Kişisel Verileri Koruma Kurumu (“Kurum”) 26 Ekim 2020 tarihinde kişisel verilerin yurt dışına aktarılması özelinde Kurum’un çalışmalarını ve bakış açısını ortaya koymak amacıyla kamuoyu duyurusunda bulunmuştur. Kurum, yapmış olduğu duyuru ile kişisel verilerin yurt dışına aktarılması, şartları ve 108 Sayılı Sözleşme ile ilgili hususları değerlendirmiştir.

Kişisel verilerin yurt dışına aktarılması ilgili usul ve esaslar 6698 Sayılı Kişisel Verilerin Korunması Kanununun (“Kanun”) 9’uncu maddesinde yer almaktadır. Söz konusu maddeye göre; kişisel veriler, ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamaz.

İlgili kişinin açık rızası aranmaksızın aktarılması ile ilgili olarak; kişisel veriler, kişinin açık rızası aranmaksızın kişisel verilerin işlenmesinin mümkün olduğu Kanun’da belirtilen haller ile Kanun’un 6’ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede;

  • Yeterli korumanın bulunması,
  • Yeterli korumanın bulunmaması durumunda Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması, kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir. Bu noktada Kanun’un 6’ncı maddesine değinmek gerekmektedir. Kanun’un 6’ncı maddesinde özel nitelikli kişisel veriler tanımlanmakta ve özel nitelikli kişisel verilerin hangi durumlarda ilgili kişinin açık rızası aranmaksızın işlenebileceğini gösterilmektedir. Maddeye göre; sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler kanunlarda öngörülen hallerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.

Dolayısıyla ilgili kişinin rızasının aranmayacağı hallerde; kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması veya yeterli korumanın bulunmaması durumunda hem Türkiye’deki hem verinin aktarılacağı yabancı ülkedeki veri sorumluları arasında yeterli korumanın yazılı olarak üstlenilmesi ve Kişisel Verileri Koruma Kurulu’nun (“Kurul”) izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabilir. Söz konusu maddeye göre; yeterli korumanın bulunduğu ülkeler Kurulca belirlenerek ilan edilir. Kurul yabancı ülkede yeterli koruma bulunup bulunmadığına ve kişisel verilerin aktarılmasına izin verilip verilmeyeceğine;

  • Türkiye’nin taraf olduğu uluslararası sözleşmeleri,
  • Kişisel veri talep eden ülke ile Türkiye arasında veri aktarımına ilişkin karşılıklılık durumunu,
  • Her somut kişisel veri aktarımına ilişkin olarak, kişisel verinin niteliği ile işlenme amaç ve süresini,
  • Kişisel verinin aktarılacağı ülkenin konuyla ilgili mevzuatı ve uygulamasını,
  • Kişisel verinin aktarılacağı ülkede bulunan veri sorumlusu tarafından taahhüt edilen önlemleri, değerlendirmek ve ihtiyaç duyması hâlinde, ilgili kurum ve kuruluşların görüşünü de almak suretiyle karar verir.

Kişisel veriler, uluslararası sözleşme hükümleri saklı kalmak üzere, Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, ancak ilgili kamu kurum veya kuruluşunun görüşü alınarak Kurulun izniyle yurt dışına aktarılabilir. Kanun’un 9’uncu maddesinde kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklı tutulmuştur.

Kurul’un da duyurusunda belirttiği üzere; kişisel verilerin yurt dışına aktarılması, Kanun’un 3’üncü maddesinde yer alan “kişisel verilerin işlenmesi” tanımında açıkça belirtildiği üzere bir işleme faaliyetidir. Yani, kişisel verilerin yurt dışına aktarılmasının değiştirme, yeniden düzenleme, kaydetme, depolama ve muhafaza etme gibi diğer kişisel veri işleme faaliyetlerinden bir farkı bulunmamaktadır.

