Makale

Dijital ekonominin gelişmesiyle birlikte kişisel veriler üzerindeki kontrolün artırılması ihtiyacı, veri taşınabilirliği hakkı gibi yenilikçi hukuki enstrümanları beraberinde getirmiştir. Avrupa Birliği Genel Veri Koruma Tüzüğü madde 20 ile düzenlenen bu hak, veri süjelerine verilerini bir hizmet sağlayıcıdan diğerine aktarma imkânı tanırken, veri sorumlusu konumundaki işletmelere de bir dizi somut hukuki ve teknik yükümlülük yüklemektedir. Veri sorumlusunun temel misyonu, ilgili kişinin kendi kaderini belirleme hakkını efektif bir şekilde kullanabilmesi için süreci kolaylaştırmaktır. Veri sorumluları, aktarımın sorunsuz, güvenli ve makul sürelerde gerçekleşmesini temin edecek organizasyonel ve teknik tedbirleri almak zorundadır. Bu durum, veri işlemenin şeffaflığı ve dürüstlük kuralı ekseninde, veri sorumlusuna hem proaktif bir aydınlatma yapma hem de aktarım sırasında hukuki güvenlik standartlarını koruma ödevini yükler.

Aydınlatma ve Bilgilendirme Yükümlülüğü

Hukuka uygun ve şeffaf bir veri işleme sürecinin ön koşulu, ilgili kişinin hakları konusunda zamanında ve doğru bir biçimde aydınlatılmasıdır. İlgili mevzuat uyarınca, veri sorumlusu, kişisel verilerin elde edildiği tarihte veya makul bir süre içinde veri taşınabilirliği hakkı konusunda ilgili kişiye açık, öz ve anlaşılır bir dille bilgi vermek zorundadır. İlgili kişinin herhangi bir hesabını kapatmadan önce bu hakka ilişkin bilgilendirilmesi, verilerini kaybetmeden kopyalamasına veya başka bir sağlayıcıya aktarmasına olanak tanır. Bilgilendirmenin yapılmaması, ilgilinin haklarından mahrum kalmasına yol açabileceğinden şeffaflık ilkesi açısından ciddi bir ihlal teşkil eder. Ayrıca, veri sorumlusu bu hakkın diğer haklardan farkını net bir biçimde ortaya koymalı, sürecin nasıl işleyeceğini ilgili kişiye proaktif olarak açıklamalıdır.

Kimlik Doğrulama ve Güvenliğin Sağlanması

Veri taşınabilirliği talebini işleme almadan önce veri sorumlusunun yerine getirmesi gereken en kritik yasal gerekliliklerden biri kimlik doğrulama sürecidir. Yasal düzenlemeler kapsamında veri sorumlusu, talebi ileten kişinin gerçek hak sahibi olduğundan emin olmalı, şüphe halinde kimliği doğrulamak için ek bilgi talep etme hakkını kullanmalıdır. Ancak bu durum, veri minimizasyonu ilkesine aykırı olacak şekilde aşırı veri toplanmasına bahane edilmemelidir. Kimlik doğrulandıktan sonra verilerin aktarımı aşamasında, veri kaybı, hasar veya yetkisiz erişimi engellemek için uçtan uca şifreleme gibi en güncel siber güvenlik önlemlerinin alınması zorunludur. Veri sorumlusu, verilerin güvenliğini garanti edecek şekilde işlenmesini sağlamakla yükümlü olsa da verilerin alıcı veri sorumlusuna ulaştıktan sonraki işleme faaliyetlerinden sorumlu tutulamaz.

Veri Formatı ve Aktarım Sürecindeki Yükümlülükler

Veri sorumlusu, ilgili kişi tarafından talep edilen verileri teknoloji-nötr bir yaklaşımla, yapılandırılmış, yaygın olarak kullanılan ve makine tarafından okunabilen bir formatta sağlamalıdır. Kanun koyucu spesifik bir dosya türü dayatmamış olmakla birlikte, verilerin başka bir sistemde yeniden kullanımına elverişli açık formatlar tercih edilmelidir. Veri sorumlusu, aktarım sürecini zorlaştıracak veya yavaşlatacak her türlü yasal, teknik veya mali engelden kaçınmakla yükümlüdür. Veri sorumlusunun engel oluşturmaması gereken durumlara şunlar örnek gösterilebilir:

• Birlikte işler formatların kasten sağlanmaması,
• Taşınabilirlik veya iletim işlemi için haksız ücret talep edilmesi,
• Uygulama programlama arayüzüne erişim eksikliği,
• Bilinçli olarak veri setlerinin kafa karıştırıcı ve karmaşık hale getirilmesi,
• Aşırı derecede sektörel standardizasyon veya akreditasyon şartları koşulması.

Yanıt Süreleri ve Ücretlendirme Şartları

Veri sorumlusu, veri taşınabilirliği taleplerine gecikmeksizin ve her halükârda en geç bir ay içinde yanıt vermekle mükelleftir. Talebin oldukça karmaşık olduğu durumlarda bu süre, ilgili kişiye ilk bir ay içinde bilgi verilmesi koşuluyla en fazla iki ay daha uzatılabilir. Talebin elektronik yollarla yapılması halinde, veriler de mümkün olduğunca elektronik araçlarla iletilmelidir. İlgili kişi haklarının kullanımı kural olarak ücretsizdir. Ancak talebin açıkça temelsiz veya aşırı olması halinde, veri sorumlusu idari maliyetleri dikkate alarak makul bir ücret talep etme ya da talebi reddetme hakkına sahiptir. Bu aşamada talebin aşırı veya temelsiz olduğunu ispat külfeti tamamen veri sorumlusunun üzerindedir ve bu yükümlülük yasanın ruhuna uygun olarak dar yorumlanmalıdır.