KVKK Kapsamında Yürürlüğe Giren Düzenlemeler ve Geçiş Süreci
7499 sayılı Kanun ile 6698 sayılı Kişisel Verilerin Korunması Kanunu'nda yapılan değişiklikler 12 Mart 2024 tarihli Resmî Gazete'de yayımlanmıştır. Kanunun KVKK'da değişiklik öngören maddeleri 1 Haziran 2024 tarihinde yürürlüğe girmiş; yurt dışı veri aktarımları için alınan açık rızalar bakımından ise 1 Eylül 2024 tarihine kadar geçerli sayılacak bir geçiş süreci tanınmıştır.
Özel Nitelikli Kişisel Verilerin Tanımı ve İşlenme Şartları
6698 sayılı Kanun'un 6. maddesinin birinci fıkrasında kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini, mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, sağlığı, cinsel hayatı, ceza mahkûmiyeti ve güvenlik tedbirleriyle ilgili verileri ile biyometrik ve genetik verileri özel nitelikli kişisel veri olarak sayılmıştır. Yapılan yasal düzenlemeyle bu kategorik tanım korunmuş, ancak verilerin işlenebilmesine imkân tanıyan yasal sebepler genişletilmiştir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 6Kaynağı aç
6698 sayılı Kanun'un 6. maddesinin üçüncü fıkrası gereğince özel nitelikli kişisel verilerin işlenmesi kural olarak yasaktır. Bununla birlikte ilgili kişinin açık rızasının bulunması, kanunlarda açıkça öngörülmesi, fiili imkânsızlık sebebiyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması durumlarında bu veriler işlenebilir. Ayrıca ilgili kişinin alenileştirme iradesine uygun olarak alenileştirilmiş olması ya da bir hakkın tesisi, kullanılması veya korunması için işlemenin zorunlu bulunması halleri de kanundaki işleme şartları arasındadır.
Özel nitelikli veriler, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması halinde işlenebilir. Bu kapsamda işverenler, istihdam ve sosyal güvenlik yükümlülüklerini yerine getirmek amacıyla zorunlu durumlarda çalışanların sağlık ve cinsel hayat verilerini açık rıza aranmaksızın işleyebilmektedir. Bunun yanı sıra kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlarca işleme yapılması da mümkündür.
Siyasi, felsefi, dini veya sendikal amaçlarla faaliyet gösteren vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumlar; tabi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı kalmak ve üçüncü kişilere açıklanmamak kaydıyla mevcut veya eski üyelerine, mensuplarına yahut düzenli temas halinde oldukları kişilere ilişkin özel nitelikli verileri işleyebilir. Kanunda öngörülen hukuki işleme sebeplerinden biri mevcut olsa dahi, özel nitelikli verilerin işlenmesinde Kişisel Verileri Koruma Kurulu tarafından belirlenen yeterli önlemlerin alınması zorunludur.
Yurt Dışına Veri Aktarımında Yeterlilik Kararı
6698 sayılı Kanun'un 9. maddesi kapsamında kişisel veriler, Kanunun 5. ve 6. maddelerinde düzenlenen şartlardan birinin varlığı ve aktarım yapılacak ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında Kişisel Verileri Koruma Kurulu tarafından verilmiş bir yeterlilik kararının bulunması halinde veri sorumluları ve veri işleyenlerce yurt dışına aktarılabilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 9Kaynağı aç
Yeterlilik kararı Kişisel Verileri Koruma Kurulu tarafından verilir ve Resmî Gazete'de yayımlanır. Kurul, gerek görmesi halinde ilgili kurum ve kuruluşların görüşünü alabilir. Alınan karar en geç dört yılda bir yeniden değerlendirilir; değerlendirme sonucunda veya gerekli görülen hallerde karar Kurul tarafından ileriye etkili olmak üzere değiştirilebilir, askıya alınabilir ya da yürürlükten kaldırılabilir.
Yeterlilik kararı verilirken Türkiye ile aktarımın yapılacağı merci arasındaki karşılıklılık durumu, aktarım yapılacak ülkenin mevzuatı ve uygulaması, uluslararası kuruluşun tabi olduğu kurallar, bağımsız ve etkin bir veri koruma kurumunun mevcudiyeti ile idari ve adli başvuru yollarının bulunması öncelikli olarak değerlendirilir.
