KVKK Değişikliği ve Kişisel Verilerin Yurt Dışına Aktarımı

6698 sayılı Kişisel Verilerin Korunması Kanunu kapsamındaki temel düzenlemeler; özel nitelikli kişisel verilerin işlenme koşulları, verilerin yurt dışına aktarılma mekanizmaları ve Kişisel Verileri Koruma Kurulu tarafından verilen yaptırımlara karşı başvuru yollarında önemli değişiklikler getirmektedir. Düzenleme sistemi, Genel Veri Koruma Tüzüğü ilkeleriyle uyum sağlayacak şekilde aktarım güvencelerini çeşitlendirmekte ve veri sorumluları ile veri işleyenler bakımından yeni usuller tesis etmektedir.

Özel Nitelikli Kişisel Verilerin İşlenme Esasları

Özel nitelikli kişisel verilerin işlenme koşulları yeniden yapılandırılarak kanunlarda açıkça öngörülme şartı dışındaki hukuka uygunluk nedenleri de sisteme dahil edilmiştir. Bu çerçevede işverenlere; istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik alanındaki hukuki yükümlülüklerinin ifası kapsamında çalışanlarının sağlık verileri de dahil olmak üzere özel nitelikli kişisel verilerini işleme imkânı tanınmaktadır.

Yurt Dışına Veri Aktarımında Yeterlilik Kararı Mekanizması

Kişisel verilerin yurt dışına aktarılabilmesi için öncelikle 6698 sayılı Kanun'un 5. ve 6. maddelerinde belirtilen işleme şartlarından birinin bulunması ve aktarım yapılacak ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kurul tarafından verilmiş bir yeterlilik kararının mevcudiyeti aranmaktadır. Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ile uluslararası kuruluşlara yapılacak aktarımlar da Kanun'daki güvencelere ve aynı esaslara tabidir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç

MADDE 9- (Değişik:2/3/2024-7499/34
md.)
(1) Kişisel veriler, 5
inci ve 6 ncı maddelerde belirtilen şartlardan birinin varlığı ve
aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası
kuruluşlar hakkında yeterlilik kararı bulunması halinde, veri sorumluları ve
veri işleyenler tarafından yurt dışına aktarılabilir.
(2) Yeterlilik kararı,
Kurul tarafından verilir ve Resmî Gazete’de yayımlanır. Kurul, ihtiyaç duyması
halinde ilgili kurum ve kuruluşların görüşünü alır. Yeterlilik kararı, en geç
dört yılda bir değerlendirilir. Kurul, değerlendirme sonucunda veya gerekli
gördüğü diğer hallerde, yeterlilik kararını ileriye etkili olmak üzere
değiştirebilir, askıya alabilir veya kaldırabilir.
(3) Yeterlilik kararı
verilirken öncelikle aşağıdaki hususlar dikkate alınır:
a) Kişisel verilerin
aktarılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar ile
Türkiye arasında kişisel veri aktarımına ilişkin karşılıklılık durumu.
b) Kişisel verilerin
aktarılacağı ülkenin ilgili mevzuatı ve uygulaması ile kişisel verilerin
aktarılacağı uluslararası kuruluşun tâbi olduğu kurallar.
c) Kişisel verilerin
aktarılacağı ülkede veya uluslararası kuruluşun tâbi olduğu bağımsız ve etkin
bir veri koruma kurumunun varlığı ile idari ve adli başvuru yollarının
bulunması.
ç) Kişisel verilerin
aktarılacağı ülkenin veya uluslararası kuruluşun, kişisel verilerin
korunmasıyla ilgili uluslararası sözleşmelere taraf veya uluslararası
kuruluşlara üye olma durumu.
d) Kişisel verilerin
aktarılacağı ülkenin veya uluslararası kuruluşun, Türkiye’nin üye olduğu
küresel veya bölgesel kuruluşlara üye olma durumu.
e) Türkiye’nin taraf
olduğu uluslararası sözleşmeler.
(4) Kişisel veriler,
yeterlilik kararının bulunmaması durumunda, 5 inci ve
6 ncı maddelerde belirtilen şartlardan birinin varlığı, ilgili
kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun
yollarına başvurma imkânının bulunması kaydıyla, aşağıda belirtilen uygun
güvencelerden birinin taraflarca sağlanması halinde veri sorumluları ve veri işleyenler
tarafından yurt dışına aktarılabilir:
a) Yurt dışındaki kamu
kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum
ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında
yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul
tarafından aktarıma izin verilmesi.
b) Ortak ekonomik
faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü
oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul
tarafından onaylanan bağlayıcı şirket kurallarının varlığı.
c) Kurul tarafından ilan
edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları,
veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli
kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart
sözleşmenin varlığı.
ç) Yeterli korumayı
sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul
tarafından aktarıma izin verilmesi.
(5) Standart sözleşme,
imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen
tarafından Kuruma bildirilir.
(6) Veri sorumluları ve
veri işleyenler, yeterlilik kararının bulunmaması ve dördüncü fıkrada öngörülen
uygun güvencelerden herhangi birinin sağlanamaması durumunda, arızi olmak
kaydıyla sadece aşağıdaki hallerden birinin varlığı halinde yurt dışına kişisel
veri aktarabilir:
a) İlgili kişinin,
muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza
vermesi.
b) Aktarımın, ilgili kişi
ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi
üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.
c) Aktarımın, ilgili kişi
yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak
bir sözleşmenin kurulması veya ifası için zorunlu olması.
ç) Aktarımın üstün bir
kamu yararı için zorunlu olması.
d) Bir hakkın tesisi,
kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu
olması.
e) Fiili imkânsızlık
nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki
geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden
bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.
f) Kamuya veya meşru
menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile
erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep
etmesi kaydıyla aktarım yapılması.
(7) Altıncı fıkranın (a),
(b) ve (c) bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi
faaliyetlerine uygulanmaz.
(8) Veri sorumlusu ve
veri işleyenler tarafından, yurt dışına aktarılan kişisel verilerin sonraki
aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da bu Kanunda yer
alan güvenceler sağlanır ve bu madde hükümleri uygulanır.
(9) Kişisel veriler,
uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili
kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili
kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına
aktarılabilir.
(10) Kişisel verilerin
yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.
(11) Bu maddenin
uygulanmasına ilişkin usul ve esaslar yönetmelikle düzenlenir.
ÜÇÜNCÜ BÖLÜM
Haklar ve Yükümlülükler
Veri sorumlusunun aydınlatma
yükümlülüğü

