Yeni Gelişme
Kişisel Verileri Koruma Kurumu (“Kurum“) kişisel verilerin 108 sayılı Sözleşme dayanak gösterilerek yurt dışına aktarılması hakkında değerlendirmelerini içeren bir karar özeti yayınladı. Kurum ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun“) kapsamında yurt dışına veri aktarımına ilişkin kısıtlamalar ve 108 sayılı Sözleşme hükümlerinin hukuki statüsünü de değerlendirdi.
Kurum’un duyurusuna buradan ulaşabilirsiniz.
Karar Ne Diyor?
Kurum kararında konuya ilişkin değerlendirmeleriyle ilgili detaylı açıklamalar ve yorumlar paylaşmıştır. Sonuç olarak Kurumun kararının konuya ilişkin önemli başlıkları aşağıdaki gibi özetlenebilir:
- Veri sorumlusunun (108 sayılı Sözleşmeye istinaden) kişisel verilerin yurtdışına aktarımı Kanunun 9. maddesinde belirtilen hususlara uygun bir veri aktarımı değildir.
- 108 sayılı Sözleşmeye taraf olmak güvenli ülke statüsü tayini bakımından tek başına yeterli değildir. Kurul tarafından yapılacak değerlendirmede olumlu bir unsur teşkil edebilir.
- Dolayısıyla 108 sayılı Sözleşmeye dayanıldığı gerekçesiyle, gerekli şartlar sağlanmadan kişisel verilerin yurt dışına aktarılması suretiyle hukuka aykırı bir kişisel veri işleme faaliyeti gerçekleştirilmiştir.
- Bu durumda Kanun uyarınca veri güvenliğine ilişkin yükümlülükler kapsamında “Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek” yükümlülüğü yerine getirilmemiştir.
- Tüzel kişi veri sorumlusu hakkında 900.000 TL idari para cezası uygulanmasına karar verilmiştir.
- Ayrıca, hukuka aykırı olarak yurtdışına aktarılan söz konusu kişisel verilerin Kanuna uygun olarak silinmesi/yok edilmesi ve sonucundan Kuruma bilgi verilmesi hususunda veri sorumlusuna talimat verilmiştir.
Sonuç
Kurum bir kez daha kişisel verilerin yurt dışına aktarımı konusunda güvenli ülke ilan edilmeyen ülkelere açık rıza alınmadan gerçekleştirilecek aktarımların Kanunda yer alan işleme şartlarının birinin varlığı ve tarafların yeterli korumayı yazılı olarak taahhüt etmeleri ve Kurul tarafından aktarıma izin verilmesi halinde gerçekleştirilebileceğini vurgulamıştır. Hiçbir ülkenin henüz güvenli ülke olarak addedilmediği ve görünüşe bakıldığında izin başvurularının kısa bir sürede sonuçlandırılamadığı mevcut durumda tüm yurt dışına aktarım faaliyetleri için veri sorumlularına açık rıza almaktan başka alternatif yöntem kalmamaktadır. Kurum açık rızaya dayanarak işleme faaliyeti gerçekleştirmekten mümkün mertebe kaçınılmasını tavsiye etmektedir. Ayrıca günlük ekonomik hayatın gerçekleri gereği bir süre sonra gereksiz bir duruma düşebilecek bir açık rıza mekanizmasının uygulamaya konulması hususunda pratik ve ekonomik kaygılar ve bunlara bağlı engeller bulunmaktadır. Bu durumda veri sorumlularının yurt dışına transfer konusunda yaşadığı sıkıntıların tüm ilgili taraflar açısından zaman ve kaynak tüketimine devam edeceği anlaşılmaktadır. Her halükarda kararın, Kanun kapsamında mevcut yöntemlere olası bir alternatif yöntem olarak önerilen 108 sayılı Sözleşme konusundaki tartışmaları bitirmesi ve 108 sayılı Sözleşmenin tek başına bu konuda geçerli bir dayanak ve Kanundaki yöntemlere alternatif oluşturmadığını teyit etmesi bakımından önem taşıdığı açıktır.
COVID-19 salgını ile ilgili hukuki düzenlemelerle ilgili bilgilere Esin Avukatlık Ortaklığı Coronavirüs Masası‘ndan ulaşabilirsiniz.
