26 Ekim 2020 tarihinde, Kişisel Verileri Koruma Kurumu (“Kurum”), yurt dışına veri aktarımları konusunda Kurum’un şimdiye kadar olan çalışmaları da dahil olmak üzere konuya ilişkin gelinen noktada kamuoyuna bilgi vermek üzere  bir duyuru yayımlamıştır.

1. Kişisel verilerin yurt dışına aktarımına ilişkin Kanun’da öngörülen düzenleme

Duyuruda, kişisel verilerin yurt dışına aktarılmasının açıkça bir veri işleme faaliyeti olduğunun altı çizilmiş olup, diğer veri işleme faaliyetlerine kıyasla diğer bazı şartların aranmasının sebebi olarak kişisel verilerin aktarıldığı ülkede de etkin korumasının sağlanabilmesi gösterilmiştir. Nitekim yurt dışına veri aktarımına ilişkin usul ve esasları belirleyen Kanun’un 9. maddesinde, kişisel verilerin ilgili kişinin açık rızası olmaksızın yurt dışına aktarılamayacağı; ancak Kanun madde 5/2 ve  özel nitelikli kişisel veriler bakımından madde 6/3’te belirtilen şartlardan birinin varlığı ve kişisel verinin aktarılacağı yabancı ülkede yeterli korumanın bulunması halinde açık rıza almadan ilerlenebileceği; yeterli korumanın bulunmaması durumunda ise Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmeleri ve Kişisel Verileri Koruma Kurulu’nun (“Kurul”) izninin bulunması kaydıyla ilgili kişinin açık rızası aranmaksızın yurt dışına aktarılabileceği hükme bağlanmıştır.

2. Yeterli Koruma Bulunan (Güvenli) Ülkelerin Belirlenmesi

Güvenli ülkeler, Kurul tarafından, Türkiye’nin taraf olduğu uluslararası sözleşmeler, kişisel verilerin aktarılacağı ülke ile Türkiye arasında veri aktarımına ilişkin karşılıklılık durumu ve aktarılacak ülkenin mevzuatı ve uygulaması değerlendirilerek belirlenecektir. Bir ülkenin bağımsız veri koruma otoritesinin bulunup bulunmadığı, kişisel verilerin korunması ile ilgili uluslararası antlaşmalara taraf olma ile uluslararası kuruluşlara üye olma durumu ile ülkemizin üye olduğu küresel ve bölgesel örgütlere üye olma durumu ve ilgili ülke ile yürütülen ticaret hacmi gibi kriterlerin de  bu değerlendirmede dikkate alınacağı belirtilmiştir.  Söz konusu değerlendirmede her koşulda   “karşılıklılık” ilkesinin gerçekleşmesi gereği vurgusuna da dikkat çekilmektedir.
Ülkeler arası, hatta bazı durumlarda eyaletler arası mevcut mevzuat farklılıklarının bu değerlendirmeyi titizlikle ve sürekli yapılmasını gerektiren bir çalışma haline getirdiğinden, zaman alan bir çalışma olduğu ifade edilmiştir.
Duyuruda, halihazırda güvenli ülke statüsü tayini için diğer devletlerden Kurum’a iletilmiş herhangi bir talep bulunmamakla birlikte, ticari, siyasi ilişkiler, coğrafi ve kültürel bağlar dikkate alınarak çeşitli ülkelerle müzakerelerin sürdüğü belirtilmiştir. 

3. Yurt dışına veri aktarımları 108 sayılı Sözleşme dayanak gösterilerek yapılabilir mi?

Duyuruda kişisel verilerin Türkiye’nin taraf olduğu “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi” (108 Sayılı Sözleşme) dayanak gösterilerek yurt dışına aktarılması konusunda verilen karara** yönelik de  bir açıklama yapılmıştır.  Kurum,  bir ülkenin 108 sayılı Sözleşme’ ye taraf olmasının, o ülkenin Kurum tarafından güvenli ülke statüsü tayini için yeterli olmadığını ve salt bu Sözleşme dayanak gösterilerek Kurul’dan izin almadan Türkiye’den diğer taraf ülkelere yapılacak  veri aktarımlarının hukuka aykırı bulunacağının altını çizmiştir. 

4. Yeterli Koruma Bulunmayan Ülkelere Kişisel Veri Aktarımı

Bilindiği üzere, yeterli koruma bulunmayan ülkelere veri aktarımı yapılabilmesi için, aktarım taraflarının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurul’un aktarıma izin vermesi gerekmektedir. “Taahhütname” yöntemine ek olarak, çok uluslu şirket topluluklarını oluşturan şirketler arasında gerçekleştirilecek topluluk içi aktarımlarda “Bağlayıcı Şirket Kuralları” yöntemi de alternatif bir yeterli koruma sağlama yolu olarak belirlenmiştir.
Duyuruda, yurt dışına veri aktarımı için yapılan başvuruların Kurum’un ilgili tüm birimleri tarafından hem hukuki hem teknik boyutlarıyla titizlikle incelenmekte ve mümkün olan en kısa süre içerisinde başvuruculara geri dönüş yapılarak eksikliklerin tamamlanması veya düzeltmelerin yapılması için ek süre tanındığı belirtilmiştir.

5. Sonuç

Bu duyuru ile, hem Kurum’un ne detayda bir çalışma yaptığı konusunda kamuoyu bilgilendirilmekte, hem de konunun sadece Kurum’un inisiyatifinde değil, uluslararası hukuk ilkeleri kapsamında Dışişleri Bakanlığı ile yapılan çok yönlü çalışmaların sonucu olarak ulaşılacak bir süreç olduğu belirtilmekte olup, güvenli ülke listesinin ilan zamanlamasına ilişkin   kamuoyu beklentilerine ışık tutmaktadır.
Kamuoyunun beklentileri  karşısında Kurum’un benimsediği görüşün bir kez daha altının çizilmesi niteliği taşıyan bu duyuru ile; güvenli ülkeler listesi henüz açıklanmadığı ve yakın zamanda da açıklanması beklenmediği için yurt dışına veri aktarımlarında başvurulacak esas yol, tarafların veri güvenliğini bir taahhütname imzalamak suretiyle taahhüt ederek Kurul’dan izin almalarıdır. Uluslararası topluluk şirketleri için başvurulabilecek ikinci yol ise Bağlayıcı Şirket Kuralları yöntemidir. Kurum, bu iki yöntem dışında başka herhangi bir dayanak gerekçe gösterilerek gerçekleştirilen veri aktarımlarını hukuka aykırı kabul etmekte ve ciddi meblağlarda para cezaları öngördüğünden ilgili şirketlerin bu konuya hassasiyet göstermelerini ve henüz Kurul’dan izin için başvuru yapılmadı ise bu konunun öncelikli olarak planlanması konusunu bir kez daha dikkatlerinize sunarız.