Kişisel Verilerin Yurt Dışına Aktarımında Genel Rejim
Kişisel verilerin sınır ötesine aktarılmasına ilişkin usul ve şartlar, 10.07.2024 tarih ve 32598 sayılı Resmî Gazete'de yayımlanan Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul Ve Esaslar Hakkında Yönetmelik ile yürürlüğe girmiştir. İlgili mevzuat uyarınca veri sorumluları ve veri işleyenler aktarım faaliyetlerini öncelikli olarak bir yeterlilik kararının varlığına dayandırmak zorundadır. Yeterlilik kararının bulunmadığı hallerde Yönetmeliğin 10 uncu maddesinde sayılan standart sözleşme, bağlayıcı şirket kuralları veya taahhütname gibi uygun güvencelerden birinin tesis edilmesi gerekmektedir. Yeterlilik kararının ve uygun güvencelerin bulunmadığı durumlarda ise açık rıza ya da sözleşmenin ifası gibi istisnai hallere dayalı aktarım mekanizması işletilmektedir.
Yeterlilik Kararı ve Periyodik Gözden Geçirme Usulü
Kişisel verilerin sınır ötesine aktarılmasında Kişisel Verileri Koruma Kurulu, yabancı bir ülkenin, ülke içerisindeki münferit sektörlerin veya bir uluslararası kuruluşun yeterli düzeyde koruma temin ettiğini karara bağlayabilir. Tesis edilen yeterlilik kararı azami dört yılda bir yeniden değerlendirmeye tabi tutulur. Yapılan inceleme neticesinde Kurul, söz konusu kararı ileriye etkili sonuç doğuracak biçimde değiştirebilir, askıya alabilir ya da yürürlükten kaldırabilir.
Uygun Güvenceler: Bağlayıcı Şirket Kuralları ve Standart Sözleşmeler
Yeterlilik kararının bulunmadığı aktarımlarda başvurulan uygun güvence yollarından biri bağlayıcı şirket kurallarıdır. Bağlayıcı şirket kurallarının taşıması gereken asgari unsurlar Yönetmeliğin 13 üncü maddesinde gösterilmiştir. İlgili kural metninin yabancı dilde tanzim edilmesi halinde inceleme ve uygulamada Türkçe metin esas alınır. Şirketler topluluğu bünyesindeki veri aktarım süreçlerine ise ancak bağlayıcı şirket kurallarının Kurul tarafından onaylanmasından sonra başlanabilir.
Uygulamada sıklıkla tercih edilen standart sözleşmeler, Yönetmeliğin 14 üncü maddesi uyarınca Kurul tarafından belirlenerek ilan edilen metinler üzerinden kullanılır. Tarafların bu standart metinler üzerinde herhangi bir değişiklik yapmaksızın aktarımın taraflarınca veya bunların yetkili temsilcilerince imza altına alması kanuni bir zorunluluktur. Aktarım süreçlerinde esas alınacak standart sözleşme metinleri, bağlayıcı şirket kurallarına ilişkin başvuru formları ve yardımcı kılavuzlar Kişisel Verileri Koruma Kurulu tarafından resmi internet sitesinde ilan edilmiştir.
İmzalanan standart sözleşmelerin, imza tarihinden itibaren 5 iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilmesi şarttır. Söz konusu bildirim yapılırken sözleşmeyi imzalayan temsilcilerin temsile yetkili olduğunu gösteren tevsik edici belgeler Kuruma sunulmalıdır. Sözleşme taraflarında veya sözleşmenin içeriğinde herhangi bir değişiklik vuku bulması ya da sözleşmenin fesih ve benzeri nedenlerle sona ermesi hallerinde de Kuruma ek bildirimde bulunulması gerekmektedir.
İstisnai ve Arızi Aktarım Şartları
Yeterlilik kararının bulunmadığı ve uygun güvencelerin sağlanamadığı hallerde veri aktarımı, Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul Ve Esaslar Hakkında Yönetmelik'in 16 ncı maddesi gereğince yalnızca arızi nitelik taşıması kaydıyla icra edilebilir. Arızi aktarım; düzenlilik arz etmeyen, tek veya birkaç sefere mahsus kalan, devamlılığı bulunmayan ve olağan faaliyet akışına dahil olmayan veri transferlerini ifade eder. İlgili kişinin açık rıza vermesi veya aktarımın ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası bakımından zorunluluk teşkil etmesi, istisnai aktarım kapsamındaki durumlara vücut verir.
Bildirim Yükümlülüğüne Aykırılık ve Yaptırımlar
6698 sayılı Kişisel Verilerin Korunması Kanunu'nun 18 inci maddesinin birinci fıkrasının (d) bendi kapsamında, yurt dışına veri aktarımına dair Kanun'un 9 uncu maddesinin beşinci fıkrasında öngörülen bildirim borcunu yerine getirmeyen taraflar hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına varan tutarda idari para cezası uygulanır. Kanun'un 18 inci maddesinin ikinci fıkrasına göre bahse konu idari yaptırım, hem veri sorumlusu hem de veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında tatbik edilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
6698 sayılı Kanun'un 18 inci maddesinin birinci fıkrasında belirtilen kabahat eylemlerinin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi halinde, Kanun'un 18 inci maddesinin dördüncü fıkrası uyarınca Kurulun bildirimi üzerine ilgili memurlar ve diğer kamu görevlileri ile meslek kuruluşu personeli hakkında disiplin hükümlerine göre işlem yapılarak neticesi Kurula bildirilir. Aynı maddenin üçüncü fıkrası gereğince, Kurul tarafından tesis edilen idari para cezası kararlarına karşı idare mahkemelerinde dava açılabilir.
Standart sözleşmelerin Kişisel Verileri Koruma Kurumuna bildirim süresi ne kadardır?
Standart sözleşmelerin imzalanmasından itibaren 5 iş günü içinde imzalayanların yetkili olduğunu tevsik eden belgelerle birlikte Kişisel Verileri Koruma Kurumu'na bildirilmesi zorunludur.
Standart sözleşmeyi bildirmemenin idari yaptırımı nedir?
6698 sayılı Kanun'un 18 inci maddesinin birinci fıkrasının (d) bendi uyarınca aktarım bildirim yükümlülüğüne aykırı davranan veri sorumlusu veya veri işleyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası verilir; bu cezalara karşı idare mahkemesinde dava açılabilir.
Bağlayıcı şirket kuralları yabancı dilde hazırlanabilir mi?
Bağlayıcı şirket kuralları yabancı dilde hazırlanabilmekte, ancak inceleme ve onay sürecinde Türkçe metin esas alınmaktadır. Aktarım faaliyetine Kurul onayının ardından başlanabilir.
Yeterlilik kararı hangi periyotlarla yeniden incelenir?
Kişisel Verileri Koruma Kurulu tarafından verilen yeterlilik kararları azami 4 yılda bir yeniden değerlendirilir ve ileriye etkili olmak üzere değiştirilebilir, askıya alınabilir ya da kaldırılabilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy