Kişisel Veri Tanımı ve Hukuki İşleme Dayanakları
6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamında kişisel veri, kimliği belirli veya belirlenebilir gerçek kişilere ait her türlü bilgiyi kapsamakta olup tüzel kişilere ilişkin bilgileri içermez. Birleşme ve devralma işlemlerinde bu veriler; veri sahibinin açık rızası bulunması, işlemenin kanunda açıkça yer alması ya da rızasını beyan edemeyecek halde bulunan yahut rızasına hukuki geçerlilik tanınmayan kişinin kendisinin veya bir başkasının hayatı ile beden bütünlüğünü korumak için zorunluluk arz etmesi hallerinde işlenebilir ve üçüncü kişilere devredilebilir. Ayrıca verinin bir sözleşmenin kurulması veya ifasıyla doğrudan bağlantılı olması, veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunluluk taşıması, bizzat ilgili kişi tarafından alenileştirilmiş bulunması, bir hakkın tesisi, kullanılması ya da korunması için gerekmesi veya ilgilinin temel hak ve özgürlüklerine halel getirmemek kaydıyla meşru menfaat gereği zorunlu olması hallerinde de aktarım mümkündür.
Açık Rıza ve Sözleşme Şartlarının Uygulanabilirliği
Açık rızanın her an geri alınabilmesi riski bulunmaktadır. Bu nedenle açık rıza, birleşme ve devralma süreçlerinde ancak çok az kişinin katıldığı ve bu kişilerin planlanan işlemden haberdar olduğu durumlarda kullanılabilir. Diğer taraftan, hisse devri gibi birleşme ve devralma işlemlerinde sözleşmenin tarafı esasen kişisel verileri aktarılan ilgili kişi olmadığından, bir sözleşmenin kurulması ya da ifası gerekçesi sınırlı bir uygulama alanına sahiptir.
Veri Odası Güvenliği ve İnceleme Sürecinde Çalışan Verileri
Birleşme ve devralma incelemelerinde veri odasına erişim sınırlı bir biçimde sadece belgeleri gerçekten bilmesi ve değerlendirmesi gereken kişilere açık tutulmalı, bu kişilerle gizlilik anlaşması yapılmalıdır. İşlem gerçekleşmeden önce hedef şirketteki çalışanların verilerinin alıcı şirkete aktarılması gerektiğinde, aktarımın hukuka uygun yapılabilmesi için çalışanların aydınlatma yükümlülüğü kapsamında önceden bilgilendirilmiş olmaları şarttır. Meşru menfaat gerekçesine dayalı veri işleme faaliyetleri denge testine tabi tutulmalı, veri sahibinin temel hak ve özgürlükleri korunmalı, veriler amaçla orantılı ve ölçülü işlenmeli, kapanış öncesinde değerlendirme için gerekmeyen veriler aktarılmamalıdır.
Veri Aktarımında Ölçülülük ve Özel Nitelikli Kişisel Veriler
Veri transferi amaca uygun ve ölçülü olmalı, gereğinden fazla veri içermemelidir. Çalışan verilerinin aktarılmasında kişisel verilerin bir kısmı silinmeli, anonimleştirilmeli ve aktarım alıcının geçerli ve doğru bir değerlendirme yapması için yeterli kişisel veriyle sınırlandırılmalıdır. Özel nitelikli kişisel verilerin devrinde ise ilgili kişinin rızası aranmakta ve veri sorumluları tarafından 6698 sayılı Kanun'un belirlediği yeterli önlemlerin alınması gerekmektedir.
Yurt Dışına Veri Aktarımı Koşulları
Yabancı ülkenin kişisel verilerin korunması bakımından yeterli korumaya sahip olması durumunda Kanun'da sayılan genel hukuki gerekçeler aktarım için kullanılabilir. Yabancı ülkenin yeterli korumaya sahip olmadığı veya güvenli ülke listesi ile veri sahibinin açık rızasının bulunmadığı hallerde ise birleşme ve devralmayla ilgili veri aktarımı, yurt dışındaki veri sorumlusunun Kişisel Verileri Koruma Kurumu'na yeterli koruma sağlayacağını yazılı olarak taahhüt etmesi ve Kurum'un buna izin vermesi yoluyla gerçekleştirilebilir.
