Bir kişisel veri ihlali bildirimi geldiğinde ilgili kişinin aklına gelen ilk soru, verisinin nereye gittiğidir. Verilerin sunucuları yurt dışında bulunan hizmet sağlayıcılara aktarıldığı hallerde tartışma iki katmanlı hale gelir: hem ihlalin kendisi hem de aktarımın hukuka uygun bir dayanağa oturup oturmadığı. KVKK ve 6698 çerçevesinde bu rehber, yurt dışı aktarım boyutu bulunan bir veri ihlalinde başvuru sırasını ve itiraz seçeneklerini ele alır.
Zorunlu İlk Durak: Veri Sorumlusuna Başvuru
Kurula doğrudan yapılan şikâyetler, veri sorumlusuna önceden başvurulmadığı gerekçesiyle işleme alınmayabilir. Bu nedenle ilk adım, veri sorumlusuna yazılı başvurudur. Başvuru metninde kimliği doğrulanabilir bilgiler yer almalı ve talepler tek tek sıralanmalıdır:
- Hangi kişisel verilerin işlendiğinin bildirilmesi
- İşlemenin hukuki sebebi ve amacı
- Verilerin aktarıldığı üçüncü kişiler ve ülkeler
- Aktarımın dayandığı hukuki mekanizma
- İhlalden etkilenip etkilenilmediği ve alınan önlemler
Başvurunun gönderildiği tarih ve kanal saklanmalıdır; cevap süresi bu tarihe göre hesaplanır ve şikâyet hakkı buna bağlı olarak doğar.
Aktarımın Dayanağını Sorgulamak
Yurt dışı aktarımda cevabın "açık rıza alındı" biçiminde olması tek başına yeterli görülmemelidir. Rızanın hizmetin kullanımına koşul haline getirilip getirilmediği, aktarımın kapsamının rıza metninde açıkça yer alıp almadığı ve rızanın geri alınabilir biçimde sunulup sunulmadığı ayrıca değerlendirilmelidir. Rıza dışındaki mekanizmalara dayanılıyorsa, bu belgelerin varlığının başvuruda sorulması gerekir; cevabın bu noktada suskun kalması, şikâyet dilekçesinin ana eksenini oluşturur.
İhlal Bildiriminin İçeriği Ne Söylüyor
Veri sorumlusunun yaptığı ihlal duyurusu genellikle genel ifadelerle yazılır. Buna karşılık duyurudaki bilgi, sonraki adımların yönünü belirler: ihlalin hangi tarihte gerçekleştiği, ne zaman tespit edildiği ve hangi veri kategorilerini kapsadığı. Tespit ile bildirim arasındaki gecikme, sürecin ayrı bir tartışma başlığıdır. Özel nitelikli veriler kapsamdaysa, alınması gereken önlemlerin düzeyi de değişir. Duyuru metni, tarihi görünecek şekilde arşivlenmelidir; bu tür metinler sonradan güncellenebilmektedir.
Şikâyetten Sonrası ve Yargı Yolu
Kurula yapılan şikâyet incelemeye alınırsa, sürecin sonunda verilecek karar idari nitelik taşır. Karara katılınmaması halinde idari yargı yolu açıktır ve burada dava açma süresi tebliğ tarihine göre işler. Ayrıca idari süreçten bağımsız olarak, ihlal nedeniyle uğranılan zarar için genel hükümlere göre tazminat talep edilebilir. İki yolun aynı anda yürütülebileceği, ancak zararın somut biçimde ortaya konması gerektiği unutulmamalıdır.
Bilgilendirme
Veri koruma uygulaması hızla gelişen bir alandır ve aktarım rejimine ilişkin düzenlemeler zaman içinde değişebilmektedir. Bu metin genel bir yol haritası sunar; başvurunuzu şekillendirmeden önce güncel mevzuat ve dosyanızın özellikleri açısından hukuki destek almanız yerinde olur.