Kişisel veri uyuşmazlıklarında iki başlık sıklıkla birbirine karıştırılır: aydınlatma yükümlülüğünün yerine getirilmesi ve verinin yurt dışına aktarılmasının hukuki dayanağı. KVKK ve 6698 sayılı Kanun ile 5651 sayılı Kanun çerçevesinde bu rehber, ilgili kişinin başvuru sırasını ve veri sorumlusunun savunma zeminini ele alıyor.
Aydınlatma ile Açık Rızayı Ayırmak
Aydınlatma, veri sorumlusunun tek taraflı bilgilendirme ödevidir ve her hâlde yerine getirilmelidir. Açık rıza ise yalnızca belirli işleme hâllerinde gereken bir hukuki sebeptir. Bu ikisinin tek bir metinde ve tek onay kutusunda birleştirilmesi, uygulamada en sık rastlanan yapısal hatadır; aydınlatma metninin okunduğuna dair onayla rızanın alınması, rızanın özgür iradeyle verildiği savunmasını zayıflatır.
Yurt Dışına Aktarımda Dayanak Seçimi
- Aktarımın yapılacağı ülke veya sektör bakımından yeterlilik kararı bulunup bulunmadığı
- Yeterlilik kararı yoksa, mevzuatta öngörülen uygun güvence yollarından hangisine dayanıldığı
- Standart sözleşme kullanılıyorsa, öngörülen bildirim yükümlülüğünün süresinde yerine getirilmesi
- Grup şirketleri arasında bağlayıcı kurallar uygulanıyorsa onay sürecinin tamamlanması
- Yalnızca arızi hâller için öngörülen istisnaların süreklilik arz eden aktarımlara dayanak yapılmaması
İlgili Kişinin Başvuru Sırası
- Talep önce veri sorumlusuna, kimliği doğrulanabilir bir yöntemle iletilir.
- Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır.
- Cevap yetersizse, cevabın öğrenildiği tarihten itibaren otuz gün içinde Kurula şikâyet yoluna gidilir.
- Her hâlde, veri sorumlusuna başvuru tarihinden itibaren altmış günlük üst sınır gözetilir.
- Zarar doğmuşsa, genel hükümlere göre tazminat talebi ayrıca değerlendirilir.
Veri Sorumlusunun Dosya Hazırlığı
İnceleme başladığında istenen ilk şey, kâğıt üzerindeki politika değil fiilî uygulamadır. Bu nedenle işleme envanteri, saklama ve imha politikası, aktarım yapılan hizmet sağlayıcılarla imzalanan sözleşmeler, yetki matrisi ve erişim kayıtları güncel tutulmalıdır. Envanterde görünmeyen bir aktarımın sonradan açıklanması, savunmanın bütününü tartışmalı hâle getirir.
Usule Aykırı İşlem Riski
Başvuru sırasının atlanarak doğrudan Kurula gidilmesi, şikâyetin incelenmemesi sonucunu doğurabilir. Aynı şekilde başvurunun kimlik doğrulaması yapılamayacak bir kanaldan gönderilmesi, cevap süresinin hiç başlamamasına yol açar. Veri sorumlusu tarafında ise cevabın süresinde ancak talebi karşılamayan genel ifadelerle verilmesi, çoğu zaman şikâyeti önlemez.
Veri koruma mevzuatı ve ikincil düzenlemeler dönem dönem değişmektedir. Buradaki açıklamalar genel bilgilendirme amaçlıdır; süreçlerinizi güncel düzenlemeler ışığında bir hukukçuyla gözden geçirmeniz gerekir.