Yeterli Koruma Bulunan Ülkelerin Belirlenmesi

Kurul’un 02.05.2019 tarihli ve 2019/125 sayılı kararı ile yeterli korumanın bulunduğu ülkelerin tayininde kullanılmak üzere Kurum tarafından bir form oluşturulmuştur. Söz konusu forma göre yeterli korumanın bulunduğu ülkelerin belirlemesinde, karşılıklılık durumu, ilgili ülkenin kişisel verilerin işlenmesine ilişkin mevzuatı ve uygulaması, bağımsız veri koruma otoritesinin bulunup bulunmadığı, kişisel verilerin korunması ile ilgili uluslararası antlaşmalara taraf olma ile uluslararası kuruluşlara üye olma durumu, Türkiye’nin üye olduğu küresel ve bölgesel örgütlere üye olma durumu ve ilgili ülke ile yürütülen ticaret hacmi gibi kriterlerin dikkate alınacağı belirtilmiştir.

Yeterli koruma bulunan ülkelerin belirlenmesinde özellikle mütekabiliyet esas alınacağı ifade edilmiştir. Mütekabiliyet esası ile Türkiye’de bulunan veri sorumluları ve veri işleyenler bakımından ekonomik anlamda fayda sağlayacağı düşünülmektedir.

Şu aşamada Kurum tarafından halihazırda yurt dışına veri aktarımı konusunda güvenli ülke tayin edilmiş bir ülke bulunmamaktadır.

108 Sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi (“108 Sayılı Sözleşme”)

Kurum, 108 Sayılı Sözleşmenin “Kişisel verilerin sınır ötesi akışı ve iç hukuk” başlıklı 12’nci maddesinin Türkiye’deki uygulamasına değinmiştir. Kurum’un belirttiği şekilde; düzenlemede sözleşmeye taraf devletlerin yalnızca özel hayatın korunması gerekçesiyle diğer taraf devletlere gerçekleşecek kişisel veri aktarımlarını yasaklayamayacakları veya özel bir izin mekanizması öngörmek suretiyle kısıtlayamayacakları öngörülmüştür. 108 sayılı Sözleşmeye ilişkin Açıklayıcı Rapor’da (“Rapor”) hükmün ikinci fıkrasında yer alan düzenlemenin amacının, Sözleşmeye taraf ülkelerin kişisel verilerin korunması bakımından yeterli düzeyde güvenceleri sağladığı yönündeki ön kabulden hareketle taraf ülkeler arasında veri akışının kolaylaştırılması olduğu belirtilmiştir. Yukarıda belirtildiği üzere; yeterli koruma bulunan ülkelerin tespitinde kişisel verilerin korunması ile ilgili uluslararası antlaşmalara taraf olma bir kriter olarak belirlenmiştir. Buradan yola çıkıldığında 108 Sayılı Sözleşmeye taraf olmanın Kurum tarafından yapılacak değerlendirmede dikkate alınacağı açıktır.

Kurum tarafından ayrıca 108 sayılı Sözleşmenin 12’nci maddesinin AB’deki uygulamasına ilişkin açıklama yapılmıştır. Kurum bu konuyla ilgili olarak; AB hem mülga 95/46/AT sayılı Direktif hem de Gerçek Kişilerin Kişisel Verilerin İşlenmesi Bakımından Korunması ve Bu Verilerin Serbest Dolaşımı Hakkında ve 95/46/AT sayılı Direktifi Yürürlükten Kaldıran 27/04/2016 tarihli ve (AB) 2016/679 sayılı Avrupa Parlamentosu ve Konsey Tüzüğü (Genel Veri Koruma Tüzüğü-GVKT) hükümleri uyarınca 108 sayılı Sözleşmeye taraf olan ülkeleri herhangi başka bir değerlendirmede bulunmadan yeterli korumaya sahip ülke olarak nitelendirmediğini ve Sözleşmeye taraf olmayı yalnızca yeterlilik değerlendirmesinde dikkate alınacak bir kriter olarak kabul edildiğini ifade etmektedir. Nitekim 108 sayılı Sözleşmeye taraf olsa dahi bir ülkenin ancak yeterli koruma sağlayıp sağlamadığına ilişkin hakkında yapılacak ayrı bir değerlendirme sonrasında güvenli ülke olarak ilan edildiği görüldüğünü belirtmek suretiyle Avrupa Birliği ile uygulama esaslarının benzerliğine vurgu yapılmıştır.

