Kişisel Verilerin Korunması Mevzuatı Kapsamında Kişisel Verilerin Yurtdışına Aktarılması

SAYI   : ÖZDERİN 2023/4

 

Günümüz dünyasında ticaret ve uluslararası ilişkilerin gelişimi, iş birlikleri, iletişim kolaylığı, teknik imkanlar neticesinde pek çok yol ve şekilde kişisel verilerin aktarımı yapılmakta olup bu aktarımları Kanun Koyucu ikili bir sınıflandırma ile değerlendirir. 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) md. 8[1] ile kişisel verilerin üçüncü bir tarafa yurtiçinde aktarımını ve md. 9 ile yurtdışına aktarımını hüküm altına alınmıştır.

1. Genel Olarak;

Kişisel verilerin yurtdışına aktarımı ele alınmadan önce genel olarak aktarıma ilişkin bazı noktalara değinmekte yarar vardır. Aktarım şartlarını düzenleyen maddeler incelendiğinde öncelikle veri aktaran tarafların, aktarım yapılırken gerekli teknik ve idari tedbirleri almasının arandığı görülür. Bu noktada veri sorumlusu, işlemiş olduğu kişisel verileri herhangi bir 3.tarafa aktarmadan önce Kanun ve Kişisel Verilerin Korunması Kurulu (“Kurul”) tarafından bu hususta çıkarılmış teknik ve idari tedbirler rehberlerinde[2] öngörülen önlemleri almak zorundadır. Bu anlamda;

• Taraflar arasında şartların somut bir şekilde belirlendiği veri aktarım sözleşmesi akdedilmelidir. Bu sözleşme ile yapılacak aktarımların amaç, sebep, yöntemi belirlenmeli ve sınırları çizilmelidir. Amacı aşan aktarımlar yapılmayacağı, amaç dahlinde aktarılacak verilerin neler olduğu, hukuka aykırı bir erişim olduğu takdirde taraflar arasındaki iletişim yöntemleri de bu sözleşme ile belirlenmelidir.
• Aktarılacak kişisel verilerin hukuka uygun bir şekilde işlendiği de kontrol edilmelidir. Bir kişisel verinin herhangi bir tarafa aktarılması gerekliliği doğduğunda, veri sahiplerinin aktarım hususunda aydınlatılmış olduklarının, açık rızalarının hukuka uygun şekillerde alındığının önemle ve öncelikle değerlendirmesi gerekir.
• Kanun’un 12. maddesi[3] uyarınca veri aktarımı yapılan taraflar arasında birlikte sorumluluk bulunur. Bu sebeple, veri aktarılacak olan tarafın bu verileri nerelerde depolayacağı, başkaca herhangi bir tarafa aktarıp aktarmayacağına dair sınırlamalar ve şartlar belirlendikten sonra kişisel verileri muhafaza etmekte olduğu yerlerde hukuka aykırı erişimlere karşı gerekli güvenlik önlemlerin alınıp almadığını, veri aktarım şartlarına uygun hareket edilip edilmediği de zaman zaman denetlemelidir.

2. Kişisel Verilerin Yurtdışına Aktarılması

Yukarıda genel olarak bahsedilen hususlardan sonra bülten konumuz olan kişisel verilerin yurtdışına aktarılmasına dair 9. madde incelendiğinde;

1. Öncelikle -veri işleme şartlarında olduğu gibi- verileri aktarılacak olan veri sahibi ilgili kişinin yurtdışına aktarıma dair açık rızasının aranması süreç içerisinde ilk basamaktır. Burada ver sahibi ilgili kişinin yurtdışı aktarımına dair Kanun’un aradığı şartlarda açık rızası bulunduğu takdirde eğer alt maddede bahsedecek olduğumuz genel İlkelere bir aykırılık yoksa aktarım için bir sakınca kalmayacaktır. Belirtmek isteriz ki bir kişiyi belirgin kılan herhangi bir kişisel verinin (ad-soyad dahi olsa) sadece bulut hizmetleri gereği yurtdışındaki bir sisteme kaydedilecek olması dahi yurtdışına aktarım sayılarak, ilgili kişinin bu hususta açık rızası aranacaktır. Açık rızanın olmaması halinde aktarım ancak aşağıda değinilen istisnai hallerden birinin varlığı ve aktarım yapılacak ülkenin güvenli listede yer alması halinde hukuka uygun olacak aksi halde Kurul’dan izin alınması gerekliği aranacaktır.
2. İlgili kişinin açık rızasının aranmadığı veya bulunmadığı durumlarda Kanun’un 5. ve 6. Maddesindeki istisnai hallerin varlığının olup olmadığı araştırılmalıdır. 5.[4] ve 6.[5] Maddedeki istisnai haller genel olarak meşru menfaatler, sözleşmenin ifası, kanunlarda açıkça öngörülmesi vb. durumlar olarak belirlenmiştir.

