Kişisel verilerin yurt dışına aktarımı, 6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki bir veri sorumlusu veya veri işleyen tarafından verilerin yurt dışındaki bir veri sorumlusuna veya veri işleyene iletilmesi ya da başka bir suretle erişilebilir kılınmasıdır. 7499 sayılı Kanun ile 6698 sayılı Kanun'un yurt dışına veri aktarım rejiminde yapılan değişiklikler 01.06.2024 tarihinde yürürlüğe girmiş; 9. maddenin önceki birinci fıkrası ise değiştirilen haliyle birlikte 01.09.2024 tarihine kadar uygulanmıştır. Yurt dışına aktarımdan söz edilebilmesi için veri aktaranın ilgili kişisel veri işleme faaliyeti bakımından 6698 sayılı Kanun'a tabi olması, işlenen kişisel verilerin iletilmesi veya erişilebilir hale getirilmesi ve verilerin aktarıldığı tarafın Türkiye dışında bulunması unsurları birlikte aranır.
Uzaktan Erişim ve Yurt Dışına Aktarım Kriterleri
Türkiye'de bulunan sistemler açısından hesap oluşturulması, mevcut bir hesaba erişim yetkisi verilmesi, uzaktan erişim talebinin kabul edilmesi, sabit sürücü yerleştirilmesi veya dosya şifresinin paylaşılması gibi işlemler veri aktarımı kapsamındadır. Kişisel verilerin yalnızca ekranda görüntülenmesi suretiyle gerçekleşse dahi üçüncü bir ülkeden Türkiye'deki bir sisteme uzaktan erişim sağlanması kişisel veri aktarımı sayılır.
Yeterlilik Kararına Dayalı Aktarım
Kişisel veriler, Kanun'un 5. ve 6. maddelerinde belirtilen işleme şartlarından birinin varlığı ve aktarım yapılacak ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması durumunda veri sorumluları ve veri işleyenlerce yurt dışına aktarılabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararı Kişisel Verileri Koruma Kurulu tarafından verilir ve Resmî Gazete'de yayımlanır. Kurul, ihtiyaç duyması halinde ilgili kurum ve kuruluşların görüşünü alır. Bu karar en geç dört yılda bir değerlendirilir; değerlendirme sonucunda veya gerekli görülen diğer hallerde yeterlilik kararı ileriye etkili olmak üzere değiştirilebilir, askıya alınabilir veya kaldırılabilir. Karar verilirken aktarım yapılacak taraf ile Türkiye arasındaki karşılıklılık durumu, ilgili ülkenin mevzuatı ve uygulaması, uluslararası kuruluşun kuralları, bağımsız ve etkin bir veri koruma kurumunun mevcudiyeti ile adli ve idari başvuru yolları öncelikle gözetilir.
Uygun Güvenceler ve Standart Sözleşmeler
Yeterlilik kararının bulunmaması halinde kişisel veriler; 5. ve 6. maddelerdeki şartlardan birinin varlığı, ilgili kişinin aktarım yapılacak ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, taraflarca kanunda öngörülen uygun güvencelerden birinin sağlanmasıyla aktarılabilir. Standart sözleşmelerin akdedilmesi veya grup içi aktarımlarda bağlayıcı şirket kurallarının kabul edilmesi bu güvenceler arasındadır. Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur.
İstisnai Nitelikteki Arızi Aktarım Halleri
Yeterlilik kararının bulunmadığı ve uygun güvencelerin sağlanamadığı durumlarda yurt dışına aktarım, ancak arızi olmak kaydıyla kanunda sınırlı sayılan istisnalara dayanılarak yapılabilir. Bu haller; muhtemel riskler bildirilerek ilgili kişiden alınan açık rıza, ilgili kişiyle sözleşmenin ifası veya sözleşme öncesi tedbirler, ilgili kişi yararına bir sözleşmenin kurulması ya da ifası, üstün kamu yararı, bir hakkın tesisi, kullanılması veya korunması için zorunluluk, fiili imkânsızlık nedeniyle hayat veya beden bütünlüğünün korunması ile alenileşmiş açık sicillerden aktarımdır.
Arızi aktarım halleri arasında sayılan açık rıza, sözleşmenin ifası veya sözleşme öncesi tedbirler ile ilgili kişi yararına sözleşme kurulması veya ifası istisnaları, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerine uygulanmaz. Türkiye'nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği hallerde ise veri aktarımı, uluslararası sözleşme hükümleri saklı kalmak kaydıyla, ancak yetkili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle gerçekleştirilebilir.
Doğrudan Elde Etme ve Sonraki Aktarımlar
Yurt dışında yerleşik veri sorumlusu veya veri işleyenlerin kişisel verileri Türkiye'deki ilgili kişilerden doğrudan elde ettiği durumlar 6698 sayılı Kanun'un 9. maddesi kapsamında yurt dışına veri aktarımı sayılmaz. Benzer biçimde Avrupa Birliği Genel Veri Koruma Tüzüğü (GVKT) Bölüm V hükümleri uyarınca da doğrudan veri toplama işlemleri aktarım kapsamında yer almaz; ancak veri işleme faaliyeti GVKT m. 3(2) uyarınca coğrafi uygulama alanına girdiğinde veri sorumlusunun tüzüğe uyum ve hesap verebilirlik yükümlülüğü devam eder.
Kişisel verileri doğrudan elde eden yurt dışındaki tarafın bu verileri Türkiye dışındaki başka bir veri işleyene iletmesi yurt dışına veri aktarımı niteliği taşır. 6698 sayılı Kanun'un 9. maddesinin sekizinci fıkrası uyarınca yurt dışına aktarılan verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımları bakımından da kanuni güvencelerin sağlanması ve madde hükümlerinin uygulanması zorunludur. Dolayısıyla doğrudan elde edilen verilerin yurt dışındaki üçüncü bir tarafa devrinde Kanun'un 9/4. maddesinde öngörülen standart sözleşme veya bağlayıcı şirket kuralları gibi uygun güvencelerin temin edilmesi gerekir.
Yurt dışındaki bir kurumun kişisel verileri doğrudan toplaması aktarım sayılır mı?
Yurt dışında bulunan veri sorumlusu veya veri işleyenin kişisel verileri Türkiye'deki ilgili kişilerden doğrudan elde ettiği durumlar 6698 sayılı Kanun m. 9 kapsamında yurt dışına aktarım olarak kabul edilmez.
Yalnızca ekranda görüntüleme yoluyla uzaktan erişim sağlanması veri aktarımı mıdır?
Kişisel verilerin yalnızca ekranda görüntülenmesi suretiyle gerçekleşse dahi üçüncü bir ülkeden Türkiye'deki bir sisteme uzaktan erişim sağlanması kişisel veri aktarımı niteliği taşır.
Standart sözleşmelerin bildirim süresi ne kadardır?
Standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur.
Doğrudan elde edilen kişisel veriler üçüncü bir ülkedeki tarafa devredilebilir mi?
Kişisel verileri doğrudan elde eden Türkiye dışındaki tarafın bu verileri Türkiye dışında bulunan bir veri işleyene iletmesi yurt dışına veri aktarımı sayılır. 6698 sayılı Kanun'un 9. maddesinin sekizinci fıkrası uyarınca sonraki aktarımlar bakımından Kanunda yer alan güvencelerin sağlanması ve madde hükümlerinin uygulanması zorunlu olup bu kapsamda kanunda öngörülen uygun güvencelerin temin edilmesi de aranabilir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy