Kişisel verilerin yurt dışına aktarılması, veri sorumluları için en çok denetime konu olan başlıklardan biridir. Açık rıza bu alanda sıkça başvurulan bir dayanak olsa da, tek başına ve yanlış kurgulandığında koruma sağlamaz. KVKK, yani 6698 sayılı Kanun ve internet yayınlarına ilişkin 5651 sayılı Kanun çerçevesinde bu rehber, aktarım öncesi yapılması gerekenleri ve uyuşmazlık hâlinde başvuru sırasını anlatıyor.
Açık Rıza Ne Zaman Geçerlidir
Açık rıza; belirli bir konuya ilişkin olmalı, bilgilendirmeye dayanmalı ve özgür iradeyle açıklanmalıdır. Uygulamada geçersizlik sonucunu doğuran tipik kurgular şunlardır: hizmetin sunulmasını rızaya bağlamak, rızayı aydınlatma metniyle aynı kutucukta birleştirmek, tek bir onayla hem işleme hem aktarım hem de ticari elektronik ileti için izin almak, geri alma yolunu fiilen kullanılamaz hâle getirmek. Rızanın alındığı an, kanal ve metnin sürümü kayıt altına alınmadığında, denetimde ispat yükü karşılanamaz.
Aktarım Öncesi Kontrol Listesi
- Aktarılacak veri kategorileri ve özel nitelikli veri bulunup bulunmadığı belirlenir.
- Alıcı ülke, alıcı taraf ve aktarımın hukuki dayanağı yazılı hâle getirilir.
- Aktarımın amacı ile toplanan verinin amacı arasındaki bağ denetlenir; amaç dışı aktarım en sık rastlanan aykırılıktır.
- Bulut hizmeti kullanımı da aktarım doğurabildiğinden, sunucu konumu ve alt işleyiciler listelenir.
- Saklama süreleri, imha politikası ve veri işleyenle yapılan sözleşme hükümleri gözden geçirilir.
- Veri sahibinin bilgilendirilmesi ayrı bir metinle ve anlaşılır dille yapılır.
Uyuşmazlıkta Başvuru Sırasını Atlamayın
İlgili kişi bakımından kanunda kademeli bir yol öngörülmüştür. Önce veri sorumlusuna yazılı olarak başvurulur. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Başvurunun reddedilmesi, yetersiz yanıt verilmesi veya süresinde yanıt verilmemesi hâlinde Kişisel Verileri Koruma Kuruluna şikâyette bulunulur. Bu şikâyet, cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılmalıdır. Doğrudan Kurula yapılan şikâyet, ön başvuru şartı yerine getirilmediği için sonuçsuz kalır. Kurul kararına karşı gidilecek yol ise idari yargıdır; buna karşılık kişilik hakkı ihlalinden doğan tazminat talebi genel mahkemede görülür. İnternet ortamındaki bir yayının kaldırılması isteniyorsa 5651 sayılı Kanun kapsamındaki ayrı prosedür işletilir.
Veri Sorumlusu Tarafında Hazırlık
Bir şikâyet ulaştığında en belirleyici unsur, kayıtların hazır olmasıdır. İşleme envanteri, rıza kayıtları, aydınlatma metni sürümleri, erişim yetki matrisi ve ihlal müdahale prosedürü önceden hazırlanmadığında, otuz günlük yanıt süresi içinde tutarlı bir cevap üretmek güçleşir.
Not
Yukarıdaki bilgiler genel çerçeve sunar. Aktarımın dayanağı ve alıcı ülke koşulları her yapı için ayrı değerlendirme gerektirdiğinden, süreç başlatılmadan önce belgelerin hukuki incelemeden geçirilmesi yerinde olur.