Özetle
Veri Taşınabilirliği (Data Portability), bireylerin kişisel verilerini farklı hizmet sağlayıcıları arasında taşıma hakkıdır. GDPR ve diğer modern privacy yasaları altında temel kullanıcı haklarındandır.
Data Portability Nedir?
Data portability, kullanıcıların: Kendi verilerinin bir kopyasını yapılandırılmış, yaygın kullanılan, makine tarafından okunabilir formatta alabilmesi (JSON, CSV, XML), Verilerini başka bir hizmete kolayca aktarabilmesi, ve Vendor lock-in’den kaçınabilmesi. GDPR Article 20 bu hakkı güvence altına alır ve şirketlerin bu talepleri 1 ay içinde karşılamasını zorunlu kılar.
Data Portability’nin Önemi:
Data portability rekabet ve tüketici hakları için önemlidir: Vendor lock-in’i engeller (Facebook’tan başka platforma geçebilme), Innovation’ı destekler (kullanıcılar yeni servislere kolayca geçebilir), Privacy by design’ı teşvik eder, Open standards’ı destekler, Pazar gücünü dengeler (Big Tech monopol pozisyonu zayıflar), ve User empowerment sağlar.
Uygulama Örnekleri:
Pratik uygulamalar: Google Takeout: tüm Google verilerinizi indirme, Apple Privacy Hub: Apple verisi indirme, Facebook Download Your Information, Twitter (X) data export, Banking: Open Banking initiative (PSD2): finansal veri taşıma. Hâlâ standart formatlar konusunda fragmentation var: JSON yaygın ama universal değil.
Data Portability Zorlukları:
Şirketler için zorluklar: Format standardization eksikliği, Privacy of third parties (örneğin sizin mesajlarınızda diğer kişilerin verisi de var), Cost of implementation (özellikle eski sistemler için), Security risks (toplu data transfer interceptable), ve Genuine portability vs theoretical portability ayrımı. Çoğu şirket minimum compliance yapar: gerçek interoperability nadirdir.
Uygulama notu: GDPR m. 20’nin yapılandırılmış-makine okunur format şartı, ürün tarafında ihraç (export) özelliğinin tasarım girdisidir: kurumsal sözleşmelerde fesih sonrası veri teslim formatı ve süresi yazılmadığında, taşınabilirlik hakkı pratiği bir destek bileti kuyruğuna dönüşür.
GDPR m. 20’nin kapsamı
GDPR m. 20 yalnızca rızaya veya sözleşmeye dayanılarak işlenen verilere uygulanır; meşru menfaat veya hukuki yükümlülük dayanağıyla işlenen veriler kapsam dışındadır. Hak, ilgili kişinin kendisinin sağladığı verileri kapsar; veri sorumlusunun çıkarım yoluyla türettiği veriler kapsamda değildir. Kâğıt kayıtlar değil, yapılandırılmış dijital veriler kapsama girer. Teknik olarak mümkün olduğu hâllerde veriler, talep üzerine doğrudan başka bir veri sorumlusuna aktarılmalıdır.
Uygulamaya geçirme adımları
Etkili bir taşınabilirlik süreci; kapsama giren verilerin belirlenmesini, standart dışa aktarım formatlarının tanımlanmasını, dışa aktarım iş akışlarının otomatikleştirilmesini, gerekli üst verilerin (metadata) eklenmesini ve verinin kalitesi ile eksiksizliğinin sağlanmasını gerektirir. Kuruluşlar ellerinde tuttukları verileri (kapsam içinde) kendi işlemelerinden türettikleri verilerden (çoğunlukla kapsam dışında) ayırmalıdır.
Sektörel taşınabilirlik çerçeveleri ve rekabet hukuku
Geçiş maliyetlerinin yüksek olduğu sektörlerde taşınabilirlik hakkının etkisi büyüktür. Açık bankacılığın yanı sıra telekomünikasyonda numara taşıma ve sağlık kayıtları, genel gizlilik hukukunun ötesinde kendine özgü taşınabilirlik çerçevelerine sahiptir. Taşınabilirliği kısıtlayan rekabete aykırı uygulamalar (kapalı formatlar veya teknik engeller) hem gizlilik hem rekabet hukuku açısından düzenleyici incelemeyle karşılaşır.
Kaynak. (AB) 2016/679 sayılı Genel Veri Koruma Tüzüğü (GDPR).