AB Komisyon’undan Birleşik Krallık’a Veri Aktarımına İlişkin Yeni Kararlar
Brexit süreci sonucu Avrupa Birliği ve Birleşik Krallık arasında yapılan AB Ticaret ve İşbirliği Anlaşması ile öngörülen, Birleşik Krallık için kabul edilen altı aylık geçiş süresi kişisel verilerin herhangi bir ek korumaya gerek kalmadan AB'den Birleşik Krallık'a bu süre içinde aktarılmasına izin veriyordu. Ancak bu izin, 30 Haziran 2021 tarihinde sona erdi.
Avrupa Komisyonu geçtiğimiz günlerde, iki farklı yeterlilik kararı1 kabul etmiştir. Bu kapsamda, Genel Veri Koruma Tüzüğü (“GDPR”) ve Kanun Uygulama Direktifi (“LED”) çerçevesinde, Avrupa Birliği üye ülkelerinden ve Avrupa Ekonomik Alanı’nda yer alan ülkelerden Birleşik Krallık’a yapılacak veri transferlerine yeterlilik tanınmıştır.
GDPR m. 49, Avrupa Birliği’nde veya Avrupa Ekonomik Alanı’nda yer alan ülkelerden, üçüncü taraf ülkelere (Brexit ile Avrupa Birliği’nden çıkan Birleşik Krallık da bu kapsamdadır) hangi koşullarda veri aktarımı yapılabileceğini düzenlenmektedir. GDPR m. 49’da aktarım için aşağıdaki koşullar öngörülmüştür:
i) GDPR m. 45 uyarınca, veri aktarımı yapılan üçüncü taraf ülkeye ilişkin Avrupa Birliği veya Avrupa Ekonomik Alanı’nda yer alan ülke tarafından verilen bir yeterlilik kararı bulunması halinde,
ii) GDPR m. 46 uyarınca, üçüncü taraf ülkelerin Avrupa Birliği yasaları çerçevesinde yeterli önlem ve tedbirleri alması halinde (örn. standart sözleşmesel hükümler veya bağlayıcı şirket kurallarının bulunması); veya
iii) Üçüncü taraf ülkenin GDPR m. 49’da yer alan diğer hükümlerden birinin kapsamına girmesi halinde, (örn. İlgili kişinin açık rızasının bulunması veya verinin aktarımında kamu yararı bulunması).
Söz konusu yeterlilik kararları aşağıdaki değerlendirmeleri içermektedir:
- Avrupa Komisyonu, Birleşik Krallık'ın ulusal güvenlik nedenleriyle kamu kurum ve kuruluşlarının kişisel verilere erişim sağladığı alanlarda "güçlü korumalar sağladığını" doğruladı.
- Avrupa Komisyonu, özellikle kişisel verilerin aktarımı ve üçüncü ülke yeterliliğine ilişkin konularda, Birleşik Krallık veri koruma yasaları ve politikalarını, Avrupa Birliği’ndeki yasa ve politikalardan herhangi bir farklılık oluşmaması adına yakından izleyecek ve inceleyecektir. Bu inceleme, diğer ülkeler ile kıyaslandığında oldukça detaylı ve başka hiçbir ülkeye uygulanmayan seviyede bir inceleme olacaktır.
- Avrupa Komisyonu, Birleşik Krallık'ın mevcut kişisel veri koruma seviyesini korumakta zorluk çektiği veya politikasında uygun seviyede korumayı tesis edemediğini saptaması halinde, veri aktarımına müdahale edebilecektir.
- Bu yeterlilik kararı dört yıl süre ile verilmiş olup bu sürenin ardından kararlar otomatik olarak sona erecektir. Birleşik Krallık'ın yeterli düzeyde veri koruma sağlamaya devam etmesi halinde, Avrupa Komisyonu yeterlilik kararını yenileyecektir. Kararda bu süre sunset clause olarak düzenlenmiş ve Birleşik Krallık’a özgü olarak ilk kez bir yeterlilik kararı süre ile sınırlandırılmıştır.
