk doğar. Bu rehber KVKK ve 6698 sayılı Kanun çerçevesinde, 5651 sayılı Kanunun kayıt yükümlülükleriyle kesişen noktalara da değinerek aktarım uyumunu ele alır.
Açık Rızanın Geçerlilik Şartları
Açık rıza belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Hizmetin verilmesinin rıza şartına bağlanması özgürlük unsurunu ortadan kaldırır. Aydınlatma metni ile rıza beyanının aynı kutucukta toplanması da yaygın bir hatadır; bu iki işlem ayrı ayrı gerçekleştirilmeli ve rızanın ne zaman, hangi metinle alındığı kayıt altında tutulmalıdır.
Aktarım Zincirini Haritalandırın
- Hangi veri kategorisinin hangi ülkeye aktarıldığı
- Aktarımın alıcısı: grup şirketi mi, bulut sağlayıcı mı, alt yüklenici mi
- Verinin fiziken saklandığı sunucu konumu ve yedekleme lokasyonları
- Alt işleyicilere yapılan ikincil aktarımlar
- Özel nitelikli veri bulunup bulunmadığı
Bu harita çıkarılmadan seçilen hukuki dayanak neredeyse her zaman eksik kalır; çünkü uygulamada aktarımların önemli bölümü destek hizmeti alınan üçüncü taraflar üzerinden, farkında olunmadan gerçekleşir.
Kalıcı Dayanak Seçenekleri
Mevzuat, aktarım için kademeli bir yapı öngörür: öncelikle yeterlilik kararı bulunan ülkelere aktarım, bunun yokluğunda tarafların sağladığı uygun güvenceler ve ancak bunların da sağlanamadığı hâllerde sınırlı ve arızi nitelikteki istisnalar. Uygun güvence yolu tercih edildiğinde ilgili sözleşme metinlerinin imzalanması yeterli değildir; öngörülen bildirim ve kayıt yükümlülüklerinin de süresinde yerine getirilmesi gerekir. Bu adımın atlanması tipik bir usule aykırı işlem örneğidir ve idari yaptırıma açık hâle getirir.
Veri Sahibi Başvurusu ve Şikâyet Takvimi
İlgili kişinin başvurusu veri sorumlusu tarafından, talebin niteliğine göre en geç otuz gün içinde sonuçlandırılmalıdır. Başvurunun reddi veya cevapsız kalması hâlinde Kurula şikâyet için de otuz günlük bir süre işler ve her hâlde başvuru tarihinden itibaren altmış günlük üst sınır gözetilir. Bu takvim yalnızca ilgili kişi açısından değil, veri sorumlusu açısından da kritiktir: cevapsız bırakılan başvurular çoğunlukla doğrudan şikâyete dönüşür.
Rıza Geri Alındığında Ne Olur
Geri alma talebi geldiğinde aktarımın durdurulması, alıcı tarafta silme talebinin iletilmesi ve bu sürecin belgelenmesi gerekir. Sistemsel olarak buna hazır olmayan yapılarda rıza, işlevsiz bir onay kutusuna dönüşür. Bu nedenle aktarımın sürekli olduğu senaryolarda rıza yerine kalıcı dayanak kurulması daha sürdürülebilir bir çözümdür.
Bu metin genel bilgilendirme sunar; veri türü, alıcı ülke ve iş modeli sonucu değiştirebileceğinden, aktarım yapısı kurulmadan önce süreçlerin hukuki incelemeden geçirilmesi yerinde olacaktır.