6698 sayılı Kişisel Verilerin Korunması Kanunu’nda Yapılan Değişiklikler

Değişiklikler Neler Getirdi?

Kanun’un 6, 9 ve 18'inci maddelerinde yapılan değişiklikler özellikle yurt dışına veri aktarımı ve özel nitelikli kişisel verilerin işlenmesindeki şartlar bakımından önemli yenilikler getirmektedir. Uzun zamandır beklenen KVKK reformunun bir bölümünü oluşturan bu değişiklik Türkiye'deki kişisel verilerin korunması mevzuatının Avrupa Birliği’nde uygulanan General Data Protection Regulation (GDPR) ile uyumlu hale getirilmesi yolunda önemli bir adım olarak değerlendirilmektedir.

Özel nitelikli kişisel verilerin işlenmesinde yeni veri işleme şartları

Özel nitelikli kişisel veriler altındaki sağlık ve cinsel hayata ilişkin veri ve diğer özel nitelikli kişisel veri ayrımı kaldırılmış ve işlenme şartları için öngörülen hukuka uygunluk sebepleri genişletilmiştir.

Buna göre özel nitelikli kişisel verilerin işlenmesi:

• İlgili kişinin açık rızasının olması,
• Kanunlarda açıkça öngörülmesi,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,
• İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun olması,
• Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,
• Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,
• İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,
• Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,

halinde mümkündür.

İşçi işveren ilişkisinde sağlık verilerinin işlenmesi açmazı

Sağlık verilerinin işveren tarafından yalnızca açık rızaya dayanılarak ya da işyeri hekimi aracılığı ile işlenmesine yönelik mevcut KVKK Madde 6 yürürlükte iken yaşanan sorunlara, yeni eklenen veri işleme şartlarının nasıl bir çözüm sunacağı değerlendirilmelidir.

• İş ilişkilerinde değerlendirilmesi gereken yeni veri işleme şartları şunlardır:
  
  • Veri işlemenin istihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması.
  • Kanunlarda açıkça öngörülmesi.
  
  
• Yapılması gereken:
  Veri sorumluları tarafından iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin ve kanunlarda açıkça öngörülen veri işleme amaçlarının tespit edilmesi gerekmektedir. Ayrıca, daha önce açık rızaya dayalı olarak yürütülen sağlık verilerinin işlenmesi süreçlerinin gözden geçirilmesi gerekmektedir. Aksi takdirde Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından yapılan “Diğer kişisel veri işleme şartlarının varlığı durumunda açık rıza alınmasının ilgili kişinin yanıltılması ve yanlış yönlendirilmesi dolayısıyla veri sorumlusunca hakkın kötüye kullanılması anlamına geleceği” değerlendirmesi bu halde de gündeme gelebilecektir.(1)

Kişisel Verilerin Yurt Dışına Aktarımında Yeni Dönem

Kişisel verilerin yurt dışına aktarımında açık rızayı önceleyen yaklaşım terk edilmiş olup, değişiklik ile kişisel verilerin yurt dışına aktarımında hem veri sorumluları hem de veri işleyenler tarafından gerçekleştirilecek aktarımlar için aşağıda belirtilen gereklilikler aranmaktadır. Dolayısı ile bu kapsamda yeni aktarım mekanizmalarının da değerlendirilmesi gerekecektir.

Yeni eklenen yurt dışına veri aktarım yöntemleri:

1. Aktarımın yapılacağı ülke hakkında Kurul’un yeterlilik kararı bulunması.
2. Yeterlik kararının bulunmaması ancak ilgili kişinin aktarımın yapılacağı ülkede de haklarını kullanma ve etkili kanun yollarına başvurma imkanının bulunması kaydıyla aşağıdaki şartlardan biri:
   1. yapılan uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul tarafından aktarıma izin verilmesi,
   2. Kurul tarafından onaylanan bağlayıcı şirket kurallarının varlığı,
   3. Kurul tarafından ilan edilen standart sözleşmenin varlığı ve sözleşmenin akdedildiğine ilişkin olarak 5 (beş) iş günü içerisinde Kişisel Verileri Koruma Kurumu’na (“Kurum”) bildirim şartının sağlanması (bildirim yapılmaması haline özgü 50.000 Türk lirasından 1.000.000 Türk lirasına kadar idari para cezası uygulanması düzenlenmiştir), veya
   4. Yeterli korumayı sağlayacak hükümlerin yer aldığı yazılı bir taahhütnamenin varlığı ve Kurul tarafından aktarıma izin verilmesi.

