Kişisel verilerin yurt dışına aktarılması
KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI
Giriş
Kişisel verilerin yurt dışına aktarımı, bireylerin özel hayatlarının gizliliği ile veri güvenliğinin korunması bakımından kritik öneme sahiptir. Bu kapsamda getirilen düzenlemeler, bir yandan ilgili kişilerin temel hak ve özgürlüklerini güvence altına almayı, diğer yandan da uluslararası veri akışlarının hukuka uygun ve öngörülebilir bir çerçevede yürütülmesini amaçlamaktadır.
2024 yılında 7499 sayılı Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (‘‘KVKK’’ ve/veya ‘‘Kanun’’) 9. maddesinde yapılan değişiklikler ve akabinde 10.07.2024 tarihli ve 32598 sayılı Resmî Gazete’de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (‘‘Yönetmelik’’) ile beraber, yurt dışına aktarım rejimi Avrupa Birliği Genel Veri Koruma Tüzüğü’ne (GDPR) uyum hedefi doğrultusunda yeniden yapılandırılmıştır. 01.09.2024 itibarıyla geçiş süreci tamamlanmış; açık rızaya dayalı, sürekli nitelikteki aktarımlar yerine yeterlilik kararı – uygun güvenceler – arızi/istisnai haller esasına dayalı üç kademeli bir sisteme geçilmiştir.
Kişisel Verilerin Yurt Dışına Aktarılabilme Koşulları
KVKK madde 9 ve anılan Yönetmelik uyarınca, kişisel verilerin yurt dışına aktarılabilmesi için önce Kanun’un 5 ve 6. maddelerinde yer alan işleme şartlarından en az birinin bulunması, ardından da aşağıdaki üç yoldan birinin karşılanması gerekmektedir:
Yeterlilik Kararının Bulunması
Kanun’un 5. ve 6. maddelerinde belirtilen şartlardan biri sağlanmışsa, öncelikle veri aktarımı yapılacak ülke, bu ülkedeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararının olup olmadığı kontrol edilmelidir. Yeterlilik kararı ülkenin tamamı yerine belirli sektörler için de verilebilecektir. Örneğin, otomotiv sektöründe faaliyet gösteren bir yabancı ülkeye yönelik yeterlilik kararı alınarak ticari iş birliklerinin kolaylaştırılması sağlanabilir. Böylece, söz konusu ülke/ sektör veya kuruluşa yapılacak veri aktarımları, ek bir güvence mekanizmasına ihtiyaç duyulmaksızın gerçekleştirilebilmektedir.
Uygun Güvencelerin Bulunması
Yeterlilik kararlarının bulunmadığı durumlarda, Kanun’un 5. ve 6. maddelerinde belirtilen şartlardan biri sağlandığı sürece, aktarılacak ülkede hakların korunması ve etkili kanun yollarının bulunması koşuluyla uygun güvencelerin (anlaşma, bağlayıcı şirket kuralları, standart sözleşmeler, yazılı taahhütname) bulunması koşulu ile yurt dışı aktarımı yapılması mümkündür:
- Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları ile yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar arasında imzalanan ve Kurul tarafından aktarım için uygun bulunan anlaşmalar,
- Ortak ekonomik faaliyette bulunan teşebbüs gruplarında, Kurul tarafından onaylanmış bağlayıcı şirket kuralları,
- Kişisel Verileri Koruma Kurulu (‘‘Kurul’’) tarafından ilan edilen içerikteki standart sözleşmeler,
- Yeterli korumayı sağlayacak hükümlere yer veren ve Kurul’un izniyle geçerlilik kazanan yazılı taahhütnameler
İstisnai (Arızi) Aktarım Hallerinin Bulunması
Yeterlilik kararı ve uygun güvencelerden herhangi birinin bulunmadığı durumlarda, arızi olarak (tek seferlik veya süreklilik arz etmeyen) yapılacak aktarımlar için Kanun’un 9. Maddesi 6. Bendinde yer alan istisnai hallerden birinin varlığı halinde veri aktarımı yapılabilir.
7499 sayılı Kanun, kamu kurum ve kuruluşlarının faaliyetlerinde bazı istisnalara da yer vermiştir. Ayrıca, diğer kanunlardaki hükümler ve Türkiye’nin taraf olduğu uluslararası sözleşmeler de veri aktarımında göz önünde bulundurulmalıdır.
KVKK madde 5 ve 6 Kapsamında Kişisel Verilerin İşlenme Şartları
Kişisel verilerin yurt dışına aktarılması konusunda sadece Kanun’un 9. Maddesine değil; kişisel verilerin işlenme şartları ve özel nitelikli kişisel verilerin işlenme şartlarını düzenleyen madde 5 ve 6’ya da bakılması gerekmektedir. İlgili maddelerde belirtilen şartlardan birinin bulunması durumunda ve diğer şartların (yeterlilik kararı, uygun güvence) sağlanması şartıyla kişisel veriler yurt dışına aktarılabilir. Bu noktada, yurt dışına aktarımın gündeme gelmesi halinde öncelikli olarak Kanun’un 5 ve 6’ncı maddelerini incelemekte yarar vardır.
Sonuç ve Değerlendirme
Kişisel verilerin yurt dışına aktarımı, hem bireysel hak ve özgürlüklerin korunması hem de uluslararası ticaret, dijital hizmetler ve teknoloji odaklı iş modellerinin sürdürülebilirliği açısından stratejik nitelikte bir konudur. 2024 yılındaki değişikliklerle birlikte Ocak, 2025’de yayınlanan Kişisel Verilerin Yurt Dışına Aktarılması Rehberiyle de, Türkiye’de yurt dışına veri aktarımına ilişkin rejim; yeterlilik kararları, uygun güvenceler ve arızi/istisnai haller ekseninde daha öngörülebilir, risk temelli ve GDPR ile uyumlu bir yapıya kavuşturulmuştur.
Saygılarımızla,
Atabay Hukuk Bürosu