Kişisel verilerin KVKK ve GDPR kapsamında yurt dışına aktarılması
Transfer of personal data abroad within the scope of data protection law and GDPR
Yazar: ÖZLEM BUDAK
Danışman: PROF. DR. FULYA ERLÜLE
Marmara Üniversitesi / Sosyal Bilimler Enstitüsü / Özel Hukuk Ana Bilim Dalı
Derece: Yüksek Lisans, 2023
Konu: Hukuk = Law

Özet:
Günümüzde teknolojinin ve küresel ticaretin gelişmesi ile birlikte ülkeler arasındaki etkileşim oldukça artmıştır. Ülkeler arası etkileşimin artması ile 'veri'nin aslında ne kadar önemli olduğu bir kere daha anlaşılmıştır. Veriyi elinde bulunduranın, gücü de elinde bulundurduğu gerçeği bu alanda düzenlemeler yapılmasını gerektirmiştir. Avrupa'da 1970'lerde kişisel verilerin korunmasına ilişkin tedbirler alınmaya başlanmıştır. Bu alandaki başlıca uluslararası düzenlemeler ise; "AİHS", "OECD", "108 No'lu Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi" ve "BM Rehber İlkeleri"dir. Ülkemizde ise, "6698 sayılı Kişisel Verilerin Korunması Kanunu" 2016 yılında yürürlüğe girmiştir. Kanunun hazırlık aşamasında, AB'de o dönem yürürlükte olan "95/46/EC sayılı Direktif"'ten faydalanılmıştır. "95/46/EC sayılı Direktif" ise, 2016/679 sayılı Genel Veri Koruma Tüzüğü'nün (GDPR) yürürlüğe girmesi ile birlikte yürürlükten kalkmıştır. Yurt dışına veri aktarımı, veriler üzerinde ulusal hukukun kontrolünün azaldığı bir noktadadır. Her ülkenin yurt dışına veri aktarımı konusunda farklı yaklaşımları mevcuttur. Küreselleşme ve teknolojik gelişmeler veri aktarımını sınırlandırmak yerine, bu alanda düzenlemeler yapılmasının daha makul olduğunu göstermektedir. KVKK'da yurt dışına veri aktarımı konusunda açık rıza temelinde bir yol izlenmektedir. Bununla birlikte yeterli korumanın bulunması, taahhütnameler ve bağlayıcı şirket kuralları verilerin yurt dışıma aktarılması için öngörülen diğer hukuki yollardır. GDPR uygulamasına baktığımızda ise; üçüncü ülkelere veri aktarımı için öncelikle yeterlilik kararının bulunması, böyle bir karar yoksa uygun güvenlik tedbirlerinin alınması öngörülmüştür. Bu şartların sağlanamadığı durumlar için istisnai hallere yer verilmiştir, açık rıza istisnai haller içerisinde yer almaktadır. GDPR sınır ötesi veri aktarımı konusunda kademeli bir sistem belirlemiş ve veri aktarımına hukuki sınırlamalar getirmiştir. Kişisel verilerin korunmasına ilişkin mevzuatın, GDPR ile uyumlu hale getirilmesi hedefi doğrultusunda mevzuatta yapılması beklenen bir takım değişiklikler bulunmaktadır. Bu kapsamda öncelikle Türk hukukunda "kişisel verilerin yurt dışına aktarılması"na ilişkin düzenlemelere yer verilecek, ardından GDPR'da sınır ötesi aktarım için öngörülen mekanizmalar incelenecektir. Ayrıca hem Türkiye'deki hem de AB'deki yetkili makamların kararları, rehber ilkeleri ve görüşlerinden yararlanılarak uygulama hakkında bilgi verilecektir. KVKK'nın uygulamadaki sorunlarını çözebilmek adına, GDPR uygulaması doğrultusunda önerilerde bulunulacaktır.

Abstract:
Interaction between countries have increased because of the technology and global trading. Increasing interaction, once again, has proven how important 'data' is. The reality of who has the 'data' has the power' has shown that regulations are required in this area. In Europe, data protection rules has started in 1970's. OECD, ECHR, Convention for the Protection of Individuals with regard to Automatic Processing of Personal Data, UN General Assembly Princible, are main international regulation on this area. On the other hand, Data Protection Law Numbered 6698 inured in 2016 at Turkey.  While legislating process of KVKK, 95/46/EC Directive European Union has been a basis. By the way, 95/46/EC Directive was legislated away when 2016/679 numbered General Data Protection Regulation inured. Transfer of personal data abroad is on the edge of national law not having sufficient control. Each country has different approach on transfer of data abroad. Globalization and technological improvements demonstrate that making regulation is more rational than restricting the data transfer. According to Data Protection Law, explicit consent is main way to transfer of data abroad. Adequacy decision, recognizance and binding corporate rules are the other legal way for transfer of data abroad. According to GDPR, "transfer of data to a third country" firstly adequacy decision must exist, if there is not that kind of decision appropriate safeguards must be existing. If these conditions cannot be provided, other option for transfer of data abroad is derogations. GDPR determines a gradual system and legal restrictions for data transfer abroad. There are several changes to be made which aim at GDPR being compatible with the personal data protection law. Within this scope, regulation of transfer of data abroad according to Turkish law will be determined, then, according to GDPR, mechanisms for "cross-border data transfer" will be examined. In addition, decisions, guidelines, and opinions indicated by the authorities both in Turkey and EU will be benefited from and informative. To solve the problems of implementation of KVKK, suggestions through GDPR will be given.