Kişisel Verilerin 108 Sayılı Sözleşme Dayanak Gösterilerek Yurt Dışına Aktarılması
Kişisel Verileri Koruma Kurulu (KVKK), yayımladığı 22.07.2020 tarih ve 2020/559 sayılı karar özetinde, kişisel verilerin 108 sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi’ne (108 sayılı Sözleşme) dayanılarak yurt dışına aktarılması konusunu ele aldı. Karara konu olay özelinde otomotiv sektöründe faaliyet gösteren bir firmanın müşterilerine gönderdiği bir SMS şikayet konusu yapılmış ve müşterilerinin belirli verilerini yurt dışında bulunan bir bulut veri tabanına aktarması nedeniyle hukuka uygun davranıp davranmadığı incelenmiştir.
Bilindiği üzere mevcut durumda, kişisel veriler, ilgili kişinin açık rızası ile ya da 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun 5. maddesinin ikinci fıkrası ile 6. maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul izninin bulunması kaydıyla yurt dışına aktarılabilmektedir. Söz konusu kararda veri sorumlusu savunmasını Türkiye’nin 108 sayılı Sözleşme’ye taraf olmasından bahisle Türkiye’den 108 sayılı Sözleşme’nin taraflarına doğru veri aktarımı yapılması durumunda herhangi bir hukuki sınırlama olmadığı noktasına dayandırmıştır. Kurul da bu bağlamda ilk kez yurt dışına veri aktarımı hususunda 108 sayılı Sözleşme hükümlerinin doğrudan paylaşım için bir dayanak oluşturup oluşturmayacağı sorusuna yanıt vermiş oldu.
Kurul, AB uygulamasına paralel olarak, 108 sayılı Sözleşme’nin 6698 sayılı Kanun uyarınca yurt dışına paylaşım bakımından güvenli ülke statüsü tayin etmede tek kriter olarak ele alınamayacağı, bu hususun ancak güvenli ülke tayini hususunda yapılacak değerlendirmede olumlu bir husus olarak değerlendirileceği görüşünü kararında belirtmiştir. Bu sebeple Kanun’da belirtilen yurt dışına aktarım şartlarının gerçekleşip gerçekleşmediğini incelemiş ve somut olay özelinde açık rızanın koşullarının oluşmadığı ve açık rıza dışında dayanılan meşru menfaat bakımından da gerekli gerekçelendirmenin yapılmadığı ve taahhütname ile Kurul iznine başvurulmadığından bahisle ilgili veri sorumlusu hakkında idari para cezasının uygulanmasına karar vermiştir.
Kurul tarafından yerine getirilmesi gereken güvenli ülkelerin belirlenmesine ilişkin çalışmanın halen yapılmamış olması, yurt dışına kişisel veri aktarım faaliyetlerindeki zorluk ve belirsizliklerin devam etmesine neden olmaktadır.
Kararın tam metni için: https://kvkk.gov.tr/Icerik/6790/2020-559
(04.09.2020)
Av. Derya ŞAHİNER
