Kişisel Verilerin Aktarılması

Kişisel verilerin aktarılması, bir kişiye ait kimliği belirli veya belirlenebilir bilgilerin veri sorumlusu ya da veri işleyen tarafından başka bir gerçek veya tüzel kişinin erişimine sunulmasıdır. Bu paylaşım fiziki belge teslimiyle, e-posta yoluyla, ortak veri tabanları üzerinden veya bulut sistemlerine yükleme yapılarak gerçekleşebilir. Aktarımın hukuka uygun sayılabilmesi için belirli bir hukuki sebebe dayanması ve yalnızca gerekli verilerle sınırlı tutulması gerekir.

Türk hukukunda konunun temel çerçevesi 6698 sayılı Kişisel Verilerin Korunması Kanunu‘nda çizilmiştir. Kanunun^[1] hükmü yurt içindeki veri aktarımlarını,^[2] hükmü ise yurt dışına yapılan aktarımları düzenler. Bu makale yurt içi aktarımın şartlarına odaklanır, sınır ötesi transferin ayrıntıları için Kişisel Verilerin Yurt Dışına Aktarılması yazısına bakılabilir.

Aktarım öncesinde veri sorumlusunun uygun bir hukuki sebep belirlemesi, amacı netleştirmesi ve yalnızca gerekli verileri paylaşması beklenir. Aksi halde idari yaptırımların yanı sıra tazminat sorumluluğu da gündeme gelebilir.

Kişisel Verilerin Aktarılması Kavramının Kapsamı

Aktarım, kişisel verilerin işlenmesi faaliyetinin bir uzantısı sayılır. Bu nedenle aktarım sürecinde de^[3] hükmünde yer alan hukuka uygunluk, belirli ve meşru amaç, ölçülülük ve veri minimizasyonu ilkelerine uyulması zorunludur.

Bir çalışanın maaşının ödenmesi için banka ile kimlik ve hesap bilgilerinin paylaşılması, bir siparişin teslimi için müşteri adresinin kargo şirketine iletilmesi ya da kanuni yükümlülük gereği bilgilerin yetkili kuruma sunulması aktarıma örnek gösterilebilir. Her durumda aktarımın somut bir hukuki dayanağı bulunmalı ve veri güvenliği sağlanmalıdır.

Kişisel Verilerin Aktarılmasında Hukuki Dayanaklar

Veri paylaşımı keyfi bir işlem değildir. Veri sorumlusu her aktarım öncesinde hangi hukuki sebebe dayandığını değerlendirmeli ve bu sebebin kanunda öngörülen şartları karşılayıp karşılamadığını tespit etmelidir. Bu aşamada hazırlanacak KVKK aydınlatma metni, sürecin şeffaf yürütülmesine katkı sağlar.

^[4] uyarınca kişisel veriler ilgili kişinin açık rızasıyla aktarılabileceği gibi,^[5] ve^[6] hükümlerinde sayılan işleme şartlarından birinin varlığı halinde açık rıza aranmaksızın da aktarılabilir. Kanunlarda açıkça öngörülme, bir sözleşmenin kurulması veya ifası için gereklilik, veri sorumlusunun hukuki yükümlülüğünü yerine getirmesi ya da ilgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla meşru menfaat bu sebepler arasında sayılabilir.

Özel nitelikli kişisel veriler bakımından^[7] daha sıkı kurallar öngörür. Sağlık verileri ve biyometrik veriler gibi hassas bilgilerin aktarılabilmesi için maddede belirtilen ek şartların sağlanması ve koruma tedbirlerinin alınması gerekir.

Veri Aktarımında Hukuki Dayanaklar

İlgili Kişinin Açık Rızası ile Veri Aktarımı

^[8] açık rızayı, belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza olarak tanımlar. Veri sahibinin hangi verilerinin, kimlere, hangi amaçla aktarılacağı konusunda yeterince bilgilendirilmesi ve bu işleme özgür iradesiyle onay vermesi gerekir.

Geçerli bir açık rıza genel veya belirsiz ifadeler içermemelidir. “Verilerimin gerekli görülen herkesle paylaşılmasına izin veriyorum” tarzı soyut beyanlar yerine aktarımın amacını ve kapsamını açıkça ortaya koyan metinler tercih edilmelidir. İlgili kişi verdiği rızayı dilediği an geri alabilir, ancak bu geri alma önceki aktarımları geçmişe dönük hukuka aykırı hale getirmez.

Açık Rıza Aranmaksızın Veri Aktarımı Şartları

Hayatın olağan akışında zorunlu olan bazı paylaşımların her seferinde açık rızaya bağlanması pratik değildir. Bu nedenle kanun koyucu^[9] ve^[10] kapsamındaki işleme şartlarının varlığı halinde rıza aranmaksızın aktarıma izin vermiştir.

Not: Kanunda sayılan bir işleme şartı mevcutsa, aktarım için ilgili kişiden ayrıca açık rıza alınmasına gerek yoktur.

Bir çalışanın ücretinin ödenmesi için banka ile bilgi paylaşımı, bir siparişin teslimi için kargo şirketine adres bilgisi verilmesi veya mahkeme kararı gereği bilgi sunulması bu kapsamda örnek gösterilebilir. Rıza dışında ele geçirilen veya izinsiz paylaşılan kişisel bilgiler, bazı hallerde KVKK şikayeti ve suçları kapsamında ayrıca değerlendirilir.

