6698 sayılı Kişisel Verileri Koruma Kanunu (“Kanun”) uyarınca kişisel verilerin aktarımı; kişisel verilerin veri sorumlusu ya da veri işleyen tarafından başka bir veri sorumlusu ya da veri işleyene aktarılması olarak tanımlanabilir. Kişisel verilerin yurtiçi ve yurtdışına aktarılmasına yönelik hükümlere Kanun’un 8. ve 9. maddelerinde yer verilmiştir. Bu kapsamda, kişisel verilerin aktarılması için Kanun’da belirtilen şartların yerine getirilmiş olunması gerekmektedir.
A. Kişisel Verilerin Yurtiçine Aktarılması
Kanun madde 8 uyarınca kişisel verilerin yurtiçine aktarılması birtakım şartlara bağlanmıştır. Diğer taraftan, kişisel verilerin yurtiçinde hukuka uygun şekilde işlenmesi bunların doğrudan aktarılabileceği anlamına gelmemektedir. Yani, aktarma için de Kanunun 5. ve 6. maddesindeki şartların ayrıca aranması gerekmektedir[1]. Bu kapsamda, kişisel verilerin aktarılması için aşağıdaki hallerden birinin bulunması gerekmektedir: i) ilgili kişinin açık rızasının alınması, ii) Kanunlarda açıkça öngörülmesi, iii) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, iv) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması, v) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması, vi) İlgili kişinin kendisi tarafından alenileştirilmiş olması, vii) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması, viii) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olmasıdır.
B. Kişisel Verilerin Yurtdışına Aktarılması
Kanun’un 9. Maddesinde kişisel verilerin yurtdışına aktarılması hükümleri düzenleme bulmuştur. Kanun uyarınca ilgili kişinin açık rızasının bulunmaması durumunda kişisel verinin yurtdışına aktarılması kural olarak yasaklanmıştır. Ancak Kanun’un 5. ve 6. maddelerinde yer alan istisnalar ile kişisel verilerin açık rıza olmadan aktarılmasına olanak verilmektedir. Ayrıca kişisel verinin aktarılacağı ülkenin veri koruma düzenlemelerine göre de değerlendirmeler yapılması gerekmektedir. Bu kapsamda yapılacak değerlendirmeyi yeterli veri koruma güvenliği olan ve olmayan ülkeler yönünden yapmak uygun olacaktır:
- Yeterli korumanın bulunduğu ülkelere kişisel veri aktarımı (Kurul tarafından güvenli kabul edilen ülkeler) yapılacaksa Kanunda belirtilen hallerin varlığı (Kanunun 5. maddesinin 2. fıkrası ile 6. maddesinin 3. fıkrasında belirtilen şartlar) aranmaktadır.
- Yeterli korumanın bulunmadığı ülkelere kişisel veri aktarımı yapılacaksa Kanunda belirtilen hallerin varlığı (Kanunun 5. maddesinin 2. fıkrası ile 6. maddesinin 3. fıkrasında belirtilen şartlar) Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularınca yeterli korumanın yazılı olarak taahhüt edilmesi ve Kurulun izninin bulunması, durumlarında gerçekleştirilebilecektir.
Yeterli korumaya sahip ülkelerin belirlenmesindeki kriterler ise Kurul tarafından yayımlanan 02.05.2019 tarihli ve 2019/125 sayılı kararı ile paylaşılmıştır. Bahsi geçen kararda yer alan formdaki belirtilen kriterler, ülkelerin veri güvenliğinin olup olmadığı konusunda yapılacak değerlendirmedeki kıstasları bizlere tanıtmaktadır.
Yeterli korumaya sahip ülkelerde kişilerin, sağlık ve cinsel hayata ilişkin kişisel verileri ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın yurtdışına aktarılabilecektir [2].
Sonuç olarak; kişisel verilerin yurtiçi ve yurtdışına aktarımında, Kanun’da aranan şartların oluşup oluşmadığına, Kurul kararlarına ve yine Kurul tarafından yayımlanan rehberlerde belirtilen hususlara dikkat edilerek aktarım yapılmasına dikkat edilmelidir.
[1]https://www.kvkk.gov.tr/Icerik/2052/Yurtici-Aktarim
[2]https://kvkk.gov.tr/yayinlar/K%C4%B0%C5%9E%C4%B0SEL%20VER%C4%B0LER%C4%B0N%20YURTDI%C5%9EINA%20AKTARILMASI.pdf
