Kişisel verilerin yurt dışındaki bir sunucuya ya da hizmet sağlayıcıya aktarılması, çoğu şirkette sessizce işleyen bir süreçtir. Sorun genellikle aktarımın kendisinden değil, ilgili kişinin bundan usulünce haberdar edilmemiş olmasından doğar. KVKK ve 6698 sayılı Kanun ekseninde hazırlanan bu rehber, aydınlatma yükümlülüğünün yurt dışı aktarım boyutunu merci ve yargı yolu açısından inceliyor.
Aydınlatma Metninde Aktarımın Yeri
Aydınlatma yükümlülüğü, verinin hangi amaçla işlendiğini söylemekle bitmez; kimlere ve hangi amaçla aktarılabileceğinin de belirtilmesi gerekir. Yurt dışı aktarım söz konusu ise metnin bu aktarımı genel geçer bir cümleyle geçiştirmemesi, aktarımın hangi hukuki zemine dayandığını anlaşılır biçimde ortaya koyması beklenir. Bulut hizmeti, analitik araçlar, müşteri ilişkileri yazılımları ve grup şirketi paylaşımları çoğu zaman fark edilmeden bu kapsama girer.
Aktarımın Dayanağını Belirlemek
- Kurulca ilan edilmiş yeterli korumaya sahip ülkelere yapılan aktarımlar
- Taraflar arasında yazılı taahhütname ve gerekli hallerde Kurul izni
- Bağlayıcı şirket kuralları çerçevesinde grup içi aktarım
- Kanunda sayılan istisnai hallere dayanan arızi aktarımlar
Hangi dayanağa güvenildiği kayıt altına alınmamışsa, denetim sırasında savunma yapmak güçleşir. Veri envanteri ile aydınlatma metni arasındaki uyumsuzluk en sık rastlanan eksikliktir.
İlgili Kişi Ne Yapabilir: Önce Veri Sorumlusuna Başvuru
İlgili kişi, doğrudan Kurula gidemez. Önce veri sorumlusuna yazılı başvurmalı; talebin reddedilmesi, yetersiz yanıtlanması veya süresinde cevaplanmaması halinde Kişisel Verileri Koruma Kuruluna şikayette bulunmalıdır. Bu sıralamanın atlanması şikayetin incelenmemesine yol açar. Başvurunun tarihi ve içeriği, sonraki tüm aşamaların dayanağı olduğundan iletim yöntemi ispatlanabilir olmalıdır.
Kurul Kararına Karşı Yargı Yolu ve Tazminat Hattı
Kurul kararı bir idari işlemdir; buna karşı idare mahkemesinde iptal davası açılır. Yetki, kural olarak işlemi tesis eden merciin bulunduğu yere göre belirlenir. İdari para cezalarına karşı itiraz ise ayrı bir hatta ilerler ve sulh ceza hakimliğine yapılır. Buna karşılık kişilik hakkı ihlaline dayalı maddi ve manevi tazminat talebi adli yargıda, kural olarak asliye hukuk mahkemesinde görülür. Aynı olay bu üç ayrı kapıyı birlikte açabilir; her biri kendi süresine tabidir. 5651 sayılı Kanun kapsamındaki erişimin engellenmesi talepleri ise bunlardan bağımsız bir dördüncü yoldur.
Uyum Görüşmesi mi, Şikayet mi?
Veri sorumlusuyla yürütülen yazışmada aydınlatma metninin güncelleneceği ve aktarımın durdurulacağı taahhüt edilebilir. Bu yol hızlıdır; ancak taahhüdün yerine getirilip getirilmediğini ölçmek için somut bir tarih ve doğrulama yöntemi belirlenmelidir. Görüşme sürerken şikayet için öngörülen sürelerin işlediği unutulmamalıdır; iyi niyetli bekleyiş, hakkın kullanılamaz hale gelmesine neden olabilir.
Bu içerik genel bilgilendirme amacıyla hazırlanmıştır. Veri akışınızın yapısı ve aktarımın dayanağı sonucu belirleyeceğinden, başvuru veya savunma hazırlamadan önce uzman görüşü almanız yerinde olacaktır.