b.1. 5. ve 6. maddedeki istisnai hallerden birinin varlığı halinde, ayrıca veri aktarılacak ülkeye dair de birtakım şartların da varlığı aranır. Buna göre, kişisel veri aktarımı yapılacak olan ülkede; yeterli korumanın bulunması (Yeterli korumanın bulunduğu ülkeler de Kurul tarafından ilan edilecek bir liste ile belirlenecektir.) ve yeterli güvencenin sağlanması halinde kişisel verilerin yurtdışına aktarılması mümkündür. Veri aktarımının yapılacağı ülkede yeterli korumanın bulunmaması halinde (Kurul tarafından güvenli kabul edilmeyen ülkeler) ise, yeterli korumanın ilgili devletçe yazılı olarak taahhüt edilmesi ve Kurul’un izninin bulunması beraber aranacak ve bu şartlar sağlanırsa veri aktarımı yapılabilecektir.

b.2. Kanunun 5. ve 6. Maddedeki istisnai hallerden birinin söz konusu olmaması halinde ise verinin yurtdışına aktarılması mümkün olmayacaktır.

Yurtdışına veri aktarımına ilişkin yukarıda detaylıca açıklanan yol haritasını aşağıda yer verilen tablo[6] üzerinden de incelemekte yarar vardır;

3. Kişisel Verilerin Yurtdışına Aktarılmasına İlişkin Temel İlkeler;[7]

Kişisel verilerin aktarımı sırasında Kanun ile öngörülenlerin dışında hukukun evrensel işleyişinde kabul gören temel ilkelere de sadık kalınması gerekmektedir. Örnek vermek gerekirse herhangi bir kişisel veri için veri sahibinin dürüstlük kuralına aykırı şekilde alınan rızası ile yapılan bir aktarım yalnızca rızasının alındığı kabulü ile hukuka uygun hale gelmeyecektir. Bu sebeplerle temel ilkeleri de değinmekte yarar görülmüştür;

• Veri aktarımının hukuk ve dürüstlük kurallarına uygun şekilde gerçekleştirilmelidir. Bir başka değişle süreç içerisinde şeffaflığın sağlanması, verinin elde edildiği safhadan aktarımın neticelenmesi, öncesinde veri sahibinin açıkça bilgilendirilmesi gibi tüm aşamalarda veri sahibini aydınlatmak, hukuka veya dürüstlük kuralı aykırı herhangi bir hal yaratmamak gerekir. Nitekim kişisel verilerin aktarılmasının Kanun ile düzenlenmesi temel hukuk ilkeleri ve kurallarından ayrık düşünülmesi sonucunu doğurmayacaktır.
• Veri aktarımı sırasında amaç hukuka uygun, belirli ve açık olmalı, bu amaca sadık kalınmalıdır. Eş deyişle veri aktarımı yapılırken amacın yalnızca belirlenebilir olması ile yetinilmemeli, belirli ve farklı neticeler çıkarılmayacak şekilde açıklık sağlanmalı ve işlem sırasında da bu amaç sınırları dâhilinde kalınarak mümkün olan en az miktarda veri aktarılmalıdır.
• Aktarımı sağlanacak olan verinin gerçeği yansıttığından emin olunmalıdır. Burada gerçeği yansıtma, verinin doğruluğu ve güncelliğini ifade edecek olup sağlanmaması halinde veri aktarımından söz edilmemesi, verinin gerçeğe uygunluğu sağlanması gerekmektedir.
• Süreç içerisinde veri güvenliği sağlanmalıdır. Günümüz teknolojisinde aktarım sırasında 3. kişilerin verilere ulaşımı son derece kolay olacaktır. Bu sebeple aktarım sırasında yeterli teknik desteğin sağlanması ve güvenliğin temin edilmesi son derece önemlidir.
• Veri aktarımı tamamlandıktan sonra verilerin sınırlı süre ile muhafaza edilmesi de şüphesiz sürecin önemli bir noktasıdır. Veri Sorumluları Sicili Hakkında Yönetmelik[8] hükümlerine sadık kalınması ve öngörülen sürenin tamamlanması halinde de verilerin silinmesi, yok edilmesi veya anonim hale getirilmesi atlanmaması gereken bir husustur.

4. Sonuç;

Özetle, global yapıdaki şirketlerin, altyapı bulut sistemleri/serverı yurtdışında bulunan şirketlerin veya ana faaliyeti ihracat-ithalat olan şirketler başta olmak üzere yurtdışına veri aktaran tarafların genel olarak yazılı olan hususlarla, veri aktarılacak olan ülkeye dair özel şartlara her zaman dikkat etmesini, Kurul tarafından belirlenen rehberlerde öngörülen önceki sayfada yer verilmiş tablonun[9] ve yine kurula ait olan kişisel verilerin yurtdışına aktarılmasına ilişkin yayınlar[10] ile temel ilkelerin her zaman dikkate almasını önemle tavsiye ederiz.

Konu ile ilgili herhangi bir soru veya sorununuz olması halinde bizimle irtibat kurmanızı rica ederiz.

 

Saygılarımızla,

 

Av. Senem ÇETİN                              Stj. Av. Melisa Dilan YETGİN

Danışmanlık Departmanı Yöneticisi               Dava Departmanı