Kişisel verilerin yurt dışına aktarıldığı bir ortamda yaşanan ihlal, tek başına bir güvenlik olayı değildir. 6698 sayılı Kanun bakımından hem bildirim yükümlülüğü hem aktarımın hukuki dayanağı aynı anda tartışmaya açılır. İlgili kişi açısından ise başvurunun hangi kapıdan, hangi sırayla yapılacağı sonucu doğrudan belirler.
Aktarımın Dayanağı Neydi
Yurt dışına aktarımda önce hukuki temel belirlenir: açık rızaya mı, yeterlilik kararına mı, yoksa taahhütname veya standart sözleşme gibi uygun güvencelere mi dayanılmıştır. İhlal anında bu dayanağın belgelenememesi, olayın niteliğini teknik bir güvenlik zafiyetinden hukuka aykırı işleme boyutuna taşır. Veri sorumlusunun envanteri, aktarım listesi ve sözleşme ekleri bu noktada tek başına belirleyicidir.
İlgili Kişi İçin İki Aşamalı Yol
Kanun, ilgili kişinin doğrudan Kurula gitmesini değil, önce veri sorumlusuna başvurmasını öngörür. Veri sorumlusunun cevap vermesi için tanınan süre dolmadan yapılan şikâyet, esasa girilmeden usulden değerlendirilir. Cevap verilmemesi ya da yetersiz cevap halinde Kurula şikâyet yolu açılır; ancak burada da hem cevaba hem ilk başvuruya bağlı süreler birlikte işler.
- Başvurunun veri sorumlusuna ulaştığı tarih tebliğ veya kayıt kanıtıyla saklanmalıdır.
- Talep, aktarım yapılan ülke ve alıcı grubu sorulacak şekilde somutlaştırılmalıdır.
- Zarar doğmuşsa tazminat talebi Kurul şikâyetinin değil, hukuk mahkemesinin konusudur.
- Aynı olay hakkında ceza boyutu varsa bu, idari şikâyetten bağımsız yürütülür.
Veri Sorumlusu Tarafında Kriz Takvimi
- İhlalin kapsamı, etkilenen veri kategorileri ve aktarım yapılan alıcılar ilk oturumda tespit edilir.
- Kurula bildirim ve ilgili kişilere bilgilendirme yükümlülüğü, sebebi araştırma bahanesiyle ertelenmez; bildirim gecikmesi ayrı bir aykırılık başlığıdır.
- Aktarımın dayanağı olan belgeler dosyaya kronolojik olarak eklenir.
- Yurt dışındaki alıcıyla yapılan yazışmalar, imha ve önlem talimatları yazılı kanala taşınır.
En Sık Karşılaşılan Merci Karışıklığı
Uygulamada ilgili kişiler tazminat, idari yaptırım ve cezai sorumluluğu tek dilekçede talep etmektedir. Oysa idari yaptırım Kurulun, tazminat mahkemenin, suç boyutu savcılığın alanındadır. Kurul kararlarına karşı yargı yolu ise idari yargıdır ve buradaki dava süresi kaçırıldığında karar kesinleşir. Yanlış kapıya yapılan başvuru çoğu zaman süreyi durdurmaz.
Burada anlatılanlar genel çerçeveyi tarif eder. Aktarımın yapısı, sektör düzenlemeleri ve ihlalin kapsamı değerlendirmeyi değiştirebileceğinden, somut olayda uzman hukuki destek almanız önerilir.