Kişisel verilerin yurt dışındaki bir sunucuya, bulut hizmetine veya grup şirketine aktarıldığı hâllerde ilgili kişinin ilk dayanağı çoğu zaman aydınlatma metnidir: aktarımın yapıldığı, amacı ve hukuki sebebi orada gösterilmiş midir? KVKK ve 6698 sayılı Kanun ekseninde bu rehber, aydınlatma eksikliği ile aktarım iddiasının hangi merciye, hangi sırayla ve hangi süre içinde taşınacağını açıklar.
Aydınlatma ile Açık Rıza Aynı Şey Değildir
Aydınlatma, veri sorumlusunun tek taraflı ve her hâlde yerine getirmesi gereken bir yükümlülüktür; açık rıza ise yalnızca belirli işleme hâllerinde hukuki sebep oluşturur. Aydınlatma metninin rıza formuyla iç içe sunulması, rızanın özgür iradeyle verilip verilmediği tartışmasını doğurur. Yurt dışına aktarım söz konusuysa aktarımın hangi mekanizmaya dayandığının metinde ayrıca ve anlaşılır biçimde belirtilmesi beklenir.
Önce Veri Sorumlusuna Başvuru
Kurula şikâyet yolunun açılabilmesi için kural olarak önce veri sorumlusuna yazılı başvuru yapılmış olması gerekir. Veri sorumlusu talebi en geç otuz gün içinde sonuçlandırır. Talebin reddi, verilen yanıtın yetersiz olması veya hiç yanıt verilmemesi hâlinde ilgili kişi, öğrenme tarihinden itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde Kurula şikâyette bulunabilir. Bu iki sürenin birlikte işlediği gözden kaçarsa şikâyet hakkı düşer.
Başvuruda Bulunması Gereken İçerik
- Kimlik ve iletişim bilgileri ile talebin konusunun açıkça belirtilmesi.
- Hangi verinin, hangi tarihte ve hangi işlemle işlendiğine dair somutlaştırma.
- Yurt dışına aktarım iddiası varsa buna dayanak gösterilen belirti veya belge.
- Talep edilen sonucun net yazılması: bilgi verilmesi, düzeltme, silme veya aktarımın durdurulması.
- Başvurunun tarihini ispatlayan gönderim kaydı.
Kurul Kararından Sonraki Yol
Kurul kararına karşı idari yargıda dava açılabilir. Bu aşamada uyuşmazlık artık idari işlemin hukuka uygunluğu üzerinden yürür ve idari yargının kendi dava açma süresi devreye girer. Ayrıca kişilik hakkı ihlali nedeniyle maddi ve manevi tazminat talebi, adli yargıda ayrı bir dava olarak ileri sürülebilir; Kurula şikâyet bu davanın ön şartı değildir. İnternet üzerinden yayılan içerik varsa 5651 kapsamındaki erişimin engellenmesi yolu paralel işletilebilir.
Kurumsal Tarafta Risk Azaltma
- Veri envanteri üzerinden hangi işleme faaliyetinin yurt dışı unsuru taşıdığı belirlenir.
- Aydınlatma metinleri kanal bazında (web, çağrı merkezi, mağaza) ayrı ayrı güncellenir.
- Aktarımın dayanağı ve ilgili taahhütler dosyalanarak denetimde sunulabilir hâle getirilir.
- İhlal hâlinde bildirim süreci önceden yazılı prosedüre bağlanır.
Bu metin genel bilgi vermek amacıyla hazırlanmıştır; veri işleme faaliyetinizin yapısı değerlendirmeyi değiştirebilir. Başvuru ve şikâyet takviminin doğru kurulması için sürecin başında hukuki görüş alınması yararlı olur.