CORONAVİRÜS ( COVID-19) // KVKK - YURTDIŞINA KİŞİSEL VERİ AKTARIMINDA DİKKAT EDİLMESİ GEREKEN HUSUSLAR
• Kişisel Verileri Koruma Kurulu, yurt dışına kişisel veri aktarımında hazırlanacak taahhütnamelerde dikkat edilmesi gereken hususları 07.05.2020 tarihli duyurusuyla açıklamıştır. Buna göre özetle;
Usule ilişkin olarak:
a. 6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (Kanun) 9. maddesinin (2) numaralı fıkrasının (b) bendi uyarınca yapılacak yurt dışına veri aktarımı izin başvurularında, yetkili kişinin adı soyadı, adresi, imzası gibi hususlarla birlikte imzaya yetkili olduğuna dair tevsik edici belgelerin de eklenmesi gerekmektedir. Vekil ile yapılacak başvurularda vekâletname aslı veya onaylı örneğinin bulunması gerekmektedir.
b. Taahhütname ve ekinin sonunda imza ve kaşe; her bir sayfasında ise imzacıların parafı bulunmalıdır.
c. Taahhütname ekine imzacıların yetkisini göstermesi bakımından;
- Türkiye’de mukim şirketin imza sirkülerinin aslı veya onaylı örneği,
- Yabancı Resmî Belgelerin Tasdiki Mecburiyetinin Kaldırılması Sözleşmesi’ne taraf olan ülkelerde mukim veri alıcısı bakımından ise imzaya yetkili olduğunu gösterir apostil şerhli belgenin aslı veya onaylı örneği eklenmelidir.
- Anılan Sözleşmeye taraf ülkelerin resmi makamlarınca hazırlanmış her belgesinde apostil şerhi bulunmalıdır.
- Sözleşmeye taraf olmayan ülkeler için ise belgelerin Türkiye’de hukuken geçerli olmasına ilişkin süreç işletilmelidir.
d. Yabancı dildeki her belgenin noter onaylı çevirisi bulunmalıdır.
e. Kurumun sitesinde yayımlanan Taahhütname örneklerinde yer alan hükümlere asgari olarak yer verilmeli, ilave hükümler eklenecek ise “İlave Hükümler” başlığı altında ayrıca yer verilmelidir.
f. Taahhüt içeren cümlelerde gelecek zaman kullanılmalıdır.
Esasa İlişkin Olarak:
- Aktarımın tarafları arasındaki ilişki doğru bir şekilde belirlenmeli ve alıcı tarafın niteliğine göre Kurumun sitesinde yayımlanan Taahhütname örneklerinden uygun olan kullanılmalıdır.
- Kanunun 3. maddesinin ışığında, veri sorumlusundan veri sorumlusuna veya veri sorumlusundan veri işleyene yapılacak aktarımlarda tarafların hukuki statülerine ilişkin anlaşılır detayda açıklamalara yer verilmesi ve aradaki ilişkiyi gösteren tevsik edici herhangi bir belgenin (sözleşme vb.) bulunması halinde Taahhütname ile gönderilmesi önem arz etmektedir.
- Kanunda yer alan terminoloji birebir kullanılmalıdır.
- Açık rıza şartına dayalı gerçekleştirilecek olan yurt dışı kişisel veri aktarımları Taahhütname konusu edilemeyecektir.
- Taahhütname ve ekinde yer verilen belgeler düzenlenirken kişisel verilerin işlenme amacına ilişkin Kanunun 4. maddesindeki genel ilkelerin gözetilmesi gerekmektedir.
- Veri konusu kişi ve kişi grupları belirtilirken “gibi, ve benzeri, olası, muhtemel, …” gibi muğlak ifadeler kullanılmamalıdır.
- “Veri kategorileri” belirlenirken, “İşlendikleri amaçla bağlantılı, sınırlı ve ölçülü olma” ilkesine uyulmalıdır.
- Verilerin işlenme amacı sınırları belirli ve açık bir şekilde açıklanmalıdır.
- Taahhütnameye konu kişisel veri aktarım faaliyeti gerekçeli ve anlaşılır şekilde açıklanmalıdır.
- Bu anlamda, sağlık verilerinin ve diğer özel nitelikli kişisel verilerin ilgili kişilerin açık rızası olmaksızın yurt dışına aktarımı için Kanunun 6. Maddesinde sayılan işlemlerden biri olması gerekmektedir. Bu çerçevede, söz konusu işleme şartlarının mevcut olmadığı durumlarda, özel nitelikli kişisel verilerin yurt dışına aktarımı ancak kişilerin açık rızası alınması ile mümkün olabilecektir. Ancak açık rıza şartına bağlı olan veri aktarımları Taahhütname konusu edilmemektedir.
- “Alıcı ve alıcı grupları”, veri alıcısı tarafından örneğin verilerin ifşası veya aktarılması suretiyle gerçekleştirilecek sonraki aktarımlarda veri alıcısının bulunduğu ülkede mukim olan veri sorumlusu veya veri işleyeni ifade etmektedir.
- “Kişisel Veri Güvenliği Rehberi’nin (Teknik ve İdari Tedbirler)” dikkate alınması, taahhüt edilen tedbirlerin ayrı başlıklar halinde açıklanması ve bu tedbirlere ilişkin tevsik edici belgelerin başvuruya eklenmesi gerekmektedir.
- Kişisel Verileri Koruma Kurulu’nun 31/01/2018 tarihli ve 2018/10 sayılı “Özel Nitelikli Kişisel Verilerin İşlenmesinde Veri Sorumlularınca Alınması Gereken Yeterli Önlemler” başlıklı kararı ile belirlenen özel nitelikli kişisel verilerin işlenmesi için gereken zorunlu tedbirler ve tedbirleri tevsik edici belgeler başvuruya eklenmelidir.
- Kayıt yükümlülüğünün bulunup bulunmadığı bilgisinin gerekçesiyle açıklanması ve kayıt yükümlülüğünün bulunması halinde VERBİS bilgilerine bu başlık altında yer verilmesi gerekmektedir
- Saklama süreleri ve ilgili diğer bilgilere bu başlık altında yer verilecektir. Kişisel verilerin işlenme süresinin en azından azami süreyi gösterecek şekilde gerekçesine de yer verilmek suretiyle belirtilmesi gerekmektedir. Ayrıca, Kanunun 4. maddesinin ikinci fıkrasının (d) bendinde yer alan, “Gerekli olan süre kadar muhafaza edilme.” ilkesi gözetilmelidir. Mevzuattan kaynaklı bir sürenin mevcut olması durumunda, sürenin hangi mevzuat hükmüne dayandırıldığının belirtilmesi gerekmektedir.