Kamu Kurumlarına ve Özel Şirketlere Veri Aktarımı

Kamu kurumlarına aktarım genellikle kanundan doğan yetki ve yükümlülükler çerçevesinde yürütülür. Mahkemelerin talep ettiği bilgi ve belgelerin sunulması, savcılık soruşturmalarında istenen kayıtların paylaşılması veya vergi mevzuatından doğan bildirimler bu türden aktarımlara örnektir. Ancak bir kamu kurumunun talebi tek başına sınırsız paylaşımı meşrulaştırmaz, talebin hukuki dayanağı ve kapsamı ayrıca değerlendirilmelidir.

Özel şirketler arasında da veri aktarımı mümkündür fakat ticari ilişkinin varlığı tek başına yeterli değildir. Muhasebe hizmeti alınması, bilgi teknolojileri altyapısının dış kaynaktan sağlanması veya kargo süreçlerinin yürütülmesi gibi nedenlerle gerçekleşen paylaşımlarda aktarılan veriler, yürütülen hizmetle sınırlı tutulmalıdır. Müşteri verilerinin pazarlama amacıyla hukuki dayanak olmaksızın başka şirketlerle paylaşılması Kanuna aykırılık oluşturur.

Kişisel Verilerin Yurt İçine Aktarılması Şartları

^[11] uyarınca yurt içi aktarımda temel kural ilgili kişinin açık rızasıdır, ancak kanunda öngörülen hukuki sebeplerin varlığı halinde rıza aranmaksızın da aktarım yapılabilir. Aktarılan veriler hukuka ve dürüstlük kurallarına uygun işlenmeli, belirli ve meşru amaçlarla paylaşılmalı, amaçla bağlantılı ve ölçülü olmalıdır.

İhtiyaç duyulmayan veya aktarım amacıyla ilgisi bulunmayan verilerin paylaşılması hukuka aykırılık oluşturabilir. Veri sorumluları her somut olayda aktarımın hukuki dayanağını değerlendirmeli ve veri güvenliğini sağlayacak tedbirleri eksiksiz uygulamalıdır.

Özel Nitelikli Kişisel Verilerin Aktarılmasında Dikkat Edilecek Hususlar

Sağlık bilgileri, biyometrik veriler ve genetik veriler gibi özel nitelikli kişisel veriler, hukuka aykırı açıklanmaları halinde ilgili kişinin ayrımcılığa uğramasına veya ciddi mağduriyete yol açabilir. Bu nedenle^[12] bu verilerin aktarımı için ek koruma mekanizmaları öngörür.

Uyarı: Özel nitelikli verilerin yetkisiz kişilerce ele geçirilmesi, ilgili kişi için ayrımcılık veya mağduriyet riski doğurabilir.

Bu verilerin aktarımı sırasında erişim yetkilerinin sınırlandırılması, şifreleme kullanılması ve güvenli iletişim kanallarının tercih edilmesi gerekir. Sağlık kuruluşları, sigorta şirketleri ve finans kuruluşları gibi yoğun şekilde özel nitelikli veri işleyen kurumların bu konuda daha fazla özen göstermesi beklenir.

Veri Sorumlusunun Aktarım Yükümlülükleri

Veri Sorumlusunun Aktarım Sürecindeki Yükümlülükleri

Aktarımdan hukuken sorumlu temel aktör veri sorumlusudur. Veri sorumlusu gerçekleştireceği her aktarımın^[13],^[14],^[15] ve gerektiğinde^[16] hükümlerinde öngörülen dayanaklardan birine uygun olup olmadığını değerlendirmelidir.

• ^[17] uyarınca ilgili kişileri aydınlatma yükümlülüğünü yerine getirmek
• ^[18] gereğince veri güvenliğini sağlayacak teknik ve idari tedbirleri almak
• Aktarılan verileri işleme amacıyla bağlantılı, sınırlı ve ölçülü tutmak
• Veri işleme faaliyetlerini VERBİS kaydı kapsamında şeffaf şekilde yürütmek

Önemli: Veri sorumlusu, her aktarım için ayrı bir hukuki dayanak değerlendirmesi yapmakla yükümlüdür.

Bu yükümlülüklerin ihmal edilmesi, hem ilgili kişilerin haklarının ihlaline hem de veri sorumlusu için idari ve hukuki sorumluluğa yol açabilir.

Hukuka Aykırı Veri Aktarımının Sonuçları

^[19] uyarınca Kanunda düzenlenen yükümlülüklere aykırı hareket eden veri sorumluları hakkında idari para cezası uygulanabilir. Kişisel Verileri Koruma Kurulu, ihlalin niteliğine göre veri işleme faaliyetinin durdurulmasına da karar verebilir.

Zarara uğrayan kişiler önce veri sorumlusuna başvurabilir, ardından^[20] kapsamında Kurula şikayette bulunabilir ve genel hükümlere göre tazminat talep edebilir. Kişisel verilerin hukuka aykırı kaydedilmesi, başkasına verilmesi veya ele geçirilmesi bakımından^[21] hükümlerinde cezai yaptırımlar da öngörülmüştür.

Kişisel Verilerin Aktarılması Hakkında Sıkça Sorulan Sorular

Kişisel verilerin aktarılması sürecine ilişkin sık karşılaşılan sorular aşağıda yanıtlanmıştır.

Av. Yusuf Emrehan Sucu

Tam burslu olarak eğitimini sürdürdüğü Kadir Has Üniversitesi Hukuk Fakültesi’ni tamamlamıştır. Hukuk eğitimi sırasında birden fazla sertifika programını tamamlamış, kurgusal mahkemelerde sıkça rol almıştır. İş Hukukuna ilişkin alacaklar ve Tazmin...

Tüm yazıları