Kişisel Verilerin Yurt Dışına Aktarımı

Verilerin uluslararası dolaşımı globalleşen dünyanın vazgeçilmez bir unsuru olmakla birlikte verilerin korunması bakımından çeşitli riskleri de beraberinde getirmektedir. Kişisel Verilerin Korunması Kanunu'ndaki (KVKK) 12.03.2024 tarihli Resmi Gazete'de yayınlanan değişiklikler, bu konudaki çerçeveyi güncel uluslararası standartlara uygun hale getirmeyi amaçlamaktadır. İşbu makalede kişisel verilerin yurt dışına aktarımına ilişkin yenilenen hukuki rejim sistematik olarak analiz edilmektedir. Bu bağlamda ilk olarak veri aktarımı kavramının üzerinde kısaca durulduktan sonra kişisel verilerin yurt dışına aktarılmasında önceki dönemin sorunları ele alınmakta, ardından yeni hukuki çerçeve ortaya koyulmaktadır. Verilerin yurt dışına aktarılabilmesi için yeterlilik kararı, uygun güvence ve arızi hallerden oluşan kademeli bir düzenleme söz konusudur. Çalışmada bu düzenlemeler Avrupa Birliği mevzuatı ile karşılaştırmalı olarak incelenerek, Avrupa Birliği Adalet Divanının (ABAD) çeşitli kararlarının KVKK açısından yansımaları değerlendirilmektedir. Yapılan değerlendirmeler gerek yeterlilik kararı, gerekse uygun güvence mekanizmaları bağlamında KVKK'nın uygulanması bakımından dikkate değer bulgular ortaya koymaktadır. Özellikle "temel anlamda eşdeğer seviyede" bir korumanın sağlanıyor olması gerektiğine ilişkin Schrems I ve II kararlarında vurgulanan kriterin hem yeterlilik kararı hem de uygun güvence mekanizmalarının uygulanması açısından önem arz ettiğinin altı çizilmiş, Avrupa Birliği mevzuatı ile aynı standartlara erişilebilmesi için KVKK'da bu mekanizmaların uygulanması açısından da benzer bir yaklaşımın esas alınmasının yerinde olacağı değerlendirilmiştir. Yeterlilik kararı ve uygun güvencelerin söz konusu olmadığı haller için öngörülen arızi aktarım hallerinin ise yalnızca mevzuatta tanımlanan anlamda arızi olarak gerçekleşen ve uygun güvencelere dayanılmasının beklenemeyeceği durumlarda uygulanabileceği vurgulanmıştır.