Günümüzde kişisel verilerin dolaşımı hem veri sahipleri bakımından hem de veri sorumluları bakımından oldukça önem arz eden konulardan biridir. Çünkü özellikle iletişim çağı olarak da nitelendirilen, her türlü veriye kolayca erişilebilen ve teknolojinin gün geçtikçe ivme kazanarak geliştiği şu günlerde veri dolaşımının takibi ve kontrolü net bir şekilde yapılmadığı müddetçe verinin nereye ulaştığını ya da ulaşacağını tahmin etmek zor görünmektedir. İnternette dolaşırken basit bir siteye girmeniz veya birine e-posta göndermeniz dahi kişisel verilerinizin yurt dışına aktarılması için yeterlidir.
İşte bu sebeplerle 2016 yılında yürürlüğe giren Kişisel Verilerin Korunması Kanunu (“Kanun”) ile bu durumun özellikle veri sorumluları bakımından kontrol altında tutulması amaçlanmıştır.
Kanun, Kişisel Verilerin Yurt Dışına Aktarılması Hakkında Ne Diyor?
1.İlgili kişinin (veri sahibi) açık rızası varsa; kişisel veri yurt dışına aktarılabilecektir. Ama açık rızanın ilgili kişi tarafından verilebildiği gibi her zaman da geri alınabileceği unutulmamalıdır.
2.İlgili kişinin açık rızası yoksa ancak Kanun’da yer alan kişisel veri veya özel nitelikli kişisel veri işleme şartlarından biri de mevcut ise kişisel veri;
- Kurum tarafından ilan edilecek yeterli korumanın bulunduğu güvenli ülkelere aktarılabilir. Henüz işbu yazının yayınlandığı tarihte güvenli ülkelere ilişkin bir bilgi Kurum tarafından paylaşılmamıştır.
- Kişisel verinin aktarılacak olduğu veri sorumlusu/veri işleyen, Kurum tarafından yeterli korumanın bulunduğunun açıklandığı ülkelerden birinde yer almıyorsa hem kişisel veriyi aktaran hem de kişisel verinin yurt dışındaki alıcısı tarafından Kurum’a yeterli korumanın taahhüt edilmesiyle ve Kurum’un da bu konuya ilişkin onayıyla aktarılabilir. Yeterli korumanın taahhüt edilebilmesi taahhütname başvurusu yoluyla ya da bağlayıcı şirket kuralları başvurusu yoluyla mümkün olabilmektedir. Şu an için onaylandığı Kurum tarafından yayınlanan iki adet taahhütname başvurusu bulunmaktadır.
Taahhütname Başvurusu Nedir ve Nasıl Yapılır?
Taahhütname başvuruları yurt içindeki kişisel veriyi aktaran ve yurt dışındaki kişisel veri alıcısı tarafından birlikte yeterli korumanın taahhüt altına alındığının belgelenmesi yoluyla yapılacak bir başvurudur. Bu başvuru, sonuçlarını ancak Kurum’un da onayıyla doğuracaktır. Diğer bir deyişle, Kurum tarafından taahhütname başvurusu onaylanmadan yurt dışına kişisel veri aktarımı için gerekli şartların yerine getirildiği düşünülmemelidir.
Taahhütname başvuruları için Kurum tarafından iki adet şablon yayınlanmıştır. Bu şablonlar veri sorumlusundan veri sorumlusuna kişisel veri aktarımı ve veri sorumlusundan veri işleyene kişisel veri aktarımını konu edinmektedir. Bu sebeple Kurum’a taahhütname başvurusunda bulunulmadan önce veri alıcısının hukuki statüsü yani veri sorumlusu mu yoksa veri işleyen mi olduğu iyi tespit edilmelidir. Taraflar arasındaki bu ilişkinin tespiti ancak tarafların karşılıklı yetki ve sorumluluklarını göz önünde bulundurarak yapılabilir.
Taahhütname başvuruları ancak o kişisel verinin aktarılmasında Kanun’da yer alan kişisel veri veya özel nitelikte kişisel veri işleme şartlarından birinin mevcudiyeti halinde yapılabilir. Diğer bir deyişle yalnızca açık rıza alınarak işlenmesi/aktarılması mümkün olan kişisel veriler için taahhütname başvuruları yapılmamalıdır.
Ve son olarak, Kurum’a taahhütname başvurusunda bulunulmadan önce mutlaka aşağıdaki kaynakların incelenmesini tavsiye ederiz.
- https://www.kvkk.gov.tr/Icerik/2053/Yurtdisina-Aktarim
- https://kvkk.gov.tr/Icerik/5255/Taahhutnameler
Konu hakkında daha detaylı bilgi için bizimle iletişime geçebilirsiniz.
Av. Sinem İLİKLİ
TARLAN – BAKSI AVUKATLIK BÜROSU
AV. AYLİN TARLAN – AV. DERYA BAKSI
Tarlan Avukatlık Bürosu Bloğu 