TÜRK HUKUKUNDA KİŞİSEL VERİLERİN YURT DIŞINA AKTARILMASI SORUNU: AÇIK RIZA KAPSAMINDA BİR DEĞERLENDİRME

Küresel bir dünyada yaşıyor olmamızdan mütevellit oldukça önem arz eden kişisel verilerin yurt dışına aktarılması konusu 6698 sayılı Kişisel Verilerin Korunması Kanunu’nda düzenlenen başlıklardan biridir. Belirli veya belirlenebilir kişilere ait verilerin aktarılması, verileri silmek, anonim hale getirmek, depolamak gibi kişisel verilerin işlenme yöntemlerinden biridir. Ancak bu işlemi, diğer işleme yöntemlerinden ayıran birtakım özellikler vardır. Kişisel verilerin yurt dışına aktarılması uygulamada birçok belirsizliğe yol açan, kapsamı, sınırları tartışılan, bu hususta çok az uygulama örneği olmasından mütevellit de birçok soruna yol açan bir konudur. Bu gerçek de kişisel verilerin aktarılması kurallarını ayrıca ortaya koymamızı gerektirmektedir. Bu anlamda çalışmamız kişisel verilerin yurt dışına aktarılmasına hasredilmiştir. Uygulamada kişisel verilerin aktarılmasının hukuka uygunluğunu tespit etmek oldukça zordur. Zira kişisel verilerin aktarılmasına dair kurallar, yeterince açıklanmamasından veya eksik açıklanmasından mütevellit uygulayıcıları bir çıkmaza sürüklemektedir. Bu anlamda 6698 sayılı Kişisel Kişisel Verilerin Korunması Kanunu ve Kişisel Verileri Koruma Kurumu tarafından belirlenen sınırları açıklamak, belirlenmeyen ve eksik bırakılan noktaları ise kişisel verilerin korunması ışığında yorumlamak gerekmektedir. Bu nispetle çalışmamızda, öncelikle kişisel verilerden ne anlaşılması ve bu veriler yurt dışına aktarılırken hangi ilkelere uyulması gerektiği ortaya konulmuştur. Devamında ise kişisel verilerin yurt dışına aktarılmasına esas, ana araç olan “açık rıza”nın mahiyeti, bu rızanın, aktarımı nasıl yasal zemine oturtacağı açıklanmış, son olarak ise açık rızanın yokluğu halinde aktarımın hangi şartlarla hukuka uygun hale getirilebileceği açıklanmaya çalışılmıştır.

The issue of transfer of personal data to abroad, which is very important due to the fact that we live in a global world, is one of the issues regulated in the Turkish Personal Data Protection Law No. 6698. Transferring data belonging to certain or identifiable persons is one of the methods of processing personal data such as, deleting, anonymizing, and storing the data. However, there are some features that distinguish this method of process from other data processing methods. The transfer of personal data to abroad is an issue that causes many uncertainties in practice and which its scope, and limits are discussed, and which causes many problems due to the fact that there are very few examples of practice in this regard. This fact also requires us to reveal the rules of transferring personal data. In this sense, our work is devoted to the transfer of personal data abroad. In practice, it is very difficult to determine the lawfulness of the transfer of personal data. Because the rules on the transfer of personal data bring to a deadlock for the practitioners due to their lack of clarity or incomplete disclosure. In this sense, it is necessary to explain the limits set by the Personal Data Protection Law No.6698 and the Personal Data Protection Authority, and to interpret the undetermined and missing points in the light of the protection of personal data. Hence, first of all, what should be understood from personal data and which principles should be followed when transferring these data to abroad were explained in our study. Furthermore, the nature of the “open consent”, which is the basis for the transfer of personal data to abroad, and how this consent will put the transfer on a legal basis was explained. Finally the conditions under which the transfer can be made in accordance with the law were explained in the absence of open consent.