Kişisel verilerin yurt dışındaki bir sunucuya veya hizmet sağlayıcıya aktarıldığı yapılarda ihlal gerçekleştiğinde, sorumluluk zinciri tek bir aktörle sınırlı kalmaz. Burada belirleyici olan, aktarımın hukuki dayanağının ihlalden önce kurulmuş olup olmadığı ve bildirim sürelerine uyulup uyulmadığıdır.
İhlalin Öğrenildiği İlk Saatler
6698 sayılı KVKK, veri ihlali öğrenildiğinde veri sorumlusunun Kurula ve ilgili kişilere bildirimde bulunmasını zorunlu tutar. Kurul, bu bildirimin yapılacağı azami süreyi ayrı bir kararla belirlemiştir ve süre kısadır. Bildirim gecikmesi, ihlalin kendisinden bağımsız bir yaptırım sebebi oluşturur. İlk saatlerde yapılması gereken teknik müdahale ile hukuki bildirim yükümlülüğü birbirini beklemez; ikisi paralel yürütülmelidir.
Aktarımın Dayanağı Nedir
Yurt dışına aktarım, KVKK'da sayılan koşullar sağlanmadan yapılamaz. Uygulamada en sık karşılaşılan eksiklik, aktarımın yalnızca hizmet sözleşmesine dayandırılması ve kanunun aradığı ayrı hukuki zeminin kurulmamış olmasıdır. İhlal sonrası inceleme başladığında Kurul, ihlalin nasıl gerçekleştiğinden önce aktarımın en baştan hukuka uygun olup olmadığını sorgular; bu nedenle envanterin, aydınlatma metinlerinin ve aktarım kayıtlarının güncel tutulması denetimde belirleyici olur.
İlgili Kişinin İzleyeceği Sıra
- Önce veri sorumlusuna yazılı başvuru yapılır; kanun bu başvurunun en geç otuz gün içinde sonuçlandırılmasını öngörür.
- Başvuru reddedilir, yetersiz yanıtlanır veya süresinde cevaplanmazsa Kurula şikâyet yolu açılır.
- Şikâyet, cevabın öğrenildiği tarihten itibaren otuz gün ve her hâlde başvuru tarihinden itibaren altmış gün içinde yapılmalıdır.
- Bu süreler kaçırıldığında şikâyet incelenmez; ancak genel hükümlere göre tazminat talebi ayrıca değerlendirilebilir.
Veri sorumlusuna başvuru basamağı atlanarak doğrudan Kurula gidilmesi, şikâyetin usulden ele alınmamasına yol açar. Bu, en sık rastlanan süre kaybı sebebidir.
Kurul Kararına Karşı Yargı Yolu
Kurulun verdiği kararlara ve uyguladığı idari yaptırımlara karşı idari yargı yoluna başvurulur. Dava açma süresi kararın tebliğinden itibaren işler ve idari yargı usulünde öngörülen genel süreye tabidir. Kararın gerekçesinin ayrıntılı incelenmeden dava açılması, savunmanın dar kurulmasına neden olabileceğinden, tebliğ tarihi ile dilekçe hazırlığı arasındaki takvim önceden planlanmalıdır.
Not
Bu içerik genel bilgilendirme amaçlıdır. Aktarımın yapısı, veri kategorileri ve hizmet sağlayıcının konumu farklı yükümlülükler doğurabileceğinden, somut olayda hukuki değerlendirme alınması gerekir.