108 Sayılı Sözleşmeye Dayanarak Yurtdışına Veri Aktarımı Yapılması Hakkında Kurum Kararı

Özet

Kişisel Verileri Koruma Kurumu (“Kurum”), yurt dışına veri aktarımına ilişkin oldukça önemli bir kararını yayınlamıştır. Veri sorumlusunun “Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi”nin (108 sayılı Sözleşme) iç hukuka aktarıldığını, Türkiye’nin de bu sözleşmeye taraf olduğunu ve yurtdışına veri aktarımını bu sözleşmeye dayanarak gerçekleştirdiğini ileri sürmesi üzerine Kurum, 6698 sayılı Kanun (“Kanun”) ve 108 Sayılı Sözleşmenin hükümlerini bir arada değerlendirmiştir.  

Kurum’un konuya ilişkin kararı özetle aşağıdaki gibidir: 

108 sayılı Sözleşmeye ilişkin açıklayıcı raporda aktarımın yapılacağı ülke ile karşılıklılık halini dikkate alacağına ilişkin maddesi ile Kanun’un 9. maddesinde yer verilen düzenleme göz önüne alındığında, Kanun’da öngörülen kişisel veri aktarımı düzenlemesinin 108 sayılı Sözleşme ile uyumlu olduğu belirtilmiştir.  

Kararda yapılan değerlendirme uyarınca, 108 sayılı Sözleşmeye taraf olmak AB uygulamasında olduğu gibi Kanun kapsamında da güvenli ülke statüsü tayini bakımından tek başına yeterli değildir. Veri sorumlusunun yurt dışına veri aktarımı değerlendirildiğinde, 108 sayılı Sözleşmeye istinaden veri sorumlusunun gereçekleştirmiş olduğu kişisel verilerin yurtdışına aktarımının, Kanun’un 9. maddesinde belirtilen hususlara uygun şekilde  gerçekleştirilmediği belirtilmiştir. 

Bu sebeple Kanun uyarınca veri güvenliğine ilişkin yükümlülükler kapsamında “Kişisel verilerin hukuka aykırı olarak işlenmesini önlemek” yükümlülüğünün yerine getirilmediği belirtilmiş ve tüzel kişi veri sorumlusu hakkında 900.000 TL idari para cezası uygulanmasına karar verilmiştir. 

Ayrıca, hukuka aykırı olarak yurtdışına aktarılan söz konusu kişisel verilerin Kanun’un 7. maddesine uygun olarak silinmesi/yok edilmesi ve sonucundan Kurum’a bilgi verilmesi hususunda veri sorumlusuna talimat verilmiştir.

Sonuç olarak henüz hiçbir ülke Kurum tarafından güvenli ülke olarak ilan edilmediği için tüm yurt dışına aktarım faaliyetlerinde (i) açık rıza alınması ya da (ii) tarafların yeterli korumayı yazılı olarak taahhüt etmeleri ve Kişisel Verileri Koruma Kurulu tarafından aktarıma izin verilmesi gerekmektedir. Aksi takdirde, halihazırdaki mevzuat ve uygulama dikkate alındığında, hukuka uygun bir şekilde yurt dışına veri aktarımı yapılması mümkün olmamaktadır.