Kişisel Verilerin Korunması Kanunu’nda önemli değişiklikler

Değişiklik öncesindeki durum ve uygulamada yaşanan problemler nelerdi?

Her ne kadar Kanun’da, verilerin işlenmesi için öngörülen hukuki şartların mevcudiyeti halinde yeterli korumanın bulunduğu ülkelere aktarımın veri sahibinin açık rızası alınmaksızın yapılabileceği düzenlenmekteyse de yeterli korumanın bulunduğu ülkeler Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından bu vakte kadar ilan edilmemişti. Bu da yurtdışına veri aktarmak isteyen veri sorumlularını şu iki yöntemden birini seçmek durumunda bırakıyordu: (i) veri sahiplerinin tek tek açık rızasının alınması ve (ii) Türkiye’deki ve veri aktarımının yapılacağı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmesi ve taahhütnameye Kurul’un izninin alınması. Bununla birlikte değişiklik gerekçesinde de belirtildiği üzere bugüne kadar Kurul’a yalnızca seksen civarı başvuru yapılmış olup Kurulca bunlardan çok azına izin verilmiştir. Neticeten uygulamada veri sorumlularının yurtdışına veri aktarabilmek için tek seçeneği veri sahiplerinden açık rıza almak olmuştu.

Kanun’da yapılan değişiklikler ile yurtdışına veri aktarımı şartları kolaylaştırılmıştır. Ayrıca yurtdışına aktarımın usul ve esaslarını düzenleyecek bir yönetmelik çıkartılması öngörülmüştür.

Kişisel verilerin yurtdışına aktarımı şartlarında neler değişti?

Öncelikle Kurul’a yalnızca aktarımın yapılacağı ülke hakkında değil, uluslararası bir kuruluş veya ülke içerisindeki belirli bir sektör özelinde de yeterli korumanın bulunduğuna ilişkin karar verme yetkisi tanınmıştır (yeterlilik kararı). Örneğin Türkiye’deki otomotiv sektörünün yoğun olarak ticari ilişki kurduğu bir yabancı ülkenin tamamı yerine yalnızca o ülkedeki otomotiv sektörü bakımından yeterlilik kararı verilmesi mümkün hale gelmiştir. Kurul vermiş olduğu yeterlilik kararını en geç dört yılda bir yeniden değerlendirecek ve gerekli görmesi halinde kaldırabilecek, askıya alabilecek veya değiştirebilecektir.

Yeterlilik kararının bulunması halinde yurtdışına veri aktarımı

Kanun’un 5. maddesindeki (özel nitelikli kişisel veriler için 6. madde) hukuki işleme şartlarının mevcudiyeti halinde Kurul’un yeterlilik kararı vermiş olduğu ülke, uluslararası kuruluş ve ülke içindeki belirli bir sektöre veri sahibinin açık rızası alınmaksızın kişisel veriler aktarılabilecektir.

Yeterlilik kararı bulunmayan hallerde yurtdışına veri aktarımı

Yeterlilik kararının bulunmadığı hallerde veri sorumluları, aşağıdaki şartların birlikte sağlanması koşuluyla veri sahibinin açık rızası alınmaksızın yurtdışına veri aktarabilecektir.

• Kanun’un 5. maddesindeki (özel nitelikli kişisel veriler bakımından 6. maddesindeki) hukuki işleme şartlarından birinin mevcudiyeti
• Aktarımın yapılacağı ülkede de veri sahibinin haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartıyla, ve
• Aşağıda sayılan uygun güvencelerden birinin sağlanması durumunda
  • Kamu kurumları arasında yapılacak veri aktarımları; Türkiye’deki kamu kurumu veya kamu kurumu niteliğindeki meslek kuruluşu ile yabancı ülkedeki kamu kurumu veya uluslararası kuruluş arasında bir iş birliği protokolü imzalanması ve yurtdışına veri aktarımı için Kurul’un izninin alınması halinde,
  • Grup şirketleri arasında yapılacak veri aktarımları; şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına dair hükümler içeren bağlayıcı şirket kurallarının mevcut olması ve bunların Kurulca onaylanması halinde,
  • Türkiye’deki ve yabancı ülkedeki veri sorumluları arasında Kurulca ilan edilen standart sözleşmenin imzalanması halinde; Kurul’dan ayrıca izin almaya gerek olmaksızın yurtdışına kişisel veri aktarılabilecektir.
  • Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı taahhütnamenin imzalanması halinde ise; ayrıca Kurul’dan izin almak şartıyla yurtdışına veri aktarımı yapılabilecektir.
    
    

İstisnai durumlar

Yeterlilik kararı bulunmayıp yukarıda sayılan uygun güvencelerden birinin de sağlanamadığı bazı durumlarda, tek veya birkaç sefere mahsus olmak şartıyla ve süreklilik taşımayacak şekilde yurt dışına veri aktarılabilecektir. Ancak bu türden bir veri aktarımı yalnızca aşağıdaki hallerden birinin varlığında söz konusu olabilecektir:

• İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.
• Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebiyle alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
• Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.
• Aktarımın üstün bir kamu yararı için zorunlu olması.
• Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
• Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.
  
  

Mevcut uygulamaya (açık rızaya dayalı yurtdışına veri aktarımı) ne kadar süreyle daha devam edilebilecektir?

1 Eylül 2024 tarihine kadar önceden alınmış veya Kanun değişikliğinden sonra alınacak açık rızaya dayanarak yurtdışına veri aktarılmasına devam edilebilecektir.