Kişisel verilerin yurt dışına aktarılmasında bağlayıcı şirket kuralları
Binding corporate rules in cross border data transfer
Yazar: MELİSA TELSAÇ
Danışman: DR. AYŞE ÇİĞDEM AYÖZGER ÖNGÜN
Bahçeşehir Üniversitesi / Lisansüstü Eğitim Enstitüsü / Sermaye Piyasası ve Ticaret Hukuku Ana Bilim Dalı
Derece: Yüksek Lisans, 2022
Konu: Hukuk = Law
Dizin: Hukuksal korunma = Legal protection ; Kişisel Verilerin Korunması Kanunu = Personal Data Protection Law ; Kişisel veri = Personal data ; Kişisel verilerin kaydedilmesi = Recording of personal data ; Ticaret hukuku = Commercial law ; Veri aktarma = Data transfer ; Yurt dışı = Abroad ; Özel hayatın gizliliğinin korunması = Right of privacy and its protection ; Şirketler = Companies

Özet:
Kişisel veriler, kişilerin özel hayatlarının gizliliği kapsamında korunmakla birlikte, teknolojik gelişmeler sonucu büyük çapta olabilen bu verilere ekonomik değer biçildiği ve küresel şirketlerin bundan fayda sağladığı görülmektedir. Özellikle bu durum, kişisel verilerin bir şirketten başka bir gerçek veya tüzel kişiye aktarımına ilişkin kurallar getirilmesini zorunlu kılmıştır. Ancak şirketlerin ve özellikle grup şirketlerin birbirlerine kişisel verileri aktarırken her seferinde veri koruma otoritesinden izin almaları sorun oluşturduğundan, ilk olarak Avrupa Birliği hukukunda, bu izin alma süreçlerini bertaraf eden ve veri aktarımına alternatif kurallar getiren bağlayıcı şirket kuralları kabul edilmiştir. 
Bağlayıcı şirket kuralları taahhüdünü veren grup şirketler ya da ekonomik anlamda iş birliğine sahip girişimler, değişik ülkelerde bulunan üyeleri arasında serbest veri akışı temin edebilmektedirler. Bu kurallar, işletmelerin hesap verebilirliği ve şeffaflığını desteklerken, kişilerin özel hayatlarının gizliliğini korumayı da taahhüt etmektedir. Bağlayıcı şirket kuralları aracılığıyla grup şirketin değişik ülkelerde bulunan bütün üyeleri aynı veri koruma kurallarını kabul etmekte ve uygulamaktadırlar. Bu nedenle bağlayıcı şirket kurallarına sahip olan şirketler, Türkiye bakımından da önem arz etmektedir. Bir grup şirketin Türkiye'de bulunan üyesi, kendisine iletilen bağlayıcı şirket kurallarını taahhüt edecektir.
Çalışmada Avrupa Birliği (AB) Genel Veri Koruma Regülasyonu'nda (Regülasyon-GDPR) düzenlenen bağlayıcı şirket kurallarının temel ilkeleri incelenmiş ve Regülasyon'un AB dışına veri aktarımları için öngördüğü yöntemler ele alınmıştır. Türk hukukunda Kişisel Verilerin Korunması Kanunu'nda bağlayıcı şirket kurallarına ilişkin hüküm bulunmasa da, Kişisel Verileri Koruma Kurumu'nun (Kurum) 10.04.2020 tarihli duyurusu ile Türk yasaları kapsamında bağlayıcı şirket kuralları çalışmada incelenmiştir. Ayrıca Avrupa Birliği Komisyonu Çalışma Grupları, Avrupa Adalet Divanı (AAD) ve Kişisel Verileri Koruma Kurulu'nun (Kurul) kararları da değerlendirilmiştir.

Abstract:
Although personal data is protected within the scope of the privacy of individuals' private lives, it is seen that this data, which can be on a large scale as a result of technological developments, is valued economically and global companies benefit from it. This situation necessitated the introduction of rules regarding the transfer of personal data from one company to another natural or legal person. However, since it poses a problem for companies and especially group companies to obtain permission from the data protection authority every time they transfer personal data to each other, first of all, binding company rules have been adopted in European Union law, which eliminates these permission processes and sets rules for data transfer.
Group companies or undertakings in economic cooperation that issue and undertake binding corporate rules can provide free data flow among their members located in different countries. The binding corporate rules are committed to protecting the privacy of individuals, while increasing transparency and accountability of companies. Through binding corporate rules, all members of the group company in different countries accept and apply the same data protection rules. For this reason, companies having the binding corporate rules are also important for Turkey. A member of a group company in Turkey will commit to the binding corporate rules communicated to him.
In the study, the basic principles of the binding corporate rules regulated in the EU General Data Protection Regulation were examined and the methods stipulated by the Regulation for data transfers outside the European Union were discussed. Although there is no provision regarding the binding company rules in the Personal Data Protection Law in Turkish law, the binding corporate rules regulated within the framework of Turkish laws with the announcement of the Personal Data Protection Authority on 10.04.2020 are evaluated in the study. In addition, the decisions of the European Union Commission Working Groups, the European Court of Justice and the Personal Data Protection Board were also examined.