Madde 48

GDPR m.48, üçüncü ülke mahkemesi veya idari makamı tarafından verilen ve veri sorumlusu ya da veri işleyenden kişisel verileri aktarmasını veya açıklamasını isteyen kararları düzenler.1 Kararın üçüncü ülke kamu makamından gelmesi ve muhatabın GDPR'a tabi bir veri sorumlusu veya veri işleyen olması gerekir. Özel kişinin kendi adına yönelttiği talep, kamu makamının doğrudan uyulması gereken bir kararına dönüşmedikçe bu hükmün kapsamına girmez.2

GDPR m.48'in lafzı, üçüncü ülke kararının Birlik içinde tanınması veya icra edilmesi sorununa yöneliktir. Bu nedenle kamu makamının veriye gizlice veya veri sorumlusuna karar yöneltmeden doğrudan erişmesi, hükmün lafzi kapsamındaki tanıma ve icra çerçevesine girmez.3 Böyle bir erişimin veri koruma hukukuna uygunluğu, ilgili aktarım aracı ile temel hak güvenceleri uyarınca ayrıca incelenir.

Avrupa Veri Koruma Kuruluna göre yabancı makamın talebini karar veya hüküm olarak adlandırıp adlandırmaması belirleyici değildir. Üçüncü ülke makamından gelen resmi bir talep yeterli olabilir. Veri sorumlusu veya veri işleyenin kişisel verileri bu makamın erişimine açtığı her yöntem hükmün kapsamında değerlendirilebilir.4 Bu yaklaşım, maddenin lafzındaki karar ve hüküm kavramlarını resmi talepleri de kapsayacak biçimde geniş yorumlar.

Üçüncü ülke makamının kararı, talepte bulunan ülke ile Avrupa Birliği veya bir üye devlet arasında yürürlükte bulunan bir uluslararası anlaşmaya dayanıyorsa tanınabilir veya icra edilebilir. Karşılıklı adli yardım anlaşması maddede bu tür anlaşmalara örnek olarak verilmiştir. Kararın yalnız üçüncü ülke hukukuna göre bağlayıcı olması, Birlik içinde tanınması veya icra edilmesi için yeterli değildir.1

Karar, ancak talebin dayandığı uluslararası anlaşmanın kapsamı içindeyse GDPR m.48 uyarınca tanınabilir veya icra edilebilir. Başka bir konuda yapılmış anlaşmanın varlığı bu şartı karşılayamaz.2 Anlaşmanın talebi kapsayıp kapsamadığı, tarafları, konu ve izlenecek usul gözetilerek belirlenecektir. Veri sorumlusu veya veri işleyen, üçüncü ülke kararını bağımsız bir aktarım sebebi sayarak bu incelemeyi atlayamaz.3

Maddenin sonundaki ibare, V. Bölümdeki diğer aktarım sebeplerini saklı tutar. Bu nedenle kişisel veriler, uluslararası anlaşma dışında V. Bölümdeki başka bir aktarım sebebine dayanılarak da üçüncü ülke makamına açıklanabilir. Ancak dayanılan sebebin bütün şartları somut talep bakımından gerçekleşmelidir.1

Örneğin aktarımın önemli bir kamu yararı için zorunlu olduğu ileri sürülüyorsa bu yararın Birlik hukukunda veya veri sorumlusunun tabi olduğu üye devlet hukukunda tanınmış olması gerekir.2 Talepte bulunan üçüncü ülkenin soruşturma amacı, Birlik veya üye devlet hukukunda karşılığı ayrıca gösterilmeden bu şartı sağlayamaz. Bir hakkın tesisi, kullanılması veya savunulmasına ilişkin istisna da aktarım ile belirli bir hukuki süreç arasında sıkı bağ bulunmasını gerektirir.3

V. Bölümde bir aktarım yolunun bulunması, verilerin açıklanmasına yol açan işleme faaliyetini kendiliğinden hukuka uygun hale getiremez. İşlemenin GDPR m.6'da ve gerekiyorsa özel nitelikli veriler bakımından m.9'da bir dayanağı bulunmalıdır.1 İşleme için uygulanacak hukuki sebebi veri sorumlusu belirler. Veri işleyen ise Birlik veya üye devlet hukukundan doğan bir yükümlülük bulunmadıkça yalnız veri sorumlusunun belgelenmiş talimatıyla hareket edebilir.2 Üçüncü ülke hukukundan doğan yükümlülük, ne GDPR m.6/1-c'deki hukuki yükümlülüğün ne de m.28/3-a'daki Birlik veya üye devlet hukuku istisnasının yerine geçebilir.3

Talep edilen verilerin kapsamı ile ilk toplama amacı arasındaki ilişki de incelenmelidir. Aktarım sebebinin bulunması, amaçla sınırlılık ve veri minimizasyonu ilkelerini ortadan kaldırmaz. Açıklanacak veriler, talebin hukuken karşılanması için gerekli kişi, dönem ve veri türleriyle sınırlandırılmalıdır.4

Bir uluslararası anlaşmanın bulunması, anlaşma kapsamında yapılan her aktarımın temel haklara uygun olduğu sonucunu doğurmaz. Anlaşmanın ve talebin, Birlik hukukunun kişisel verilerin korunmasına ilişkin güvenceleriyle bağdaşması gerekir.1 GDPR gerekçe 102 de üye devletlerin yapacağı anlaşmaların Tüzüğü ve diğer Birlik hukuku hükümlerini etkilememesini, ayrıca ilgili kişilerin temel hakları için uygun koruma düzeyi içermesini arar.2

Üçüncü ülkedeki gözetim tedbirlerinin yol açtığı erişim değerlendirilirken erişimin açık, belirli ve ulaşılabilir kurallara dayanması gerekir. Müdahalenin meşru amaç için gerekli ve orantılı olması, bağımsız denetime tabi tutulması ve ilgili kişiye etkili başvuru imkanı verilmesi de temel güvenceler arasındadır.3 Bu dört güvence, üçüncü ülkenin veya uluslararası anlaşmanın bütün koruma düzeyini tek başına belirlemez. Gözetim tedbirlerinin temel haklara müdahalesini değerlendirmek için asgari bir çerçeve sağlar.4

KVKK m.9, üçüncü ülke mahkemesi veya idari makamı tarafından verilen kararı bağımsız bir yurt dışına aktarım sebebi olarak saymaz. Kişisel verilerin aktarılabilmesi için KVKK m.5 veya m.6'daki şartlardan biriyle birlikte yeterlilik kararı ya da m.9/4'teki uygun güvencelerden biri bulunmalıdır. Bunlar sağlanamıyorsa yalnız m.9/6'da sayılan arızi aktarım hallerinden biri kullanılabilir.1 Yabancı makam kararının varlığı, bu şartların yerine geçemez.

Türk hukukunda kamu kurumları arasında yapılan ve uluslararası sözleşme niteliği taşımayan bir anlaşma da uygun güvence sağlayabilir. Bunun için anlaşmanın Türkiye'deki kamu kurum veya kuruluşu ya da kamu kurumu niteliğindeki meslek kuruluşu ile yabancı kamu kurumu veya uluslararası kuruluş arasında yapılması ve Kişisel Verileri Koruma Kurulunun (Kurul) aktarıma izin vermesi gerekir.2 Bu yol, yabancı makamın özel bir veri sorumlusuna yönelttiği kararın Türkiye'de tanınmasına ilişkin bir düzenleme değildir. KVKK m.9/9 uluslararası sözleşme hükümlerini saklı tutmakla birlikte, Türkiye'nin veya ilgili kişinin menfaatinin ciddi biçimde zarar göreceği durumda ayrıca ilgili kamu kurumunun görüşünü ve Kurulun iznini arar.3