BİRLEŞME VE DEVRALMA SÜREÇLERİNDE KİŞİSEL VERİLERİN KORUNMASI 9 Aralık 2022
BİRLEŞME VE DEVRALMA SÜREÇLERİNDE KİŞİSEL VERİLERİN KORUNMASI
I. GİRİŞ
Kişisel veri ve bu verilerin korunması kavramları, son dönemde artan teknolojik gelişmeler ile gerek tüzel kişiler, gerekse gerçek kişiler açısından büyük önem arz etmeye başladı. Bu bağlamda, söz konusu kişisel verilere erişim, bu verilerin depolanmasına ve aktarılmasına dair işlemlerin güvenliğinin oluşturulması günümüzde başlıca üzerinde durulması gereken hukuki konular arasında yer almaktadır. Bu önemin vurgulanmasına dair atılan en önemli adımlardan biri ise tartışmasız 7 Nisan 2016 yılında Türkiye’de yürürlüğe girmiş olan Kişisel Verilerin Korunması Kanunu (‘’KVKK’’) ve sonrasında Kişisel Verileri Koruma Kurumu tarafından çıkarılan ikincil mevzuattır.
II. KİŞİSEL VERİLERİN ALICIYA TRANSFERİ
M&A sürecinde tarafların karşılıklı kişisel verilerin korunması adına yaptıkları beyan ve taahhütlere ek olarak günümüzde due diligince (bir şirketin başka bir şirketi satın alma ya da yatırımcının yatırım yapma sürecinde; şirketin, girişimcinin, iş fikrinin ve pazarın araştırılması) sürecinde de veri aktarımı oldukça yaygın şekilde yapılmaktadır. Bu bağlamda M&A işlemleri kapsamında kişisel veriler, işlem öncesinde gerçekleştirilen due diligince aşamasında ya da işlemin kapanış anına kadar herhangi bir süreçte alıcıya transfer edilebilmektedir. Transfere konu olan veriler ise büyük oranda, çalışan, müşteri, tedarikçi, paydaş ve diğer iş ortaklarının kişisel verileri olarak ortaya çıkmaktadır. Bu kısımda her iki taraf için de önemli olan transferi kapsayan veri koruma kanunlarının ihlalinin önüne geçmektir.
KVKK madde 5’de kişisel verilerin işlenme şartları belirlenmiş olup bunlar:
• Veri sahibinin açık rızası ile
• Verinin işlenmesi açıkça kanunlarda öngörülmüşse,
• Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması halinde,
• Veri işlenmesinin, veri sahibinin taraf olduğu bir sözleşmenin kurulması ya da ifasıyla doğrudan ilgili olması,
• Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması,
• İşlenecek verinin, ilgili kişinin kendisi tarafından alenileştirilmiş olması,
• Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması,
• İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması gibi durumların varlığı halinde alıcılara transfer edilebilir.
A. Kişisel Verilerin Aktarımında Açık Rızanın Hukuki Dayanağının Değerlendirilmesi
KVKK’nın 3’ ncü maddesi uyarınca açık rıza, “belirli bir konuya ilişkin, bilgilendirilmeye dayanan ve özgür iradeyle açıklanan rıza” şeklinde tanımlanmaktadır. Bu bağlamda izlenecek olan rıza prosedüründe ilgililer tarafından verilecek rıza açık, tereddütte yer vermeyecek bir şekilde, geçerli olmasını sağlayacak gerekli aydınlatma ve bilgiye dayalı olmalıdır.
M&A sürecinin yapısı gereği, kişisel verilerin aktarımı işlemi, sürecin kapanış aşamasına kadar gizli olarak yapılabilmektedir. Öyle ki, genele bakıldığında birçok birleşme ve devralma işleminin başlangıçtan kapanış gerçekleşinceye kadar gizli olarak yapıldığı görülmektedir. Bu durumda devralınması planlanan şirketin çalışan, müşteri, tedarikçi vb.’nin gizlilik gereği söz konusu işlemden haberi olmayabilir. Başta da belirtildiği üzere açık rıza, yapısının gerekliliğinden ötürü özgür iradeyle açıklanan, bir anlamda konu hakkına bilgi sahibi olmaya dayanan bir rıza olmalıdır. Bu bağlamda pratikte ancak süreçten haberi olan ve bir anlamda kısıtlı kişinin yer aldığı durumlarda açık rıza kullanılabilir. Buradan yola çıkarak açık rızayı verilerin aktarımı için uygun bir hukuki neden olarak saymak bahsedilen nedenlerden ötürü genelde mümkün değildir. Aynı zamanda söz konusu beyanın kişiye sıkı sıkıya bağlı bir hak olması ve verilen rızanın her an geri alınma riski bulunması da konuya ilişkin diğer sıkıntılardan biridir. Bu nedenlerle, birleşme ve devralma işlemlerinde açık rızaya dayanmak çoğu zaman pek de mümkün olmayacaktır.
B. Veri Sorumlusu/ Alıcının Meşru Menfaati Hukuka Uygunluk Nedeni Sayılabilir mi?
KVKK m. 5/2 ile belirtilen “İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.” maddesi meşru menfaat kavramına vurgu yaparak bir diğer hukuka uygunluk nedenlerinden birine atıfta bulunmaktadır.
Birleşme ve devralma sözleşmelerine bakıldığında meşru menfaatin varlığının tespit edilmesi genelde kolay olmadığından, tespitin sağlanabilmesi için denge testi gibi uygulamaların kullanılması gerekebilir. Bu bağlamda kişisel veri işleme faaliyetleri denge testine tabi tutularak bireyin temel hak ve özgürlükleriyle bir kıyaslama yoluna gidilir ve sonuç olarak kişinin menfaatinin ağır basması gerektiği ifade edilir.
