Bulut hizmeti, uluslararası grup şirketi uygulamaları ve analitik araçlar kullanan hemen her kurum, farkında olsun ya da olmasın kişisel veriyi yurt dışına aktarır. İlgili kişi açısından sorun çoğu zaman aktarımın kendisinde değil, aydınlatma metninin bunu hiç söylememesinde ya da "gerekli hâllerde yurt dışına aktarılabilir" gibi belirsiz bir cümleyle geçiştirmesinde ortaya çıkar.
Aydınlatma Metninde Aranan Somutluk
6698 sayılı KVKK, aydınlatmanın aktarımın amacını ve kimlere yapıldığını kapsamasını arar. Yurt dışı aktarımı söz konusu olduğunda metnin cevaplaması gereken sorular şunlardır: aktarım hangi hukuki zemine dayanıyor, alıcı grubu kim, aktarılan veri kategorisi ne. Bu üç başlıktan biri eksikse, aydınlatma yapılmış sayılıp sayılmayacağı tartışmalı hâle gelir.
Aktarımın Dayanağını Sorgulamak
- Aktarım yapılan ülke veya sektör bakımından bir yeterlilik kararı bulunuyor mu?
- Yeterlilik kararı yoksa uygun güvencelerden hangisine dayanılıyor: standart sözleşme, bağlayıcı şirket kuralları veya yazılı taahhüt?
- Standart sözleşmeye dayanılıyorsa Kurula bildirim yükümlülüğü yerine getirilmiş mi?
- Hiçbiri yoksa arızi nitelikteki istisnalardan biri gerçekten var mı, yoksa süreklilik gösteren bir aktarım istisna gibi mi sunuluyor?
Başvuru Sırası ve Süreler
- Önce veri sorumlusuna yazılı başvuru yapılır; talep, hangi verinin nereye aktarıldığının bildirilmesi ve hukuka aykırılık varsa aktarımın durdurulması biçiminde açıkça yazılır.
- Veri sorumlusunun cevap süresi otuz gündür. Cevap verilmez veya yetersiz kalırsa Kurula şikâyet yolu açılır.
- Şikâyet, cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılır.
- Veri sorumlusuna başvurulmadan doğrudan yapılan şikâyet, bu ön aşama tamamlanmadığı için işleme alınmayabilir.
Delil Eksikliğini Kapatan Kayıtlar
Şikâyet dosyasının zayıf kaldığı en yaygın nokta, başvurunun yapıldığının ispatlanamamasıdır. Bu nedenle başvurunun tarihini gösteren tebligat kaydı, e-posta gönderim çıktısı veya kayıtlı elektronik posta teyidi saklanmalıdır. Aktarımın varlığını gösteren yan deliller de değerlidir: gizlilik politikasının tarihli kaydı, çerez listesi, mobil uygulamanın izin ekranı ve alıcı hizmet sağlayıcının adının geçtiği yazışmalar. Kurul kararına karşı ise idari yargı yolu ayrıca değerlendirilir.
Bu açıklamalar genel çerçeve sunar; veri kategorisine ve aktarım modeline göre yükümlülükler değişebileceğinden somut olayda hukuki destek alınması uygun olur.