Yeterlilik kararlarının alınması Kişisel Verileri Koruma Kurulu yetkisinde olup alınan kararlar Resmî Gazete'de yayımlanarak yürürlüğe konulur. Bu süreçte Kurul lüzum görürse yetkili kurum ve kuruluşların değerlendirmesine başvurabilir. Yeterlilik durumu en geç dört yılda bir Kurulca gözden geçirilir; yapılan değerlendirme sonucunda veya gerek duyulan durumlarda kararın ileriye etkili olarak değiştirilmesi, askıya alınması veya kaldırılması mümkündür.

Kurul yeterlilik kararını verirken Türkiye ile aktarım yapılacak ülke, sektör veya uluslararası kuruluş arasındaki karşılıklılık durumunu, ülkenin veri koruma mevzuatını ve uygulamasını, bağımsız veri koruma otoritesinin varlığını, hak arama yollarını ve akdedilmiş uluslararası sözleşmeleri öncelikli olarak dikkate alır.

Yeterlilik Kararı Bulunmayan Hallerde Uygun Güvenceler

Hakkında yeterlilik kararı bulunmayan ülkelere veri aktarımı; Kanun'un 5. ve 6. maddelerindeki işleme şartlarından birinin bulunması, ilgili kişinin verilerin aktarılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının mevcudiyeti ve mevzuatta öngörülen uygun güvencelerden birinin sağlanması kaydıyla yapılabilir.

Uygun güvence yöntemleri tek bir uygulamadan ibaret olmayıp alternatif yollar içermektedir. Bu güvenceler; kamu kurumları veya meslek kuruluşları arasında uluslararası sözleşme niteliğinde olmayan bir anlaşmanın bulunması ve Kurul izninin alınması, Kurulca onaylanmış bağlayıcı şirket kurallarının mevcudiyeti, Kurul tarafından ilan edilen standart sözleşmenin imzalanması veya Kurul iznine tabi taahhütnamenin varlığı ile sağlanabilir.

Uygun güvence alternatifleri arasında yer alan standart sözleşmenin tercih edilmesi durumunda, sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmesi zorunludur.

İstisnai ve Arızi Yurt Dışı Aktarımları

Yeterlilik kararının bulunmadığı ve uygun güvencelerden herhangi birinin sağlanamadığı hallerde veri sorumluları ve veri işleyenler, süreklilik arz etmeyecek biçimde yalnızca arızi olmak kaydıyla ve kanunda sayılan istisnai durumlardan birinin varlığı halinde yurt dışına veri aktarabilir. Ancak arızi aktarım halleri arasında bulunan ilgili kişinin açık rızası, sözleşmenin ifası ve sözleşme öncesi tedbirlere dayalı aktarım hükümleri, kamu kurum ve kuruluşlarının kamu hukukuna tâbi faaliyetlerinde uygulanamaz.

Uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği hallerde kişisel veriler, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir.

Geçiş Hükümleri ve Yaptırımlar

Yurt dışına veri aktarımında ortaya çıkabilecek aksaklıkların önlenmesi amacıyla bazı hükümlerin mevcut uygulamalarla birlikte 3 ay daha uygulanması öngörülmüş; bu doğrultuda yürürlük öncesinde veya sonrasında alınmış açık rızaya dayalı veri aktarımlarının sürdürülmesine imkân tanınmıştır.

Standart sözleşmeye ilişkin beş iş günlük bildirim yükümlülüğünü yerine getirmeyen veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında idari para cezası uygulanır. Kanunda düzenlenen kabahatlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları bünyesinde işlenmesi halinde ise Kurulun bildirimi üzerine ilgili kamu görevlileri hakkında disiplin hükümlerine göre işlem yapılarak neticesi Kurula bildirilir.

6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç

MADDE 18- (1) Bu Kanunun;
a) 10 uncu maddesinde öngörülen
aydınlatma yükümlülüğünü yerine getirmeyenler hakkında 5.000 Türk lirasından 100.000
Türk lirasına kadar,
b) 12 nci maddesinde öngörülen
veri güvenliğine ilişkin yükümlülükleri yerine getirmeyenler hakkında 15.000 Türk
lirasından 1.000.000 Türk lirasına kadar,
c) 15 inci maddesi uyarınca
Kurul tarafından verilen kararları yerine getirmeyenler hakkında 25.000 Türk lirasından
1.000.000 Türk lirasına kadar,
ç) 16 ncı maddesinde öngörülen
Veri Sorumluları Siciline kayıt ve bildirim yükümlülüğüne aykırı hareket edenler
hakkında 20.000 Türk lirasından 1.000.000 Türk lirasına kadar,
d) (Ek:2/3/2024-7499/35 md.) 9
uncu maddenin beşinci fıkrasında öngörülen bildirim yükümlülüğünü yerine
getirmeyenler hakkında 50.000 Türk lirasından 1.000.000 Türk lirasına kadar,
idari para cezası verilir.
(2) (Değişik:2/3/2024-7499/35
md.) Birinci fıkranın (a), (b), (c) ve (ç) bentlerinde öngörülen idari para
cezaları veri sorumlusu, (d) bendinde öngörülen idari para cezası veri
sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri
hakkında uygulanır.
(3) (Ek:2/3/2024-7499/35 md.) Kurulca
verilen idari para cezalarına karşı, idare mahkemelerinde dava açılabilir.
(4) Birinci fıkrada sayılan
eylemlerin kamu kurum ve kuruluşları ile kamu kurumu niteliğindeki meslek kuruluşları
bünyesinde işlenmesi hâlinde, Kurulun yapacağı bildirim üzerine, ilgili kamu kurum
ve kuruluşunda görev yapan memurlar ve diğer kamu görevlileri ile kamu kurumu niteliğindeki
meslek kuruluşlarında görev yapanlar hakkında disiplin hükümlerine göre işlem yapılır
ve sonucu Kurula bildirilir.
ALTINCI BÖLÜM
Kişisel Verileri Koruma Kurumu
ve Teşkilat
Kişisel Verileri Koruma Kurumu

Kurul İdari Para Cezalarına Karşı Kanun Yolu

6698 sayılı Kanun'un 18. maddesi uyarınca Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.

İşverenler çalışanların sağlık verilerini hangi hallerde işleyebilir?

İşverenler; istihdam, iş sağlığı ve güvenliği ile sosyal güvenlik hukuki yükümlülüklerinin bulunması halinde çalışanlarının sağlık verileri dahil özel nitelikli kişisel verilerini işleyebilmektedir.

Yurt dışı aktarımında imzalanan standart sözleşmeler ne zaman bildirilmelidir?

Standart sözleşmeler, imzalandığı tarihten itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumuna bildirilmek zorundadır.

Yeterlilik kararı bulunmadığında veri aktarımı nasıl gerçekleştirilir?

Yeterlilik kararı yoksa Kanun'un 5. ve 6. maddelerindeki şartların bulunması, etkili başvuru hakkının varlığı ve bağlayıcı şirket kuralları, standart sözleşme veya Kurul iznine tabi taahhütname gibi uygun güvencelerden birinin sağlanması gerekir.

Standart sözleşme bildirimini yapmamanın yaptırımı nedir?

Standart sözleşmeye ilişkin bildirim yükümlülüğünü süresi içinde yerine getirmeyen veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında idari para cezası verilir.

Kişisel Verileri Koruma Kurulu idari para cezalarına karşı nereye başvurulur?

Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezası kararlarına karşı idare mahkemelerinde dava açılabilmektedir.

Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.

Hazırlayan: Av. Erdal Ersoy

Avukat Erdal Ersoy İletişim ve randevu

Bilişim hukuku