Uygun Güvencelere Dayalı Veri Aktarımı ve Standart Sözleşmeler
Yeterlilik kararının bulunmaması durumunda; Kanunun 5. ve 6. maddelerindeki şartlardan birinin varlığı, ilgili kişinin aktarım yapılacak ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması şartıyla, taraflarca kanunda düzenlenen uygun güvencelerden birinin sağlanması yoluyla yurt dışına aktarım yapılabilir.
Kanuni uygun güvence yollarından biri, ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü olduğu ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığıdır. Diğer bir güvence yöntemi ise Kurul tarafından ilan edilen standart sözleşmelerdir. Standart sözleşmeler Kurul iznine tabi olmaksızın yurt dışına veri aktarımına imkân tanır; ancak sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumu'na bildirilmesi zorunludur.
6698 sayılı Kanun'un 9. maddesinin beşinci fıkrasında düzenlenen standart sözleşmelere ilişkin beş iş günlük bildirim yükümlülüğünün yerine getirilmemesi idari yaptırıma bağlanmıştır. Söz konusu bildirim yükümlülüğüne aykırı hareket eden veri sorumlusu veya veri işleyen gerçek kişiler ile özel hukuk tüzel kişileri hakkında 6698 sayılı Kanun'un 18. maddesinin birinci fıkrasının (d) bendi uyarınca idari para cezası tatbik edilir.
6698 sayılı KİŞİSEL VERİLERİN KORUNMASI KANUNU m. 18Kaynağı aç
Arızi Aktarımlar ve İleri Düzey Güvenceler
Yeterlilik kararının bulunmadığı ve uygun güvencelerin sağlanamadığı durumlarda yurt dışına veri aktarımı kural olarak gerçekleştirilemez. Ancak arızi olmak kaydıyla ilgili kişinin bilgilendirilmiş açık rızasının bulunması, sözleşmenin ifası veya bir hakkın tesisi gibi kanunda tahdidi olarak sayılan istisnai hallerden birinin mevcudiyeti durumunda aktarım yapılabilir. Kanunun 9. maddesinin yedinci fıkrası uyarınca, arızi aktarım halleri arasında sayılan açık rıza, ilgili kişiyle sözleşmenin ifası ve ilgili kişi yararına üçüncü kişiyle sözleşme yapılması bentleri, kamu kurum ve kuruluşlarının kamu hukukuna tabi faaliyetlerine uygulanmaz.
Yurt dışına aktarılan kişisel verilerin sonraki aktarımları ile uluslararası kuruluşlara aktarımları bakımından da Kanundaki güvencelerin sağlanması ve 9. madde hükümlerinin tatbiki zorunludur. Bununla birlikte, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye'nin veya ilgili kişinin menfaatinin ciddi şekilde zarar göreceği durumlarda veri aktarımı, ilgili kamu kurum veya kuruluşunun görüşü alınarak ancak Kurulun izniyle gerçekleştirilebilir.
Kurul Kararlarına Karşı Kanun Yolu
6698 sayılı Kanun'un 18. maddesinin üçüncü fıkrası uyarınca Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilir.
Yurt dışına veri aktarımı için alınan açık rızalar ne zamana kadar geçerlidir?
Yurt dışı veri aktarımları için alınan açık rızalar, 7499 sayılı Kanun ile düzenlenen geçiş süreci gereğince 1 Eylül 2024 tarihine kadar geçerli kabul edilmektedir.
Standart sözleşmeyle yurt dışına veri aktarımında Kurul izni gerekir mi?
Standart sözleşmeler Kurul iznine tabi değildir; Kanunun 5. ve 6. maddelerindeki şartlar ile diğer yasal koşulların varlığı halinde sözleşmenin imzalanmasından itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu'na bildirilmesi zorunludur.
İşverenler çalışanların sağlık verilerini açık rıza olmaksızın işleyebilir mi?
İşverenler, istihdam ve sosyal güvenlik alanlarındaki hukuki yükümlülüklerini yerine getirmek amacıyla zorunlu olan hallerde çalışanların sağlık ve cinsel hayat verilerini açık rıza aranmaksızın işleyebilir.
Kişisel Verileri Koruma Kurulu idari para cezalarına karşı nereye dava açılır?
Kurul tarafından verilen idari para cezalarına karşı idare mahkemelerinde dava açılabilmektedir.
Hukuki uyarı: Bu içerik genel bilgilendirme amacı taşır; somut olay değerlendirmesi için avukata başvurulmalıdır.
Hazırlayan: Av. Erdal Ersoy