Tek sefere mahsus, arızi veri aktarımları için ise bazı istisnalar belirlenmiştir. Fakat belirtmek gerekir ki, bu istisnalar, süreklilik arz eden veri aktarımlarına uygulanamayacaktır.

Diğer bir önemli husus ise sonraki aktarımlar (onward transfers) bakımından da veri aktarım kurallarının geçerli olacağının belirtilmiş olmasıdır.

Yurt dışına aktarıma ilişkin usul ve esasların ise çıkarılacak bir yönetmelik ile ayrıca düzenleneceği belirtilmektedir.

Yapılması gereken:
Belirtmek isteriz ki Kanun değişiklikleri 1 Haziran 2024 tarihinde yürürlüğe girecek olup 1 Eylül 2024’e kadar açık rızaya dayalı olarak gerçekleştirilen yurt dışına veri aktarım faaliyetlerinin yeni kurallara uygun hale getirilmesi gerekecektir. Bu durumda 1 Eylül 2024 tarihine kadar veri sorumluları açık rızaya dayalı olarak yurt dışına veri aktarımı yapabilecektir.

Bu kapsamda, kişisel verilerin yurt dışına aktarılmasından önce:

• Yurt dışına yapılan aktarımlar tespit edilmelidir.
• Aktarım yapılacak ülke ve/veya sektör için yeterlilik kararı olup olmadığını kontrol edilmelidi
• Aktarım amaçları ve alıcının veri sorumlusu/veri işleyen niteliği belirlenmelidir.
• Aktarım tarafı ile standart sözleşme, bağlayıcı şirket kuralları ve taahhütname imzalanması müzakere edilmelidir. Bu kapsamda;
  • Standart sözleşme imzalanması halinde beş iş günü içerisinde Kurum’a bildirim yapılmalıdır.
  • Ortak ekonomik faaliyette bulunan teşebbüs grupları için Kurul onaylı bağlayıcı şirket kurullarının uygulanması değerlendirilebilir.
  • Yeterli korumayı sağlayacak hükümlerin yer aldığı taahhütnamenin imzalanması ve Kurul’a izin için sunulması değerlendirilebilir.

Kurul Kararlarına İtiraz

Değişiklikler öncesinde Kurul tarafından verilen idari para cezası kararlarına yönelik itirazlar için sulh ceza hakimliklerine başvuru yapılabilmekteydi. Yapılan değişiklikler ile Rekabet Kurumu kararlarında olduğu gibi Kurul tarafından verilen idari para cezalarına karşı da, idare mahkemelerinde dava açılması mümkün hale getirilmiştir.

Genel Değerlendirmemiz ve Sıradaki Adımlar

Yapılan değişiklikler, İnsan Hakları Eylem Planı, Ekonomik Reformlar Eylem Planı ve 2024-2026 Orta Vadeli Program da dahil olmak üzere çeşitli hükümet eylem planları ve programlarında vurgulanan ve uzun zamandır beklenen bir hedef olan sınır ötesi veri aktarımlarını düzenleyen kuralların GDPR ile uyumlu hale getirilmesi amaçlanmaktadır. Böylece Türkiye’de sınır ötesi veri aktarımlarını çevreleyen gri alanların netleştirilmesinin ve kişisel verileri koruma mevzuatına uyum kabiliyetinin artırılmasının da önü açılmış bulunmaktadır.

Yurt dışına aktarım sürecini detaylı bir şekilde düzenlemek ve prosedürleri net bir şekilde ortaya koymak amacı ile çıkarılacak yönetmelik de veri sorumluları ve veri işleyenler için aydınlatıcı olacak, uyum sürecini hızlandıracaktır. Kurul tarafından veri sorumlusundan veri sorumlusuna, veri sorumlusundan veri işleyene ve veri işleyenden veri işleyene olmak üzere farklı aktarım türlerine uygun standart sözleşmelerin duyurulması beklenmektedir.

(1) - https://www.kvkk.gov.tr/Icerik/5412/Acik-Rizanin-Hizmet-Sartina-Baglanmasi