Yurt dışına veri aktarımı için KVKK m. 9'da düzenlenen yeni 'arızi aktarım' hallerinden olan, 'ilgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi' (m. 9/6-a) ne anlama gelmektedir? Bu rızanın, kanunun genel sistematiğindeki açık rızadan farkı nedir?

Bu hüküm, ne yeterlilik kararı ne de uygun güvencelerin (BCR, SCC vb.) bulunduğu durumlarda, sürekli ve sistematik olmayan, 'arızi' (occasional/derogatory) veri aktarımları için bir istisna sunmaktadır. Bu rızanın, KVKK m. 5/1'deki genel açık rızadan farkı, çok daha nitelikli ve spesifik olmasıdır. Veri sorumlusu, bu rızayı almadan önce ilgili kişiyi, aktarımın yapılacağı ülkede yeterli koruma bulunmamasından ve uygun güvenceler sağlanamamasından kaynaklanan 'muhtemel riskler' hakkında açık ve anlaşılır bir şekilde bilgilendirmek zorundadır. İlgili kişi, bu riskleri bilerek ve kabul ederek rıza vermelidir. Bu, GDPR'daki 'bilgilendirilmiş onam' (informed consent) ilkesinin bir yansımasıdır ve standart bir açık rıza metninden daha detaylı bir aydınlatma ve bilinçli bir irade beyanı gerektirir.