Kişisel verilerin yurt dışına aktarımı; 6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 5. ve 6. maddelerindeki işleme şartlarından birinin mevcudiyeti aranarak yeterlilik kararı, uygun güvencelerin tesisi ve istisnai haller olmak üzere üç basamaklı bir sisteme dayandırılmıştır. Aktarımın ilk aşamasında hedef ülke, sektör veya uluslararası kuruluş hakkında yeterlilik kararı aranır. Yeterlilik kararının bulunmadığı hallerde ilgili kişinin haklarını kullanabilmesi ve etkili kanun yollarına başvurabilmesi koşuluyla uygun güvencelerden biri sağlanarak aktarım gerçekleştirilebilir. Bu iki basamağın uygulanamadığı durumlarda ise yalnızca kanunda öngörülen arızi nitelikteki istisnalara başvurulabilmektedir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik Kararı ve Değerlendirme Ölçütleri
6698 sayılı Kanun'un 9. maddesinin birinci fıkrası uyarınca, veri sorumluları ve veri işleyenler kanundaki işleme şartlarının bulunması halinde yeterlilik kararına dayanarak kişisel verileri yurt dışına aktarabilir. Yeterlilik kararı Kişisel Verileri Koruma Kurulu tarafından verilir ve Resmî Gazete'de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşüne başvurabilir. Yeterlilik kararı verilirken Türkiye ile veri aktarılacak merci arasındaki karşılıklılık durumu, ilgili ülkenin mevzuatı ve uygulaması, bağımsız bir veri koruma otoritesinin varlığı ile taraf olunan uluslararası sözleşmeler öncelikle değerlendirmeye alınır.
Kurul tarafından tesis edilen yeterlilik kararı en geç dört yılda bir yeniden değerlendirilir. Yapılan inceleme sonucunda veya lüzum görülen diğer durumlarda Kurul, yeterlilik kararını ileriye etkili olmak kaydıyla değiştirebilir, askıya alabilir veya yürürlükten kaldırabilir.
Yeterlilik Kararının Yokluğunda Öngörülen Uygun Güvenceler
Yeterlilik kararının bulunmadığı hallerde, ilgili kişinin aktarım yapılacak ülkede hak arama ve etkili kanun yollarına başvurma imkânının mevcudiyeti şartıyla uygun güvencelerden birinin sağlanması zorunludur. 6698 sayılı Kanun'un 9. maddesinin dördüncü fıkrası kapsamında başvurulabilecek uygun güvence yöntemleri; uluslararası sözleşme niteliğinde olmayan anlaşmalar, bağlayıcı şirket kuralları, standart sözleşme ve taahhütnameden meydana gelmektedir.
Standart Sözleşme Şartları ve Kuruma Bildirim Yükümlülüğü
Uygun güvence yöntemlerinden biri olan standart sözleşme; aktarılacak veri kategorilerini, aktarımın gayesini, alıcı ve alıcı gruplarını, veri alıcısı tarafından uygulanacak teknik ve idari tedbirleri ve özel nitelikli kişisel verilere özgü ek önlemleri düzenler. Söz konusu metin Kişisel Verileri Koruma Kurulu tarafından ilan edilir ve taraflarca üzerinde hiçbir değişiklik yapılmaksızın kullanılması şarttır.
Standart sözleşmenin aktarım taraflarınca ya da tarafları temsile ve imzaya yetkili kişilerce akdedilmesi gerekir. 6698 sayılı Kanun'un 9. maddesinin beşinci fıkrası gereğince, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi kanuni bir yükümlülüktür. Bildirim yapılırken imzalayan tarafların yetkilerini tevsik eden resmî belgelerin ve yabancı dilde tanzim edilen tüm evrakın noter onaylı çevirilerinin sunulması aranır.
Arızi Aktarım ve İstisnai Haller
Yeterlilik kararının mevcut olmadığı ve uygun güvencelerden hiçbirinin sağlanamadığı hallerde yurt dışına veri aktarımı ancak kanunda sınırlı olarak sayılan istisnai durumlarda ve işlemin arızi olması şartıyla yürütülebilir. Süreklilik göstermeyen, düzenli bir nitelik taşımayan, tek veya birkaç kez vuku bulan ve olağan faaliyet akışına dahil olmayan aktarımlar arızi kabul edilir. İstisnaların başında ilgili kişinin muhtemel riskler hakkında bilgilendirilerek vereceği açık rıza ve sözleşmenin ifası gibi haller yer almaktadır.
6698 sayılı Kanun'un 9. maddesinin yedinci fıkrası uyarınca, arızi aktarım halleri arasında bulunan açık rıza ve sözleşmenin ifasına dair bentler, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetleri bakımından uygulanamaz.
Sonraki Aktarımlar ve Özel Koruma Rejimi
Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ile uluslararası kuruluşlara yapılacak aktarımlar bakımından da Kanun'da yer alan güvencelerin sağlanması ve 9. madde hükümlerinin eksiksiz tatbiki aranır. Bununla birlikte, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya ilgili kişinin menfaatinin ciddi şekilde zarar göreceği hallerde veriler ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir. Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan özel düzenlemeler de saklıdır.
6698 sayılı Kanun'un 9. maddesinin on birinci fıkrası uyarınca, yurt dışına veri aktarımına ilişkin tüm usul ve esasların çıkarılacak yönetmelikle düzenleneceği hüküm altına alınmıştır.
Yeterlilik kararı ne kadar sürede bir gözden geçirilir?
Kişisel Verileri Koruma Kurulu tarafından verilen yeterlilik kararı en geç dört yılda bir yeniden değerlendirilir ve gerek görülmesi halinde ileriye etkili olarak değiştirilebilir, askıya alınabilir veya kaldırılabilir.
Standart sözleşmenin Kuruma bildirim süresi ne kadardır?
Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur.
Hangi veri aktarımları arızi niteliktedir?
Düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde yer almayan veri aktarımları arızi kabul edilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy