Yurt dışı veri aktarımında açık rıza, en kolay ulaşılabilir görünen ama hukuken en kırılgan dayanaktır. Çünkü rıza her an geri alınabilir ve geçerlilik şartlarından biri eksikse aktarımın tamamı dayanaksız kalır. 6698 sayılı KVKK ekseninde hazırlanan bu rehber, rızaya dayalı aktarımın hangi hâllerde işe yaradığını ve hangi hâllerde risk ürettiğini ele alır.
Açık Rıza Ne Zaman Geçerlidir?
Geçerli bir açık rızanın üç unsuru birlikte bulunmalıdır: belirli bir konuya ilişkin olması, bilgilendirmeye dayanması ve özgür iradeyle açıklanması. Aktarım bakımından bu şu anlama gelir; kişi verisinin yurt dışına gideceğini, hangi amaçla gideceğini ve bunun taşıdığı riskleri anlamış olmalıdır. Genel bir kullanım koşulları metninin altına eklenen tek satırlık onay kutusu, bu ölçütü karşılamaz.
Rızayı Geçersiz Kılan Uygulamalar
- Hizmetin sunulmasını rıza verilmesi şartına bağlamak
- Rıza ile aydınlatma metnini tek bir onay kutusunda birleştirmek
- Onay kutusunu baştan işaretli getirmek
- Farklı işleme faaliyetleri için tek bir toplu rıza almak
- Rızanın geri alınması için pratik bir kanal sunmamak
Rıza Yerine Başka Dayanak Aranmalı mı?
Kanun, yurt dışı aktarım için kademeli bir yapı öngörür ve açık rıza bu yapının rutin aracı değildir. Süreklilik gösteren aktarımlarda yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları ya da taahhütname gibi güvencelerin kullanılması esastır. Açık rıza, arızi ve tek seferlik aktarımlar bakımından dar bir alanda anlam taşır. Bulut hizmeti, bordro yazılımı veya müşteri ilişkileri sistemi gibi sürekli işleyen yapılar rızaya dayandırıldığında, tek bir geri alma talebi tüm mimariyi tartışmalı hâle getirir.
Rıza Yönetimi İçin Kurulacak Düzen
- Her rıza kaydı için tarih, saat, metnin sürümü ve alınan kanal saklanır.
- Metin güncellendiğinde eski sürümler arşivlenir ve hangi kullanıcının hangi sürüme onay verdiği izlenir.
- Geri alma talepleri için ayrı bir kanal tanımlanır ve bu kanal aydınlatma metninde duyurulur.
- Geri alma sonrası aktarımın durdurulması ve yurt dışındaki alıcıya bildirim yapılması sağlanır.
- Çalışanlardan alınan rızalar, iş ilişkisindeki bağımlılık nedeniyle ayrı bir başlıkta değerlendirilir.
Uyuşmazlık Doğduğunda Yol Seçimi
Veri sahibi önce veri sorumlusuna başvurur; sonuç alamazsa Kurula şikâyette bulunabilir. Tazminat talebi ise ayrı bir yol olup zararın ortaya konulmasını gerektirir. Veri sorumlusu açısından bakıldığında, rızanın geçerliliği tartışmalıysa süreci uzatmak yerine aktarımı uygun bir güvenceye taşıyarak düzeltmek genellikle daha az maliyetlidir. Tercihi belirleyen ölçütler; aktarımın hâlen sürüp sürmediği, etkilenen kişi sayısı, verinin niteliği ve düzeltme için gereken teknik sürenin uzunluğudur.
Bu metin genel bilgi sunmak için hazırlanmıştır; her yapının veri akışı, kullandığı sağlayıcılar ve sözleşme düzeni farklıdır. Rıza metinlerinizi yayına almadan önce mevcut aktarım mimarinizle birlikte hukuki incelemeden geçirmeniz yerinde olur.