Kişisel verilerin yurtdışına çıkartılmasına vize

2016 yılında kanunlaşarak yürürlüğe giren kişisel verilerin korunması hakkındaki kanunda 8 yıldır eksikliği eleştiri sebebi olan, kişisel verilerin yurtdışına çıkartılmasına ilişkin düzenlemeleri içeren yönetmelik, 10 Temmuz 2024 tarihli Resmi Gazete’de yayımlanarak yürürlüğe girdi.

Yeterlilik şartı

Kişisel verilerin yurt dışına aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklı kalmak kaydı ile veri aktarımının yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında yeterlilik kararı bulunması durumunda kişisel verilerimiz yurtdışına aktarılabilecek.

Yeterlilik yoksa

Yönetmelikte, yeterlilik kararı bulunmasa dahi kişisel verilerin yurtdışına aktarılmasına imkan tanıyan düzenlemeler de yer alıyor.

Yeterlilik kararının bulunmaması durumunda, ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkânının bulunması kaydıyla, aşağıdak belirtilen uygun güvencelerden birinin taraflarca sağlanması durumunda da verilerin yurtdışına aktarılmasına izin verilecek.

a) Yurt dışındaki kamu kurum ve kuruluşları veya uluslararası kuruluşlar ile Türkiye’deki kamu kurum ve kuruluşları veya kamu kurumu niteliğindeki meslek kuruluşları arasında yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi.

b) Ortak ekonomik faaliyette bulunan teşebbüs grubu bünyesindeki şirketlerin uymakla yükümlü oldukları, kişisel verilerin korunmasına ilişkin hükümler ihtiva eden ve Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı.

c) Kurul tarafından ilan edilen, veri kategorileri, veri aktarımının amaçları, alıcı ve alıcı grupları, veri alıcısı tarafından alınacak teknik ve idari tedbirler, özel nitelikli kişisel veriler için alınan ek önlemler gibi hususları ihtiva eden standart sözleşmenin varlığı.

ç) Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

İstisna Durumlar

Veri aktarımının yapılacağı ülke, sektör ve kuruluşlar yeterlilik şartını sağlamazsa ve dahi gerekli güvencelerden birisini vermese dahi süreklilik arz etmediği sürece (arızi) bazı istisnai durumlarda da kişisel verilerimiz yurtdışına aktarılabilecek.

a) İlgili kişinin, muhtemel riskler hakkında bilgilendirilmesi kaydıyla, aktarıma açık rıza vermesi.

b) Aktarımın, ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirlerin uygulanması için zorunlu olması.

c) Aktarımın, ilgili kişi yararına veri sorumlusu ve diğer bir gerçek veya tüzel kişi arasında yapılacak bir sözleşmenin kurulması veya ifası için zorunlu olması.

ç) Aktarımın üstün bir kamu yararı için zorunlu olması.

d) Bir hakkın tesisi, kullanılması veya korunması için kişisel verilerin aktarılmasının zorunlu olması.

e) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için kişisel verilerin aktarılmasının zorunlu olması.

f) Kamuya veya meşru menfaati bulunan kişilere açık olan bir sicilden, ilgili mevzuatta sicile erişmek için gereken şartların sağlanması ve meşru menfaati olan kişinin talep etmesi kaydıyla aktarım yapılması.

Kurul her zaman aktarım izni verebilir

Kişisel verilerin yurtdışına aktarılmasına ilişkin yeterlilik, güvence ve istisnai durum şartları aranmaksızın Kişisel Verilerin Korunması Kurulu, vereceği bir karar ile kişisel verilerin aktarılmasına izin verebilecek. Ancak, kurumun vereceği izin için ilgili kamu kurum ve kuruluşunun görüşünü alması gerekiyor. Ayrıca, bu iznin verebilmesi için Türkiye’nin veya ilgili kişinin menfaatinin ciddi bir şekilde zarar göreceği durumun oluşması gerekiyor. Her halükarda kişisel verilerin yurtdışına aktarılmasına ilişkin izinlerde dahi uluslararası sözleşme hükümlerinin saklı kalma şartı aranıyor.

Yönetmeliğin tam metnine Resmi Gazete’den ulaşabilirsiniz.