Kişisel verilerin yurt dışına aktarıldığı yapılarda aydınlatma metni, çoğu zaman şablon bir paragrafla geçiştirilir. Oysa 6698 sayılı KVKK bakımından aydınlatma, aktarımın hukuki dayanağından bağımsız ve ondan önce gelen bir yükümlülüktür: aktarım hukuka uygun olsa bile ilgili kişi bilgilendirilmemişse ayrı bir aykırılık doğar. İnternet ortamında sunulan hizmetlerde 5651 sayılı Kanun kapsamındaki kayıt yükümlülükleri de aynı veri akışıyla iç içe geçer.
Aydınlatmada Yurt Dışı Boyutu Nasıl Anlatılır?
Genel bir “verileriniz yurt dışına aktarılabilir” cümlesi yeterli değildir. Metnin; hangi veri kategorisinin, hangi amaçla, hangi ülke ya da hizmet sağlayıcı tipine, hangi hukuki mekanizmaya dayanılarak aktarıldığını anlaşılır bir dille göstermesi beklenir. Bulut altyapısı, analitik araçlar, müşteri destek yazılımları ve e-posta hizmetleri çoğu kurumda farkında olunmayan aktarım noktalarıdır; envanter çıkarılmadan yazılan metin gerçeği yansıtmaz.
Aydınlatma ile Açık Rızayı Karıştırmamak
Aydınlatma bir bilgilendirmedir, hukuki dayanak değildir. Aynı metnin altına konulan tek bir onay kutusuyla hem aydınlatma hem rıza alındığı varsayımı, en sık rastlanan yapısal hatadır. Rızanın özgür iradeyle verilmiş sayılabilmesi için hizmetin sunulmasının rıza şartına bağlanmaması gerekir. Aktarım için başka bir hukuki mekanizma kullanılıyorsa, rıza istemek gereksiz bir yük ve tutarsızlık doğurur.
İlgili Kişinin Başvuru Sırası: Atlanamaz Bir Zincir
- Önce veri sorumlusuna yazılı başvuru yapılır ve tarihi belgelenir
- Cevap verilmemesi ya da cevabın yetersiz bulunması hâlinde Kurul’a şikâyet yoluna gidilir
- Veri sorumlusuna başvurmadan doğrudan yapılan şikâyet, bu aşama tamamlanmadığı için sonuçsuz kalabilir
- Kurul kararlarına karşı yargı yolu idari yargıdadır
- Uğranılan maddi ve manevi zararın tazmini talebi ise adli yargıda ileri sürülür
Yanlış Mercie Yönelmenin Sonucu
Kurul’dan tazminat beklemek ya da mahkemeden idari yaptırım talep etmek, sürecin en başında zaman kaybettirir. Bu iki kanal birbirinin alternatifi değil, tamamlayıcısıdır: idari süreçte yapılan tespitler tazminat davasında delil olarak kullanılabilirken, tazminat kararı idari sorumluluğu ortadan kaldırmaz. Başvuru stratejisi kurulurken hangi sonucu hedeflediğinizi baştan tanımlamak gerekir.
Veri Sorumlusu Tarafında Hazırlık
Aktarım yapılan her hizmet sağlayıcı için sözleşmesel güvencelerin, teknik ve idari tedbirlerin ve saklama sürelerinin kayıt altına alınması gerekir. Bir başvuru geldiğinde kanunda öngörülen süre içinde cevap verilebilmesi, bu envanterin güncel tutulmasına bağlıdır. İç prosedürde başvuruyu kimin alacağı, kimin cevaplayacağı ve nasıl arşivleneceği yazılı olmalıdır.
Bu içerik genel bilgi sunar; veri akışınızın yapısı, kullanılan hizmet sağlayıcılar ve aktarımın dayanağı değerlendirmeyi değiştireceğinden, metinlerinizi yayımlamadan önce hukuki inceleme yaptırmanız yerinde olur.