Kişisel verilerin yurt dışındaki sunuculara, grup şirketlerine veya bulut sağlayıcılarına aktarılmasında uzun süre en çok başvurulan yol açık rıza olmuştur. 6698 sayılı Kanunun aktarım rejiminde yapılan değişiklikten sonra bu alışkanlık artık ciddi bir uyum riski taşıyor. Bu rehber, aktarımın hangi hukuki temele oturtulması gerektiğini adım adım ele alıyor.
Aktarımın Kademeli Yapısı
Yeni düzenleme aktarımı bir sıra düzenine bağlar. Önce aktarımın yapılacağı ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunup bulunmadığına bakılır. Yeterlilik kararı yoksa uygun güvencelerden birine dayanılır: standart sözleşme, bağlayıcı şirket kuralları, taahhütname gibi araçlar bu kapsamdadır. Bu ikisi de sağlanamıyorsa ancak arızi olmak kaydıyla istisnalara başvurulabilir. Açık rıza, artık düzenli ve süreklilik arz eden aktarımların olağan dayanağı değildir.
Açık Rızanın Geçerlilik Unsurları
- Belirli bir konuya ilişkin olmalı; genel ve battaniye nitelikte olmamalıdır.
- Bilgilendirmeye dayanmalı; aktarımın riskleri ve alıcı ülke ayrıca açıklanmalıdır.
- Özgür iradeyle verilmeli; hizmetin ön şartına dönüştürülmemelidir.
- Her zaman geri alınabilir olmalı ve geri alma yolu kolay tarif edilmelidir.
Standart Sözleşme Kullanılıyorsa
Standart sözleşme imzalanması tek başına yeterli değildir; metnin Kurul tarafından belirlenen içerikle uyumlu olması ve öngörülen süre içinde Kuruma bildirilmesi gerekir. Bildirim yükümlülüğünün atlanması, aslında uygun güvenceye dayanan aktarımı dahi hukuka aykırı hale getirebilir. Sözleşme yürürlüğe girdikten sonra alıcı taraftaki değişikliklerin de takip edilmesi gerekir.
Denetim Öncesi Kendi Kontrolünüzü Yapmak
Şirket içinde hangi verinin hangi ülkeye, hangi araçla ve hangi amaçla gittiği çoğu zaman tek bir tabloda görülmez. Aktarım envanteri çıkarılmalı, her akış için dayanak sütunu doldurulmalı ve dayanağı yalnızca açık rıza olan akışlar öncelikli olarak uygun güvenceye taşınmalıdır. Aydınlatma metinleri ile fiili uygulama arasındaki fark, şikâyet dosyalarında en sık rastlanan tutarsızlıktır.
Bu içerik genel bilgi paylaşımıdır ve her veri akışının kendi koşulları vardır. Aktarım yapılarınızı yayına almadan önce mevzuata uyum incelemesini bir hukukçuyla birlikte tamamlamanız tavsiye edilir.