KVKK'dan yeni yönetmelik: Kişisel veriler yurt dışına aktarılabilecek

Kişisel verilerin yurt dışına aktarılmasını düzenleyen Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik bugün Resmi Gazete'de yayınlandı. Kişisel Verilerin Korunması Kanunu'nun (6698) 9. maddesi uyarınca hayata geçen yönetmeliğe göre, kişisel veriler, veri sorumlusu ve veri işleyen tarafından yönetmelik hükümleri doğrultusunda yurt dışına aktarılabilecek.

Yeterlilik kararı ve uygun güvenceler 

Yönetmelikte, kişisel verilerin yurt dışına aktarımında izlenmesi gereken esasları belirtiliyor. Bu esaslar kapsamında aktarımın yapılacağı ülke, ülke içindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması gerekiyor. Yeterlilik kararı bulunmayan durumlarda ise yönetmelikte belirlenen güvencelerden birinin sağlanması gerekiyor.

Yeterlilik kararı bulunmadığı durumlarda, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunduğunu belirtelim. Uygun güvenceler sağlanamadığı takdirde ise veri sorumluları ve veri işleyenler, yönetmelikte belirlenen istisnai hâllerden birinin varlığı durumunda yurt dışına aktarım yapılabilecek.

Bu istisnai durumlarda veri aktarımı yapmanın şartları şöyle sıralanıyor;  ilgili kişinin açık rızasının alınması, sözleşmenin ifası için zorunluluk, kamu yararı için zorunluluk, bir hakkın tesisi, kullanılması veya korunması için zorunluluk, hayati tehlike durumlarında veri aktarımı ve sicil bilgilerine erişim şartlarının sağlanması. 

KVKK'dan onay alma süreci

Türkiye'nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumlarda, yalnızca ilgili kamu kurum veya kuruluşunun görüşü alınarak kişisel veriler yurt dışına aktarılabilecek. Aynı şekilde bu durumlarda KVKK'nın izni de alınacak. Bu noktada uluslararası sözleşme hükümlerinin saklı kalacağını belirtelim. 

KVKK, bir ülkenin, ülke içerisindeki sektörlerin ya da bir uluslararası kuruluşun yeterli düzeyde koruma sağladığına karar verebilecek konumda olacak. Buna ek olarak yeterlilik kararının, en geç 4 yılda bir yeniden değerlendirileceğini belirtelim. Kurul tarafından verilen yeterlilik kararları Resmî Gazete’de ve Kurumun internet sitesinde yayımlanacak.

Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uygun güvence sağlaması için kişisel verilerin korunmasına yönelik bağlayıcı şirket kuralları geçerli olabilecek. Şirketler, şirket kurallarına dayanarak kişisel verilerin yurt dışına aktarılabilmesi için KVKK'ya onay başvurusunda bulunabilecek. Sunulacak uygun güvenceler arasında yeterlilik kararı ve bağlayıcı şirket kurallarının yanı sıra standart sözleşmeler, yazılı taahhütnameler, kurulun izni ve gözetimi yer almakta.