Kapanış Aşaması ve Müzakerelerin Başarısızlığı
Kapanış aşamasında devralınan işletmeyle ilgili tüm bilgiler ve kişisel veriler alıcının uhdesine geçtiğinde veri sahibinin transferden haberdar edilmesi, gerçekleşen kapanış ile yeni veri işleme usulü hakkında bilgilendirilmesi zorunludur. Birleşme ve devralma müzakerelerinin olumsuz sonuçlanması ve işlemin tamamlanamaması durumunda ise verilere erişim izni verilen kişilerin inceleme sonuçları dahil olmak üzere elde ettikleri tüm verileri imha etmeyi kabul etmeleri gerekmektedir.
Sicil Kaydı, Envanter ve İdari Yükümlülükler
Veri Sorumluları Sicili'ne kayıt yükümlülüğünden, yıllık çalışan sayısı 50'nin ve yıllık mali bilanço toplamı 25 milyon TL'nin altında kalan, ana faaliyeti özel nitelikli veri işleme olmayan gerçek ya da tüzel kişiler muaf tutulmaktadır. Sicile kayıt zorunluluğu bulunan veri sorumlularının ise veri kategorileri, işleme amaçları, aktarım yapılan alıcı grupları, azami saklama süreleri, yurt dışına aktarılacak veriler ve alınan teknik ile idari tedbirleri kapsayan bir kişisel veri işleme envanteri hazırlaması gerekir. Ayrıca tüm şirketlerin veri saklama ve imha politikası oluşturması zorunludur. Türkiye'de yerleşik olan veri sorumluları Kurumla iletişim adına irtibat kişisi belirlerken yerleşik bulunmayanların Türk vatandaşı bir gerçek kişi veya tüzel kişi temsilci ataması şarttır. Kapanış sonrasında sicile daha önce sunulan bilgilerde değişiklik olması halinde bu durumun yedi gün içinde bildirilmesi gerekmektedir.
Hukuki, İdari ve Cezai Yaptırımlar
Kişisel verilerin korunması kurallarının ihlali halinde zarar gören kişiler mahkemeler nezdinde zararlarının tazminini talep edebilir. Hukuka aykırı veri işlenmesi ile veri güvenliği yükümlülüklerinin yerine getirilmemesi durumunda veri sorumluları hakkında idari para cezaları uygulanabilir. Kuralların ihlali belirli şartlar altında hapis cezası gerektiren cezai sorumluluk doğurabilir. Cezai sorumluluk tüzel kişilere esasen uygulanmayıp tüzel kişiler hakkında güvenlik tedbirlerine hükmedilmekte, suçu işleyen gerçek kişiler cezai yönden sorumlu tutulmaktadır.
Veri odasına erişim kimlerle sınırlandırılmalıdır?
Veri odasına erişim yalnızca belgeleri bilmesi ve değerlendirmesi gereken kişilerle sınırlandırılmalı ve bu kişilerle gizlilik anlaşması imzalanmalıdır.
Müzakereler başarısız sonuçlanırsa inceleme verileri ne yapılır?
Görüşmelerin olumsuz sonuçlanması ve devrin gerçekleşmemesi halinde, verilere erişimi sağlanan kişilerin inceleme sonuçları da dahil elde ettikleri tüm verileri imha etmeyi kabul etmeleri gerekir.
Çalışan verileri alıcı şirkete aktarılırken hangi tedbirler alınmalıdır?
Çalışanların aydınlatma yükümlülüğü kapsamında önceden bilgilendirilmesi, aktarımın değerlendirme amacıyla sınırlı ve ölçülü tutularak gereksiz verilerin devredilmemesi, kişisel verilerin bir kısmının silinmesi ya da anonimleştirilmesi ve meşru menfaat gerekçesine dayanılması halinde denge testinin yapılması gerekmektedir.
Kapanış sonrası sicil bildirimi kaç gün içinde yapılmalıdır?
Hedef şirketin sicil kaydının bulunması ve kapanış işlemi sonrasında tescil edilen bilgilerde değişiklik meydana gelmesi halinde, bu değişikliklerin yedi gün içerisinde Veri Sorumluları Sicili'ne bildirilmesi gerekmektedir.
Özel nitelikli kişisel verilerin devrinde hangi kural geçerlidir?
Özel nitelikli kişisel verilerin devrinde ilgili kişinin rızası aranmakta ve veri sorumluları tarafından Kanun'un öngördüğü yeterli önlemlerin alınması gerekmektedir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy