8. Yargı Paketi ile 6698 Sayılı Kişisel Verilerin Korunması Kanunu’nda Yapılan Değişiklikler

6698 Sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”), Avrupa Birliği Genel Veri Koruma Tüzüğü’ne (“GDPR”) daha uyumlu olmasını amaçlayan ve uzun süredir beklenen önemli değişiklikleri de içeren Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun 12.03.2024 tarihinde Resmî Gazete’de yayımlandı.

Yapılan değişikliklerle KVKK’nın uluslararası standartlara uyum sağlaması hedeflenmiştir.

Özel Nitelikli Kişisel Verilerin İşlenme Şartlarındaki Değişiklikler

• KVKK 6. maddede düzenlenen özel nitelikli kişisel veriler bakımından; sağlık ve cinsel hayata ilişkin kişisel veriler arasındaki ayrım kaldırılmıştır. Özel nitelikli kişisel verilerin işlenme şartları ise sekiz bent olmak suretiyle genişletilmiş ve ilgili kişinin açık rızası olmasa dahi aşağıdaki şartlardan birinin varlığı halinde işlenmesi mümkün kılınmıştır.

“(3) Özel nitelikli kişisel verilerin işlenmesi yasaktır. Ancak bu verilerin işlenmesi;

a) İlgili kişinin açık rızasının olması,

b) Kanunlarda açıkça öngörülmesi,

c) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin, kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması,

ç) İlgili kişinin alenileştirdiği kişisel verilere ilişkin ve alenileştirme iradesine uygun

olması,

d) Bir hakkın tesisi, kullanılması veya korunması için zorunlu olması,

e) Sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlarca, kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi ile sağlık hizmetlerinin planlanması, yönetimi ve finansmanı amacıyla gerekli olması,

f) İstihdam, iş sağlığı ve güvenliği, sosyal güvenlik, sosyal hizmetler ve sosyal yardım alanlarındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması,

g) Siyasi, felsefi, dini veya sendikal amaçlarla kurulan vakıf, dernek ve diğer kâr amacı gütmeyen kuruluş ya da oluşumların, tâbi oldukları mevzuata ve amaçlarına uygun olmak, faaliyet alanlarıyla sınırlı olmak ve üçüncü kişilere açıklanmamak kaydıyla; mevcut veya eski üyelerine ve mensuplarına veyahut bu kuruluş ve oluşumlarla düzenli olarak temasta olan kişilere yönelik olması,

hallerinde mümkündür.”

Tablo 1: Özel Nitelikli Kişisel Verinin Hukuki İşleme Sebepleri (KVKK Madde 6)

Kişisel Verilerin Yurt Dışına Aktarılmasına İlişkin Değişiklikler

• KVKK’nın 9. maddesinde düzenlenen kişisel verilerin yurt dışına aktarılması bakımından uygulama neredeyse tamamen değiştirilmiştir. Şöyle ki, mevcut Kanun çerçevesinde kişisel verilerin yurt dışına aktarılabilmesi için

1. İlgili kişinin açık rızasının olması,
2. Veri aktarımı, yeterli korumanın bulunduğu güvenli ülkelerden birine yapılıyor ise Kanun’da düzenlenen işleme şartlarından birinin varlığı,
3. Veri aktarımı, yeterli korumanın bulunduğu güvenli ülkelerden birine yapılmıyor ise Kanun’da düzenlenen işleme şartlarından birinin varlığının yanı sıra veri sorumlularının yeterli korumayı taahhüt etmesi ve Kurul’un izninin bulunması
4. Bağlayıcı Şirket Kuralları’nın bulunması yeterliydi.

Ancak uygulamada, güvenli ülkelerin Kurul tarafından açıklanmaması ve günümüzde 80’i aşkın taahhüt başvurusu yapılmasına rağmen bunlardan çok azına izin verilmiş olması nedeniyle tek aktarım şartı olarak açık rıza bulunmaktaydı. Bu durum, veri tabanları yurt dışında bulunan ve bulut tabanlı yazılım hizmeti alan ticari şirketleri zorlamakta ve uygulamayı imkânsız hale getirmekteydi. Yapılan değişiklik ile,

1. Yeterlilik kararına dayalı aktarım,
2. Uygun güvencelere dayalı aktarım,
3. Arızi durumlara dayalı aktarım olmak üzere üç kademeli ve alternatifli bir aktarım rejimi söz konusudur. Bu durumda, kişisel verilerin yurt dışına aktarımında ilgili kişinin açık rızasının alınması ilk dayanak olmaktan çıkarılmıştır.

Veri sorumluları ve veri işleyenler, imzaladıkları standart sözleşmeyi Kurum’a bildirmekle yükümlü kılınmıştır.

Tablo 2: Kişisel Verileri Yurt Dışına Aktarım Yöntemleri (KVKK Madde 9)

• Kanun değişikliği ile Kişisel Verileri Koruma Kurulu kararlarına karşı İdare Mahkemelerinde dava açılabilmesi mümkün kılınmıştır.
• Kanun değişikliği 01.06.2024 tarihinde yürürlüğe girecektir. Ancak, 6698 sayılı Kanun’un kişisel verilerin yurt dışına aktarılmasına ilişkin usul ve esasları düzenleyen 9. maddesinin mevcut birinci fıkrası, maddenin değiştirilen haliyle birlikte 01.09.2024 tarihine kadar uygulanmaya devam edecektir.

Av. Hale Şenuysal