Yeterli Koruma Bulunmayan Ülkelere Veri Aktarımı

Yeterli korumanın bulunmadığı ülkelere aktarımın gerçekleştirilebilmesi için aktarım taraflarının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul’un aktarıma izin vermesi gerekmektedir. Kurul öncelikle, yurt dışına kişisel veri aktarımında veri sorumlusu tarafından hazırlanacak taahhütnamelerde yer alacak asgari unsurları belirlemiştir. Bununla birlikte çok uluslu şirket topluluklarını oluşturan şirketler arasında gerçekleştirilecek topluluk içi aktarımlarda Bağlayıcı Şirket Kuralları alternatif bir yeterli koruma sağlama yolu olarak belirlenmiştir.

Taahhütnameler

yurt dışına veri aktarımında veri sorumlularınca hazırlanacak taahhütnamelerde yer alacak asgari unsurlar 16 Mayıs 2018 tarihinde Kurum’un internet sitesinde duyurulmuştur. Bu kapsamda veri sorumlusundan veri sorumlusuna aktarım ve veri sorumlusundan veri işleyene aktarım şeklinde iki ayrı şekilde taahhütname taslağı düzenlenmiştir. Taahhütnameleri hazırlamak suretiyle gerekli tüm bilgi ve belgeleri Kurum’a sunmak büyük önem taşımaktadır. Taahhütnameler üzerinde yapılan incelemelerle birlikte yurt dışına veri aktarımı için Kurum’un izni gerekmektedir.

Bağlayıcı Şirket Kuralları

Yurt dışına veri aktarımı konusunda tarafların yazılı şekilde korumayı taahhüt ettikleri taahhütnamelerin çok uluslu şirket toplulukları arasında yapılacak veri aktarımı bakımından yetersizliğinden bahisle Kurum, söz konusu şirketler arasında gerçekleştirilecek uluslararası veri aktarımlarında kullanılmak üzere bağlayıcı şirket kuralları belirlemiştir. Kurum, 10 Nisan 2020 tarihinde, Veri Sorumluları İçin Bağlayıcı Şirket Kuralları Başvuru Formunu ve Veri Sorumluları İçin Bağlayıcı Şirket Kurallarında Bulunması Gereken Temel Hususlara İlişkin Yardımcı Dokümanı internet sitesinde yayımlamıştır. Bu çerçevede söz konusu kapsama giren şirketlerin formu doldurup bağlayıcı şirket kuralları başvurusunda bulunması gerekmektedir.

Sonuç

Veri güvenliğinin etkin bir şekilde sağlanması ve kişilerin temel hak ve özgürlüklerinin etkili bir şekilde korunması amacıyla Kanun’da kişisel verilerin yurt dışına aktarılması ayrı bir madde ile düzenlenmiştir. Kurum’un, teknolojik gelişmelere uyum sağlarken kişisel verilerin hukuka uygun şekilde aktarılması konusunda azami önlemi almaya çalıştığını söyleyebiliriz. Zira taahhütname taslaklarının hazırlanması ve bağlayıcı şirket kurallarının belirlenmesi bu kolaylaştırmanın parçasıdır.

Yurt dışına veri aktarımında, güvenli ülkelerin tespitinin halihazırda yapılmamış olması sebebiyle yapılacak yazılı taahhütnameler ve başvurular ile Kurul’un izninin alınması gerekmektedir. Kurul, yukarıda ifade edildiği üzere, uluslararası antlaşmalar da dahil olmak üzere belirli kriterler çerçevesinde güvenli ülkeler tayinini gerçekleştirmeyi hedeflemektedir. 108 Sayılı Sözleşme de bu kapsamda dikkate alınacak sözleşmelerden olmakla birlikte sadece 108 Sayılı Sözleşmeye taraf olmak Kurum tarafından güvenli ülke statüsü tayini için yeterli bulunmamaktadır.