Kişisel Verileri Koruma Kurumu, 1 Eylül 2023 tarihli duyurusunda Google Reklamcılık ve Pazarlama Limited Şirketi tarafından yurt dışına veri aktarımı konusunda yapılan taahhütname başvurusunu, 6698 sayılı Kişisel Verileri Koruma Kanunu’nun 9. maddesinin 2. fıkrasının b bendi kapsamında değerlendirerek söz konusu veri aktarımına izin vermiştir. Bu yazıda 6698 sayılı Kanun kapsamında yurt dışına kişisel veri aktarımı prosedürü ve Kişisel Verileri Koruma Kurumu’nun ilgili kararı incelenecektir.
6698 Sayılı Kanun Kapsamında Kişisel Verilerin Aktarılması Kavramı
Kişisel verilerin işlenmesi silme, depolama, tahrip etme gibi bir veri üzerinde gerçekleştirilebilecek her türlü işlemi ifade etmektedir. Kişisel verilerin aktarılması ise, kişisel verilerin işlenmesi kavramı içerisinde yer alır ve kişisel verilerin veri sorumlusu veya veri işleyen tarafından başka bir veri sorumlusu veya veri işleyicisine aktarılması anlamına gelir.
Kişisel verilerin aktarılması 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 8 ve 9. maddelerinde özel olarak düzenlenmektedir. Kişisel verilerin yurt dışına aktarılması başlıklı 9. maddeye göre kişisel veriler, ilgili kişinin açık rızası olmadan yurt dışına aktarılamaz. Aynı maddede açık rıza olmaksızın aktarılma halleri de düzenlenmiştir. Buna göre kişisel veriler, 5. maddenin 2. fıkrasında genel nitelikli kişisel veriler ve 6. maddenin 3. fıkrasında özel nitelikli kişisel veriler için düzenlenen açık rıza aranmaksızın işlenme şartlarından birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması durumunda, ilgilinin açık rızası olmaksızın yurt dışına aktarılabilir. Yabancı ülkede yeterli korumanın bulunmaması durumunda ise Türkiye ve yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kişisel Verileri Koruma Kurulu’ndan izin almaları gerekmektedir. Aynı maddede yeterli korumanın bulunduğu güvenli ülkeler listesinin Kurul tarafından belirlenerek ilan edileceği düzenlenmiştir. Ancak güvenli ülkeler listesi halen ilan edilmediğinden yurt dışına kişisel veri aktarımlarında veri sorumlularının başvurabileceği iki yol bulunmaktadır:
- İlgilinin açık rızasının alınması
- Tarafların yeterli korumayı yazılı olarak taahhüt etmeleri ve Kurul’un iznini almaları.
Yurt Dışına Veri Aktarımında Taahhütname İmzalanması
Yurt dışına kişisel veri aktarımlarında ilgilinin açık rızasını almak; kişi sayısının fazlalığı, ilgilinin rızasını geri alma ihtimali gibi nedenlerle çoğu zaman pratik bir çözüm olmamaktadır. Veri sorumluları için, yurt dışına kişisel veri aktarımının ikinci yolu olan taahhütname imzalama ve Kurul’un onayını alma yolu daha risksiz görünmektedir. 2020 senesinde KVKK tarafından yurt dışına veri aktarımlarında hazırlanacak taahhütnamelerde dikkat edilmesi gereken hususlara dair bir duyuru yayımlanmıştır ve veri aktaranın bu hususlara da riayet etmesi gerekmektedir.
Kurul, 2021 senesinin Şubat ayından bu yana toplam altı veri sorumlusuna yurt dışına veri aktarımı izni vermiştir. Bu veri sorumluları arasında Amazon Turkey, Decathlon Türkiye ve Türkiye Futbol Federasyonu yer almaktadır. Yurt dışına veri aktarımı hususunda Kurul’un iznini alan son şirket ise Google Reklamcılık ve Pazarlama Limited Şirketi olmuştur. Google, taahhütname başvurusu yoluyla Kurul’un iznini alarak, ilgililerin açık rızası olmaksızın yurt dışına veri aktarımı imkanını elde etmiştir.
Sonuç
Günümüzde özellikle tüm dünyada faaliyet gösteren global şirketlerin, kişisel verileri Türkiye’deki sunucularda saklaması gittikçe imkansız bir hale gelmektedir. Bu nedenle yurt dışına veri aktarımının önemi ve bu konunun detaylı şekilde düzenlenmesi gerekliliği her geçen gün artmaktadır. Kişisel Verileri Koruma Kurumu’nun yurt dışına veri aktarımı prosedürünün mevzuata uygun şekilde gerçekleşmesi için denetimlerini sıklaştırması ve Google’a yönelik verdiği karar gibi, yurt dışına veri aktarımı hususundaki başvuruları hızlıca sonuca bağlaması bu noktada büyük önem taşımaktadır.
Çitil Avukatlık Ortaklığı Blog sayfasında yer alan hukuk ve diğer konulardaki yazılar ilk sizin e-postanıza gelsin isterseniz Çitil Haber Bülteni’ne üye olun!
Merve BABA
Kaynakça:
- https://www.kvkk.gov.tr/Icerik/7700/Taahhutname-Basvurusu-Hakkinda-Duyuru
- https://www.mevzuat.gov.tr/mevzuat?MevzuatNo=6698&MevzuatTur=1&MevzuatTertip=5
- Sevgi Erarslan, Türk Hukukunda Kişisel Verilerin Yurt Dışına Aktarılması Sorunu: Açık Rıza Kapsamında Bir Değerlendirme, Araştırma Makalesi, Kırıkkale Hukuk Mecmuası, 2021.
