Bilindiği üzere, 6698 sayılı Kişisel Verilerin Korunması Kanunu (“Kanun”) kapsamında hali hazırda, kişisel verilerin yurtdışına aktarımı (i) veri sahibinin açık rızasının alınması veya (ii) Kanun’un 5. veya 6. maddesinde sayılan veri işleme şartlarının mevcut olması ve Kişisel Verileri Koruma Kurulu’ndan (“Kurul”) aktarım ile ilgili bir izin alınması halinde mümkündür.[1]

Kurul’dan izin almak oldukça uzun bir süreç olabildiğinden, genellikle veri sorumluları yurtdışına aktarım için veri sahibinin açık rızasını alma yöntemine başvurmaktadır ancak bu da bazı zorlukları beraberinde getirmektedir. Şöyle ki; Kanun’un 3. maddesinde yer alan açık rıza tanımı göz önüne alındığında, açık rızanın geçerlilik şartlarından biri de özgür iradeye dayanılarak alınmasıdır. Açık rızanın özgür iradeye dayandığından bahsedebilmek için, veri sahibinin hiçbir koşula bağlı olmaksızın verilerinin yurtdışına aktarılmasına izin vermiş olması gerekir. Ancak veri sorumlusunun global bir şirketler grubunun parçası olduğu durumlarda, veri sorumlusu veri sahibini istihdam edebilmek ya da ona bir hizmet sunabilmek veya onunla olan ticari ilişkisini sürdürebilmek için bir anlamda zorunlu olarak verileri yurtdışına aktarmaktadır ve bu tür durumlarda, veri sahibi açık rıza vermediği takdirde, veri sahibi ile olan hukuki ilişkiyi devam ettirmek mümkün olmamaktadır. Bu da aslında açık rızanın özgür iradeye dayanması prensibini zedelemektedir.

Bu hususta, Kişisel Verileri Koruma Kurulu’nun 24.02.2022 tarih ve 2022/172 sayılı Kararı (“Karar”) önem teşkil edebilir. Karar, yurtdışındaki bir veri sorumlusunun Türkiye’deki irtibat bürosu hakkında yapılan bir şikayete ilişkindir. Veri sahibi, irtibat bürosunun bağlı bulunduğu yurtdışında mukim tüzel kişinin çalışanı olup, şikayet kapsamında verilerinin hukuka aykırı şekilde irtibat bürosunca yurtdışındaki tüzel kişiye aktarıldığından da bahsetmiştir. Kurul, Karar’da bu şikayete yönelik olarak şöyle bir değerlendirme yapmıştır:

“… İlgili kişinin yurt dışı menşeli veri sorumlusu bünyesinde çalışmak üzere iş akdi yaparken, veri sorumlusunun tabi olduğu yabancı mevzuat gereği kendisinden temin edilen bilgi ve belge mahiyetindeki kişisel verilerinin yurt dışında işleneceğini düşünmemesinin mümkün olmadığı, bir akdin gereğinin yerine getirilmesi için ilgili kişiden açık rıza temin etmekten başka hiçbir yasal yol olmaması durumunda bu akit kurulurken taraflardan açık rıza istenmesinin açık rızanın yasal unsurlarını sakatlamayacağı, zira ilgili kişinin bu akit kurulurken kişisel verilerinin akıbetine dair farkındalık sahibi olduğu…”.

        Bu yaklaşım çerçevesinde, Kurul verilerin yurtdışına aktarımı yönünden bir aykırılık bulunmadığın kanaat getirerek, veri sorumlusu aleyhine bir yaptırım uygulamamıştır.

Her ne kadar Karar doğrudan global şirket gruplarının parçası olan Türkiye’de yerleşik veri sorumlularına ilişkin olmasa da, Karar’ın yukarıda alıntılanan kısmı, bu tür veri sorumlularının yurtdışında bulunan ana şirketleri, bağlı şirketleri ya da yurtdışındaki sunucularına yapılan aktarımlar bakımından önem teşkil edebilir. Şöyle ki; veri sorumlusu Türkiye’de yerleşik olsa da, veri sorumlusunun global bir şirket olduğunu bilerek onunla herhangi bir türdeki sözleşmesel ilişkiye giren veri sahibi, bu hukuki ilişkinin ifası kapsamında verilerin yurtdışına aktarılabileceğini öngörebilir. Bu husus, veri sahibinden yurtdışına aktarım hususunda açık rıza alınmasına gerek olmadığı anlamına gelmemektedir. Ancak açık rızanın verilmemesi halinde veri sorumlusunun bahse konu hukuki ilişkiyi sürdüremeyeceğinden bahisle, açık rızanın bir nevi koşula bağlanmasının Kanun’a aykırılık teşkil etmeyeceği şeklinde bir yorum yapılmasına zemin hazırlayabilir.

Diğer yandan, yakın zamanda Kanun’un yurtdışına aktarımı düzenleyen maddelerinde, Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) örnek alınarak, değişiklik ve iyileştirmeler yapılması beklenmektedir.

[1] Kurul tarafından güvenli ülkeler açıklandığında, bu ülkelere Kanun’un 5. ve 6. maddesinde sayılan veri işleme şartlarının mevcudiyetine istinaden veri aktarılması mümkün hale gelecektir.

Batuhan Şahmay
Ortak | [email protected]
Naz Ergörün
Avukat | [email protected]