Kişisel verilerin yurtdışına aktarılması Kişisel Verilerin Korunması Kanunu’nun (“Kanun”) 9. Maddesinde düzenlenmiştir.
Kanun’nun 9. maddesi ile getirilen esas kural, yurtdışına aktarım için veri sahibinin açık rızasının alınmasıdır. Ancak bazı durumlarda ilgili kişinin açık rızasının alınmasına gerek bulunmamaktadır. Bu durumlar Kanun’da düzenlenen kişisel verilerin işlenmesinde açık rızaya gerek olmayan durumlarla aynıdır. Bunlar;
- Veri işlemenin veya aktarmanın kanunlarda açıkça öngörülmesi
- Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması
- Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması,
- Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması
- Verinin ilgili kişinin kendisi tarafından alenileştirilmiş olması
- Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması
- İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması durumlarıdır.
Ancak bu durumda da veri aktarımı yapılacak olan ülkede yeterli korumanın bulunması, başka bir deyişle bu ülkenin Kişisel Verileri Koruma Kurulu tarafından güvenli ülke olarak belirtilmiş olması veya verinin aktarılacağı ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmiş olmaları gerekmektedir.
Yurtdışında da faaliyet gösteren şirketler toplulukları ile ilgili olarak ise istisnai bir durum getirilmiş ve yeterli koruma olmayan ülkelere grup şirketleri içerisinde veri gönderimi bağlayıcı şirket kurallarının KVKK’ya sunulması ile mümkün kılınmıştır. Bu konuyla detaylı bilgiye buradan ulaşabilirsiniz.
Özel Nitelikli Kişisel Verilerin Yurtdışına Aktarımı
Özel nitelikli kişisel veriler bakımından ise; aktarımın yapılacağı ülkede yeterli koruma mevcut ise, açık rıza yoksa bile kişilerin ırkı, etnik kökeni, siyasi düşüncesi, felsefi inancı, dini mezhebi veya diğer inançları, kılık ve kıyafeti, dernek, vakıf ya da sendika üyeliği, ceza mahkumiyeti ve genetik verileri işlenmesine dair kanunlarda düzenleme olması halinde yeterli korumanın bulunduğu ülkeye aktarılabilecektir.
Veri sahibinin açık rızası olmaksızın sağlık ve cinsel hayata dair veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, yeterli korumanın bulunduğu ülkedeki sır saklama yükümlülüğü altında bulunan kişi veya yetkili kurum ve kuruluşlara aktarılabilecektir.
Güvenli Ülkeler Hangileridir?
Kanun’un 9. maddesinde Kurul tarafından veri aktarımının yapılacağı güvenli ülkelerin ilan edileceği belirtilmiş ancak henüz bu ülkeler açıklanmamıştır. Bir ülkenin güvenli ülke olarak belirtilmemesi durumunda da veri sorumlularının yeterli bir korumayı taahhüt etmeleri ve ayrıca Kurul’un izninin bulunması halinde yabancı ülkeye veri sahibinin açık rızası olmaksızın veri aktarımında bulunulabilir.
