ULUSLARARASI KİŞİSEL VERİ AKTARIMLARINDA BAĞLAYICI ŞİRKET KURALLARI 10 Mayıs 2021
- Kişisel Verilerin Yurt Dışına Aktarılmasında Mevcut Durum
Kişisel verilerin yurt dışına aktarılması da dahil olmak üzere tüm veri işleme faaliyetleri ilgili kişinin açık rızasını gerektirmektedir. Öte yandan Kişisel Verileri Koruma Kanunu’nun (“Kanun”) 9. maddesi uyarınca, kişisel verilerin aktarılacağı yabancı ülkenin Kişisel Verileri Koruma Kurulu (“Kurul”) tarafından güvenli olduğu kabul edilen bir ülke olması halinde, açık rıza aranmaksızın da veri aktarımı gerçekleştirilebilir. Bununla beraber Kanun, Kurul tarafından güvenli olduğu kabul edilen ülkelerin tespit edilip duyurulacağını ifade etse de henüz böyle bir duyuru yapılmamıştır. Bu şartlar altında kişisel verilerin aktarılacağı tüm yabancı ülkeler yeterli korumanın olmadığı ülkeler statüsündedir.
Kanun, verilerin aktarılacağı ülkede yeterli korumanın bulunmaması durumunda, Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli korumayı yazılı olarak taahhüt etmeleri ve Kurul’un izin vermesi halinde kişisel veri aktarımının gerçekleşebileceğini öngörmektedir. Ancak bahsi geçen bu yazılı taahhütnamelerin çok uluslu grup şirketleri arasında gerçekleşen kişisel veri aktarımlarına uygun olmaması sebebiyle, Kurul bu şirketler arasındaki veri aktarımını kolaylaştırabilmek adına Bağlayıcı Şirket Kurallarını oluşturmuştur.
- Bağlayıcı Şirket Kuralları
Bağlayıcı Şirket Kuralları, Avrupa Birliği’nde de uygulaması bulunan ve çok uluslu grup şirketleri arasında uluslararası kişisel veri aktarımı için yeterli korumanın yazılı olarak taahhüt edilmesini sağlayan veri güvenliği politikalarıdır.
Bu kurallar bir gruba bağlı olarak faaliyet gösteren şirketler, teşebbüsler ve bunlarla ortak bir ekonomik faaliyet yürüten ya da kişisel veriler bakımından ortak bir karar mekanizması bulunan tüm veri sorumluları arasındaki veri aktarımlarına bakımından geçerlidir. Bu kapsamda Bağlayıcı Şirket Kuralları yalnızca yurt dışına veri aktarımı yapan ve Türkiye’de bulunan veri sorumlusu açısından değil, aynı grup içerisinde olan ancak yurt dışında bulunan ve kişisel verilerin aktarıldığı diğer tüm veri sorumluları ve işleyenleri açısından da bağlayıcıdır.
Bu bağlayıcılığın sağlanması amacıyla aynı grup içerisinde bulunan veri sorumluları ve işleyenleri arasında Bağlayıcı Şirket Kurallarından doğan yükümlülüklere riayet edileceğine dair bir sözleşme imzalanması gerekmektedir.
- Sonuç
Yeterli korumanın bulunduğu ülkeler henüz Kurul tarafından tespit edilmediği için yurt dışına yapılacak tüm kişisel veri aktarımları bakımından veri güvenliğinin taahhüt edimesi gerekmektedir. Kanunun 9. maddesinde düzenlenen yazılı taahhütnameler, iki veri sorumlusu arasındaki veri aktarımları bakımından yeterli olsa da çok uluslu grup şirketlerinin bu konudaki ihtiyaçlarına cevap vermemektedir. Bağlayıcı Şirket Kuralları, Türkiye’de bulunan veri sorumlusu ile aynı gruba bağlı olan ve yurt dışında bulunan diğer veri sorumluları açısından da bağlayıcı olduğundan veri güvenliğinin taahhüt edilmesi sürecini pratikleştirmektedir.
