Kısa cevap
Kişisel veriler, 6698 sayılı Kanun'un 9. maddesine göre yeterlilik kararı bulunan ülkelere, yeterlilik kararı yoksa uygun güvencelerin sağlanması şartıyla, bu da yoksa ancak arızi ve sınırlı hallerde aktarılabilir. Aktarımın ayrıca Kanun'daki genel işleme şartlarına uygun olması gerekir.
Yurt dışına aktarım düzenlemesi, 12 Mart 2024 tarihli Resmî Gazete'de yayımlanan 7499 sayılı Kanun ile değiştirilmiştir. Yeni 9. madde 1 Haziran 2024 tarihinde yürürlüğe girmiş, eski düzenlemeye göre alınan açık rızalara dayalı aktarımlar için tanınan geçiş süresi 1 Eylül 2024 tarihinde sona ermiştir. Düzenlemenin usul ve esasları, Temmuz 2024 tarihli Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik ile belirlenmiştir. Bugün esas olan, aktarımın açık rızaya dayandırılması değil, kademeli bir sistemdir.
Birinci kademede Kişisel Verileri Koruma Kurulu, bir ülke, ülke içindeki belirli bir sektör veya uluslararası kuruluş hakkında yeterlilik kararı verebilir. Yeterlilik kararı bulunan yerlere, Kanun'un 5. veya 6. maddesindeki işleme şartlarından biri varsa ayrıca izin aranmadan aktarım yapılabilir. Kararlar belirli aralıklarla yeniden değerlendirilir, değiştirilebilir, askıya alınabilir veya kaldırılabilir; güncel liste Kurumun internet sitesinden takip edilmelidir.
İkinci kademede yeterlilik kararı yoksa, ilgili kişinin haklarını kullanabileceği ve etkili yasal başvuru yollarına sahip olabileceği uygun güvencelerin sağlanması şartıyla aktarım yapılabilir. Bu güvenceler arasında kamu kurum ve kuruluşları veya uluslararası kuruluşlar arasındaki anlaşma, Kurulun onayını gerektiren bağlayıcı şirket kuralları, Kurulca ilan edilen standart sözleşmeler ve Kurulun izniyle verilen yazılı taahhüt bulunur. Standart sözleşme metni değiştirilemez; imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kuruma bildirilmesi gerekir. Bildirim yükümlülüğünün yerine getirilmemesi idari para cezasını gündeme getirir.
Üçüncü kademe, yeterlilik kararı ve uygun güvence bulunmadığında uygulanan arızi aktarımdır. Bu yol yalnızca aktarımın düzenli olmaması, tek seferlik veya sınırlı sayıda olması ve veri sorumlusunun olağan faaliyetlerinin parçası olmaması halinde kullanılabilir. Örneğin ilgili kişinin, olası riskler hakkında bilgilendirildikten sonra açık rıza vermesi, aktarımın bir sözleşmenin ifası için zorunlu olması ya da hakkın tesisi, kullanılması veya korunması için gerekli bulunması bu kapsama girebilir. Düzenli ve sürekli aktarımlarda bu yola başvurulamaz.
Sık yapılan hatalar, bulut hizmeti veya yurt dışı sunucu kullanımının da aktarım sayılabileceğinin gözden kaçırılması, standart sözleşmenin değiştirilerek kullanılması ve imzadan sonra bildirimin yapılmaması olarak sayılabilir. Aktarımın hangi kademeye dayandığı, taraf rolleri ve verinin niteliği olayın özelliklerine göre ayrıca değerlendirilmelidir.
İlgili mevzuat: 6698 sayılı Kişisel Verilerin Korunması Kanunu m.5, m.6, m.9, m.18; 7499 sayılı Kanun; Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik
Bu yazı genel bilgilendirme amaçlıdır ve hukuki danışmanlık yerine geçmez.
