SAYI   : ÖZDERİN 2024/RG.02

 

Bilindiği üzere 6698 sayılı Kişisel Verilerin Korunması Kanunu (“KVKK”) kişisel verilerin işlenmesinde başta özel hayatın gizliliği olmak üzere kişilerin temel hak ve özgürlüklerini korumak amacıyla 2016 yılında Resmi Gazetede yayınlanarak yürürlüğe girmiştir. KVKK hükümleri, kişisel verileri işlenen gerçek kişiler ile bu verileri tamamen veya kısmen otomatik olan ya da herhangi bir veri kayıt sisteminin parçası olmak kaydıyla otomatik olmayan yollarla işleyen gerçek ve tüzel kişiler hakkında uygulanmakla birlikte KVKK ile asıl olarak mahremiyetin korunması, veri güvenliğinin sağlanması ve kişisel verilerin sınırsız biçimde ve gelişigüzel toplanmasının, yetkisiz kişilerin erişimine açılmasının, açıklanmasının veya amaç dışı ya da kötüye kullanım sonucu kişilik haklarının ihlal edilmesinin önüne geçilmesi amaçlanmaktadır. Bu kapsamda İnsan Hakları Eylem Planı, Reformlar Eylem Planı ve 2024 – 2026 Orta Vadeli Program da dahil olmak üzere çeşitli hükümet eylem planları dahilinde KVKK’nın Avrupa Birliği Genel Veri Koruma Tüzüğü - General Data Protection Regulation (“GVKT”, “GDPR”) ile uyumlu hale getirilebilmesi amaçlanmaktadır. Bununla ilgili olarak KVKK ile ilgili değişiklikleri de içeren 7499 sayılı Ceza Muhakemesi Kanunu İle Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun (7499 sayılı Kanun), 12.03.2024 tarih ve 32487 Sayılı Resmi Gazetede yayımlanmıştır.

Değişikliklerde özetle; özel nitelikli kişisel verilerin^[1] işlenme şartları yeniden düzenlenerek veri işleme şartlarının kapsamı genişletilmiş ve kişisel verilerin yurtdışına aktarılmasına ilişkin Genel Veri Koruma Tüzüğü’ne benzer bir sistematik oluşturulmuştur. Ayrıca Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından verilecek idari para cezalarına karşı itiraz yolu değiştirilerek Sulh Ceza Hakimlikleri yerine Rekabet Kurulu kararlarında olduğu gibi İdare Mahkemeleri tarafından itirazların incelenmesi hüküm altına alınmıştır.

Özel Nitelikli Kişisel Verilerin İşlenme Şartlarına İlişkin Değişiklikler

İlgili değişiklik öncesinde özel nitelikli kişisel verilerin işlenmesinin yasak olduğu hüküm altına alınmış, hükmün devamında ise istisnalara yer verilmiş, özel nitelikli kişisel verilerden sağlık ve cinsel hayata ilişkin veri ve diğer özel nitelikli kişisel veri ayrımı yapılmıştı. Değişiklik öncesinde veri sorumluları tarafından KVKK’nın 6. maddesinde sayılan özel nitelikli verilerden sadece sağlık ve cinsel hayata ilişkin veriler kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebiliyordu. Özel nitelikli verilerden sağlık ve cinsel hayata ilişkin veriler dışında olanlar ise kanunlarda açıkça öngörülmediği takdirde yalnızca ilgili kişilerin açık rıza şartına bağlı olarak işlenebiliyordu.

Değişiklik sonrasında ise özel nitelikli kişisel verilerden sağlık ve cinsel hayata ilişkin veri ve diğer özel nitelikli kişisel veri ayrımı kaldırılarak özel nitelikli verilerin işlenmesi için belirlenen hukuka uygunluk sebeplerinde herhangi bir ayrım yapılmaksızın tüm özel nitelikli kişisel veriler için geçerli olacağı hüküm altına alınmıştır. Ayrıca özel nitelikli kişisel verilerin işlenmesinin şartları genişletilmiştir. Böylece herhangi bir ayrım yapılmaksızın özel nitelikteki kişisel verilerin işlenmesinin genel şartları olarak;

• İlgili kişi tarafından alenileştirmesi,
• Fiili imkansızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik veya sosyal hizmetler ile sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek veya diğer kar amacı gütmeyen kuruluş ya da oluşumlar, tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut ve eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,

hallerinde de açık rıza aranmaksızın işlenmesi mümkün hale gelmiştir. İşverenler, özel nitelikteki kişisel verileri iş hukuku mevzuatında açıkça düzenlemeyen bir amaçla da (örneğin yan haklar sağlamak vb.) işleyebildiğinden, olası riskleri gözeterek, çalışanlarından özel verilerinin işlenmesi için her durumda açık rıza alıyordu. Yapılan düzenlemeler neticesinde ise kapsam genişletilmiş olduğundan, yukarıdaki sayılan haller için açık rıza almaksızın da özel nitelikteki kişisel verileri işleyebilecektir.

Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Değişiklikler

Değişiklik öncesi KVKK’nın 9. maddesine göre kişisel verinin yurt dışına aktarılabilmesi için; ilgili kişinin açık rızasının bulunması veya yeterli korumanın bulunduğu ülkelere kişisel veri aktarımında KVKK’da belirtilen ilgili işleme şartlarından birinin mevcut olması, yeterli korumanın bulunmadığı ülkelere kişisel veri aktarımında ise Kurul’un izninin bulunması şartıyla Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri gerekliydi.

Yapılan değişiklik ile kişisel verilerin yurtdışına aktarımında kural olarak açık rıza alımını öngören bent kaldırılmıştır. Böylece yurtdışına veri aktarımında yeterlilik kararı, uygun güvenceler, arızi haller gibi hukuka uygun aktarım sağlamaya yönelik mekanizmalar belirlenmiştir. Son değişiklikler ile birlikte özel nitelikteki kişisel verilerin yurtdışına aktarılmasında;

• Veri sorumluları ve veri işleyenler tarafından kişisel verilerin yurt dışına KVKK md. 5 uyarınca kişisel verilerin işlenme şartı ve 6. maddesi uyarınca özel nitelikli kişisel verilerin işlenme şartlarından birinin varlığı ve aktarımın yapılacağı ülke, uluslararası kuruluş veya ülke içerisindeki sektörler hakkında Kurul tarafından verilen Yeterlilik Kararı bulunması (Kurul tarafından ilan edilecek güvenli ülkeler) halinde mümkün olacağı düzenlenmiştir. Ancak halihazırda Kurul tarafından güvenli ülkeler listesinin henüz ilan edilmemiş olduğunu belirtmek isteriz.
• Yeterlilik Kararı bulunmayan durumlarda KVKK’da öngörülen kişisel veri ve özel nitelikli kişisel veri işleme şartlarından birinin varlığı, aktarımın yapılacağı ülkede ilgili kişinin haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunması ve değişiklikte sayılan uygun güvencelerden birinin varlığı halinde kişisel verilerin aktarılabileceği eklenmiştir.

Bu uygun güvenceler ise aşağıdaki şekilde belirlenmiştir;

“a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.”

Yurtdışına veri aktarımı için uygun güvenceler altında yukarıdaki c bendinde yazılı standart sözleşmelerin imzalanması halinde veri işleyen veya veri sorumlusu tarafından 5 iş günü içerisinde Kurul’a bildirim yükümlülüğü getirilmiştir. Standard sözleşmeleri bildirim yükümlülüğünün yerine getirilmemesi durumunda ise 50.000,00 TL – 1.000.000,00 TL arasında idari para cezası uygulanması öngörülmüştür.

• Yeterlilik Kararının bulunmaması ve uygun güvencelerden herhangi birinin sağlanamaması durumunda ise arızi olmak kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel veri aktarabilir;

“a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.

ç) Aktarımın üstün bir kamu yararı için zorunlu olması.

d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.

e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.

f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.”

Mevcut uygulamada, yukarıda belirtmiş olduğumuz gibi güvenli ülkeler listesi Kurul tarafından ilan edilmemiş olduğundan, veri sorumluları sözleşmenin ifası için zorunlu olan, bir hakkın tesisi için veri işlemenin zorunlu olduğu haller de dahil olmak üzere, arızi olup olmadığı fark etmeksizin ve herhangi bir sınırlama olmaksızın, yurtdışı aktarım için her durumda açık rıza alıyordu. Yapılan değişiklik ile sayılı hallerde arızi, bir başka deyişle süreklilik arz etmeyen durumlarda^[2], kişisel veriler yurtdışına açık rıza alınmaksızın da aktarılabilecektir. Diğer bir önemli husus ise sonraki aktarımlar (onward transfers) bakımından da veri aktarım kurallarının geçerli olacağının belirtilmiş olmasıdır. Yurt dışına aktarıma ilişkin usul ve esasların ise çıkarılacak bir yönetmelik ile ayrıca düzenleneceği belirtilmektedir.

İdari Yargı Yoluna İlişki Düzenlemeler

Yapılan bir diğer değişiklik ile Kurul tarafından verilen idari para cezalarında Sulh Ceza Hakimliklerine itiraz ve başvuru yerine İdare Mahkemelerine dava açılması düzenlenmiştir. İlgili düzenleme 01.06.2024 tarihi itibarı ile yürürlüğe girecektir. Buna göre, 01.06.2024 tarihi itibarıyla Sulh Ceza Hakimlikleri önünde görülen başvurular bu hakimliklerce görülmeye devam edecektir.

Yürürlük

7499 sayılı Kanun’da, 6698 sayılı Kişisel Verilerin Korunması Kanununda değişiklik yapan hükümlerin 1 Haziran 2024 tarihinden itibaren yürürlüğe gireceği hüküm altına alınmıştır. Ancak değişiklik öncesindeki yurtdışı aktarımına ilişkin düzenlemeler değişikliğin yürürlüğe girme tarihi olan 1 Haziran 2024 tarihinden sonraki üç ay daha uygulanacak, 01.09.2024 tarihi itibarıyla değişiklik sonrası hali yürürlükte olacaktır.^[3]

Konu ile ilgili herhangi bir soru veya sorununuz olması halinde bizimle irtibat kurmanızı rica ederiz.

 

Saygılarımızla,

 

Av. Hazal ÖZEN

Dava Departmanı