Yurt dışına veri aktarımının bulunduğu bir veri ihlali dosyasında ilk tartışma çoğu zaman ihlalin esası değil, hangi merciin önüne gidileceğidir. Aynı olay Kişisel Verileri Koruma Kurumu nezdinde idari bir süreç, hukuk mahkemesinde tazminat davası ve bazı hallerde ayrı bir ceza soruşturması doğurabilir. Aşağıda 6698 sayılı KVKK ile 5651 sayılı Kanun çerçevesinde görev-yetki haritası çıkarılmakta ve uzlaşma ile dava arasındaki tercih somutlaştırılmaktadır.
İhlalin Coğrafyası Yetkiyi Nasıl Değiştirir
Verinin fiilen hangi ülkede tutulduğu, aktarımın hangi sözleşmesel araca dayandığı ve muhatabın Türkiye'de bir tüzel kişiliği bulunup bulunmadığı, hukuka uygunluk denetiminden önce dosyanın kime yöneltileceğini belirler. Grup içi aktarımlarda veri sorumlusu ile veri işleyen rolleri ayrıştırılmadığında dilekçe yanlış kişiye yöneltilir ve esasa hiç geçilmez. Bu nedenle rol tespiti, ihlal bildirimi metninden ve aktarım sözleşmesinden birlikte çıkarılmalıdır.
Kuruma Şikâyet mi, Mahkeme mi: Sıralamanın Önemi
KVKK, veri sorumlusuna başvuruyu Kuruma şikâyetin önkoşulu olarak kurgular. Doğrudan Kuruma gidilmesi hâlinde şikâyet usulden değerlendirilmeyebilir; buna karşılık maddi ve manevi zarar talepleri bakımından idari sürecin tamamlanması beklenmez. Kurulun idari yaptırım ve talimat içeren kararlarına karşı idari yargı yolu, zararın tazmini bakımından ise genel hükümlere göre hukuk mahkemesi devreye girer. İki hattın aynı anda yürütülmesi mümkündür; ancak dilekçelerdeki maddi vakıa anlatımı birbiriyle çelişmemelidir.
Aktarımın Dayanağını Belgeleme
- Aktarımın hangi hukuki mekanizmaya dayandığının yazılı olarak gösterilmesi
- Açık rızaya dayanıldığı iddiasında rızanın özgür ve bilgilendirilmiş olduğunun ispatı
- İhlal bildiriminin zamanı ile ilgili kişiye yapılan duyurunun karşılaştırılması
- İçerik kaldırma veya erişim engeli gerekiyorsa 5651 kapsamındaki ayrı başvurunun ayrıca planlanması
Sulh Görüşmesi ile Dava Arasındaki Eşik
Veri sorumlusunun ihlali kabul edip teknik önlem taahhüdü ve makul bir tazminat teklifi sunduğu dosyalarda uzlaşma, zamanaşımı ve ispat riskini bir kerede kapatır. Buna karşılık aktarımın hukuki dayanağı hiç kurulmamışsa, kabul edilen bir sulh bedeli sonraki benzer ihlaller bakımından emsal işlevi görmeyeceği gibi Kurulun denetim yetkisini de ortadan kaldırmaz. Tercih yapılırken zararın belgelenebilirliği, ihlalin kapsadığı kişi sayısı ve şirketin uyum düzeltmesine yatkınlığı birlikte tartılmalıdır.
Kısa Uyarı
Buradaki değerlendirmeler genel niteliktedir; aktarımın türü ve ihlalin kapsamı yetkili mercii ile süre hesabını değiştirebileceğinden, dosyanızın kendi verileriyle hukuki görüş alınması yerinde olur.