Çin’de Faaliyet Gösteren Türk şirketleri için Yeni Çin Veri Koruma Düzenlemeleri
Çin Halk Cumhuriyeti kanun koyucuları, Çin dışına yapılan kişisel veri aktarımları için geçtiğimiz aylarda yeni kurallar yayınladı. Buna göre Çin dışına kişisel veri aktarabilmek için Çin yasalarında öngörülen üç mekanizmadan birini kullanmak gerekiyor. Bu kuralın kapsamına aşağıdaki veri aktarım süreçleri de dahil:
- Çin’de yer alan şirketlerin diğer ülkelerdeki iştirakleri/grup şirketleri ile yapacakları kişisel veri aktarımları
- Çin'de faaliyet göstermeyen yabancı şirketlerin belirli faaliyetleri (Örneğin, bir şirketin Çin'de faaliyet göstermiyor olsa bile Çin'deki kişilere, örneğin e-ticaret yoluyla, ürün satması veya hizmet sağlaması)
Çin, veri kurallarının uygulanması konusunda oldukça katı bir yaklaşıma sahip. İdari para cezalarına ek olarak kişisel sorumluluklar da söz konusu olabiliyor. Sorumlu kişiler para cezasına çarptırılabileceği gibi bir süre için önemli pozisyonlarda bulunmaktan menedilebiliyor ya da bu kişiler hakkında tazminat hükümleri işletilebiliyor. Bu nedenle, Çin'de iş yapan şirketlerin uyumluluğu sağlamak için hızlı adımlar atması gerekiyor.
Çin dışına veri aktarım kuralları
Kişisel verilerin Çin Halk Cumhuriyeti sınırları dışına aktarılacağı tüm süreçler aşağıda belirtilen üç mekanizmadan biri kullanılarak gerçekleştirilmelidir:
- Hükümet onayı
- Çin hükümeti tarafından belirlenen profesyonel bir kurum tarafından sertifikalandırma
- Çin hükümeti tarafından öngörülen standart bir sözleşme imzalanması
Ek olarak, kullanılan üç mekanizmadan hangisinin kullanıldığına bakılmaksızın, kişisel verilerin Çin dışına aktarılmasından önce aşağıdaki yükümlülükler de yerine getirilmelidir:
- Kişisel veri alıcısının adını ve iletişim bilgilerini; işlemenin amacını ve yöntemini; söz konusu kişisel bilgilerin türünü ve ayrıca haklarını nasıl kullanabileceğine ilişkin veri sahibini bilgilendirmek
- Veri sahibinden uygun bir rıza alınması
- Sınır ötesi transfer etki değerlendirmesinin yapılması (bu tür değerlendirmelerin kayıtları en az üç yıl süreyle saklanmalıdır)
Sonuç
Son yıllarda birçok şirket ABD ve Avrupa Birliği’ndeki veri gizliliği yasalarına uyumluluk için pek çok çalışma yapıyor. Çin Halk Cumhuriyeti’ndeki yeni veri koruma düzenlemeleri, birçok yönden GDPR (Avrupa Birliği Genel Veri Koruma Tüzüğü) gibi küresel mevzuatla uyumlu, ancak bazı önemli farklılıklar içeriyor.
Çin ile ticari ilişkileri olan işletmelerin atması gereken ilk adım, Çin’deki bu yeni düzenlemelerin kendileri için geçerli olup olmadığını anlamak ve bu farklılıkların kendi operasyonlarına nasıl uygulanacağını değerlendirmektir.
