Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik (“Yönetmelik”), 10 Temmuz 2024 tarihli Resmi Gazete’de yayımlanarak yürürlüğe girmiştir. Yönetmelik, kişisel verilerin yurt dışına transferi ile ilgili usul ve esasları düzenlemek amacıyla hazırlanmıştır.
Hatırlanacağı üzere Kişisel Verileri Koruma Kurumu (“Kurum”) tarafından Kurum internet sitesinde 9 Mayıs 2024 tarihinde yapılan duyuru (“Duyuru”) ile “Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Usul ve Esaslar Hakkında Yönetmelik Taslağı”nı (“Yönetmelik Taslağı”) kamuoyunun görüşlerini sunma sürecini başlattığını duyurmuştu. Kamuoyu görüşlerinin alınması ve değerlendirilmesi sonucunda Yönetmelik nihai haline kavuşmuştur.
Yönetmelik Taslağı ile Yönetmelik arasında önemli farklılıklar bulunmamakla birlikte, temel farklılık standart sözleşmeye ilişkin düzenlemede ortaya çıkmaktadır. Yönetmelik Taslağı’nın 14. maddesinde, standart sözleşmenin imzalanmasından itibaren 5 iş günü içinde Kurum’a bildirilmesi gerektiği düzenlenmekteydi. Yönetmelik’te ise bu düzenlemeye ek olarak, standart sözleşme taraflarında veya standart sözleşme içeriğinde bir değişiklik olması ya da standart sözleşmenin sona ermesi halinde de Kurum’a bildirim yapılması gerektiği belirtilmiştir. Bu değişiklikle, standart sözleşmeyle ilgili değişikliklerin de Kurum’a bildirilmesi zorunluluğu getirilmiştir.
Bunun dışında, Yönetmelik ile ilk defa veri aktaran ve veri alıcısı tanımları mevzuatımızda yerini bulmuştur. Yönetmelik, yurt dışına kişisel veri aktarımına taraf olan veri sorumluları ve veri işleyenler hakkında uygulanmak üzere düzenlenmiş olup, kişisel verilerin veri işleyen tarafından aktarılması hâlinde ayrıca veri sorumlusunun talimatlarına da uyma zorunluluğu öngörülmüştür. Bu zorunluluğun yurt dışına aktarılan kişisel verilerin sonraki aktarımları ve uluslararası kuruluşlara aktarımlar bakımından da uygulanması öngörülmüştür.
Yönetmelik ile Kurul tarafından yurt dışına veri aktarımı için Yeterlilik Kararı verilirken Kurul’un göz önünde bulundurulacağı ve yeterlilik kararının gözden geçirilmesine ilişkin hususlar detaylandırılmıştır. Buna göre yeterlilik kararı, en geç dört yılda bir yeniden değerlendirilecek; yeniden değerlendirme dönemleri açıkça belirlenecek ve Kurul, yeniden değerlendirme sonucunda ilgili ülkenin, ülke içerisindeki bir veya daha fazla sektörün ya da uluslararası kuruluşun yeterli düzeyde koruma sağlamadığını tespit etmesi hâlinde kararını ileriye etkili olmak üzere değiştirecek, askıya alacak veya kaldıracaktır. Yönetmelik’te, yeterlilik kararının değiştirilmesine, askıya alınmasına veya kaldırılmasına ilişkin olarak verilen kararlar Resmî Gazete’de ve Kurum’un internet sitesinde yayımlanacağı düzenlenmiştir.
Yönetmelik altında Uygun Güvencelere dayalı aktarım mekanizmalarından uluslararası sözleşme niteliğinde olmayan anlaşma, bağlayıcı şirket kuralları ve taahhütnamede bulunması gereken asgari hususlar ve bu mekanizmalara dayanılarak nasıl kişisel veri aktarımı yapılacağına ilişkin hususlar belirtilmiştir. Yine, Standart Sözleşmenin ise Kurul tarafından belirlenerek ilan edileceği düzenlenmiştir.
Kanun’un 9.maddesinin yeni halinde Yeterlilik Kararı ve Uygun Güvencelerin sağlanamadığı aktarımlar için başvurulabilecek geçen “arızi” ibaresi ise Yönetmelik’te istisnai aktarım halleri altında düzenli olmayan, tek veya birkaç sefer gerçekleşen, süreklilik arz etmeyen ve olağan faaliyet akışı içinde bulunmayan aktarımlar olarak yer almıştır. Arızi aktarım hallerinden biri olan kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması durumunda aktarımın sicillerde yer alan kişisel verilerin veya kişisel veri kategorilerinin tamamını içerecek şekilde gerçekleştirilemeyeceği, meşru menfaati bulunan kişilerin erişimine açık sicillerden yapılacak aktarımların ise yalnızca bu kişilere veya bu kişilerin talebi üzerine gerçekleştirilebileceği hüküm altına alınmıştır.
Yönetmelik’in uygulanması sırasında doğacak tereddütleri gidermeye ve Yönetmelik’te yer almayan konularda, ilgili mevzuat hükümleri çerçevesinde karar vermeye ise Kurul yetkili kılınmıştır.
Yönetmelik’in tam metnine takip eden linkten ulaşabilirsiniz:
https://www.resmigazete.gov.tr/eskiler/2024/07/20240710-2.htm
İşbu Hukuki Duyuru güncel hukuki konular hakkında sadece genel bilgilendirme amacı ile hazırlanmış olup, Bilgi Notu içerisinde yer alan değerlendirmeler hukuki tavsiye ya da hukuki görüş niteliği teşkil etmemektedir. İşbu Bilgi Notunun içeriğinden dolayı herhangi bir şekilde SRP-Legal Hukuk Ofisine sorumluluk tahmili mümkün değildir. Bu Bilgi Notunun kapsamındaki soru ve sorunlarınız bakımından hukuki danışman görüşü alınması tavsiye edilir.
