Kişisel verilerin yurt dışına aktarımında en sık yapılan hata, her aktarım için açık rıza alınabileceğini varsaymaktır. 6698 sayılı KVKK düzeninde açık rıza, yurt dışı aktarımı bakımından ana yol değil, koşulları sınırlı ve arızi nitelikte bir seçenektir. Bu rehber, doğru mekanizmanın seçilmesi ve başvurunun doğru mercie yapılması üzerinedir.
Aktarım Mekanizmaları Bir Sıra İzler
Yurt dışına aktarım için önce ilgili ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı bulunup bulunmadığına bakılır. Yeterlilik kararı yoksa uygun güvenceler devreye girer: standart sözleşme, bağlayıcı şirket kuralları, taraflar arasındaki yazılı taahhüt gibi araçlar bu başlıkta değerlendirilir. Bu araçların hiçbiri uygulanamıyorsa, ancak sınırlı ve süreklilik taşımayan hâllerde istisnai yollara başvurulabilir. Sıralama atlandığında, alınan rıza aktarımı hukuka uygun hâle getirmez.
Açık Rızanın Geçerli Sayılması İçin
- Belirli bir aktarıma ilişkin olmalı; genel ve battaniye nitelikte metinler yeterli görülmez
- Bilgilendirmeye dayanmalı: alıcı, ülke, amaç ve riskler açıkça anlatılmalı
- Özgür iradeyle verilmeli; hizmetin alınması rızaya bağlanmamalı
- Aydınlatma yükümlülüğü rızadan ayrı ve önce yerine getirilmeli
- Geri alınabilir olmalı ve geri alma yolu kolayca kullanılabilmeli
Şikâyet Yolunda Ön Başvuru Şartı
İlgili kişi, verisinin hukuka aykırı aktarıldığını düşünüyorsa doğrudan Kuruma gidemez; önce veri sorumlusuna yazılı başvuru yapması gerekir. Başvuruya süresinde cevap verilmemesi ya da cevabın yetersiz olması hâlinde Kurula şikâyet yolu açılır. Bu ön aşama atlanırsa şikâyet usulden değerlendirilmez. Zararın giderilmesine ilişkin talepler ise idari süreçten ayrı olarak hukuk mahkemesinde ileri sürülür; içerik ve yayın boyutu varsa 5651 sayılı Kanun kapsamındaki yollar da ayrıca gündeme gelebilir.
Veri Sorumlusu İçin Uygulama Sırası
- Aktarılan veri kategorileri, alıcı ülkeler ve amaçlar envantere işlenir.
- Bulut ve altyapı hizmetlerinin sunucu konumu teyit edilir; sözleşmeler bu doğrultuda gözden geçirilir.
- Uygun aktarım mekanizması belirlenir ve gerekli bildirim yükümlülükleri takvime bağlanır.
- Aydınlatma metinleri ile rıza metinleri birbirinden ayrılır.
- İlgili kişi başvurularını karşılayacak iç süreç, cevap süresine uyacak biçimde kurulur.
Değerlendirme
Veri koruma mevzuatı ve ikincil düzenlemeler değişebildiğinden, bugün uygun görünen bir yapı ilerleyen dönemde güncelleme gerektirebilir. Burada verilenler genel bilgilendirme niteliğindedir. Şirket yapınıza ve veri akışınıza özgü değerlendirmenin bir hukukçuyla yapılması, sonradan doğacak idari süreçleri azaltır.