Kişisel Verileri Koruma Kurulu 25 Mart 2019 tarihli ve 2019/78 Sayılı karar ile veri sorumluları tarafından meşru menfaatleri için kişisel verilerin işlenmesi durumunda sağlanması gereken şartlar:
- “Kişisel verinin işlenmesi sonucunda elde edilecek menfaat ile ilgili kişinin temel hak ve hürriyetlerinin yarışabilir düzeyde olması
- Meşru menfaatin hâlihazırda mevcut, belirli ve açık olması
- İlgili kişinin temel hak ve hürriyetleri ile yarışabilir nitelikte olan meşru menfaatin elde edilmesi hâlinde bir yarar sağlanacak olması ve kişisel veri işlenmeksizin başkaca bir yol ve yöntemle bu yararın ortaya çıkmasının mümkün olmaması
- Meşru menfaat belirlenirken söz konusu yararın çok sayıda kişiyi etkilemesi, yalnızca kâr elde edilmesi ya da ekonomik yararın sağlanması amacına yönelik olmaması, iş süreçlerini ya da bir işleyişi kolaylaştırması gibi şeffaf ve hesap verilebilir nitelikleri haiz kriterlerin esas alınması
- İlgili kişinin, başta kişisel verilerinin korunması olmak üzere, temel hak ve hürriyetlerinin zarar görmesini engellemek amacıyla öngörülebilir, açık ve yakın her türlü tehlikeden uzak tutulması
- Kişisel verilerin bir veri kayıt sisteminde, amaçla sınırlı olarak hukuka uygun işlenişinin temini ile zararı ve ihlalleri engellemek için her türlü teknik ve idari tedbirin alınması
- Kişisel verilerin işlenmesinde genel ilkelere uygunluğun sağlanması
- Kişinin temel hak ve hürriyetleri ile veri sorumlusunun meşru menfaatinin karşılaştırılarak denge testinin yapılması”dır.
Bu bağlamda söz konusu şartların sağlanmadığı hallerde veri sorumlusunun meşru menfaatine dayanmak hukuka aykırılık yaratacaktır. Şartlar sağlandığı takdirde ise meşru menfaat kişisel verilerin hedef şirket tarafından işlenmesi için geçerli bir hukuki neden olarak sayılabilir. Ancak bu durumda dahi işlem tarafları nedeniyle bir takım sıkıntılar ortaya çıktığı görülmekte ve bu sıkıntıların başında işlemin tarafının aslında verileri işlenen doğrudan muhatap, ilgili kişiler olmaması gelmektedir.
Birleşme ve devralma projeleri kapsamında ilgili ve gerekli kişisel verilerin doğru bir biçimde tespiti açısından fazla veriden kaçınılması önem arz etmektedir. Başka bir deyişle kullanılan veriler amaçla orantılı olmalı ve gereksiz veri aktarımından detaylı bir değerlendirme doğrultusunda kaçınılmalıdır. Söz konusu şartlar gerçekleştiği takdirde ise genel anlamda meşru menfaatin M&A anlaşmalarındaki veri işleme ve transfer faaliyetlerine hukuka uygunluk kazandırabilecek bir temel yaratacağı söylenebilir.
C. Bir Sözleşmenin Kurulması ya da İfasının Hukuki Neden Olarak Uygunluğunun Değerlendirilmesi
Daha önce de belirtildiği üzere M&A kapsamında kişisel verileri transfer edilen ilgililer; çalışan, müşteri, tedarikçi, paydaş ve diğer iş ortaklarıdır. Normal şartlarda bir sözleşmenin kurulması ya da ifası, verilerin işlenmesi veya kişisel veri transferini gerektiren durumlarda uygun bir hukuki neden sayılabilir. Buradaki sorun ise söz konusu kişisel verileri transfer edilen ilgililerin M&A sözleşmelerinde asıl sözleşme tarafı olmamalarıdır. Bu nedenle doğrudan kişisel verileri aktarılanlar esasen sözleşmenin tarafı değildir. Dolayısıyla bu durum bir sözleşmenin kurulması ya da ifasının birleşme ve devralma sözleşmelerinde doğrudan bir hukuka uygunluk nedeni olarak gösterilmesini pek de mümkün kılmamaktadır.
III. SONUÇ
Birleşme ve devralma sözleşmelerinde kişisel verilerin korunması adına, veri transferi aşamasında alıcı ve hedef şirketin dikkat etmesi gereken belli başlı unsurlar bulunmaktadır. Örnek olarak, tarafların karşılıklı kişisel verilerin korunması adına yaptıkları beyan ve taahhütlere ve bunlara ek olarak due diligince çalışması verilebilir. Kişisel verilerin alıcıya transferinde ise açık rıza, meşru menfaat, bir sözleşmenin kurulması ya da ifasının hukuki bir neden olarak değerlendirilip değerlendirilemeyeceği somut olaya bakılarak saptanmalı ve uygunluğu buradan yola çıkarak belirlenmelidir.
Son olarak M&A sözleşmelerinde kişisel verinin korunması adına dikkat edilmesi gereken hususlardan biri de yalnızca gerekli verilerin saptanarak aktarıma konu edilmesi ve bu bağlamda ölçülülüğün sağlanmasıdır. Tüm bu hususlar dikkate alınarak birleşme ve devralma sözleşmeleri devam ettirildiği takdirde hukuki uygunluğu daha yüksek işlemlerin söz konusu olacağı söylenebilir.
