Madde 49

GDPR m.49'daki istisnalara, aktarım yapılacak ülke veya uluslararası kuruluş hakkında yeterlilik kararı bulunmadığı ve GDPR m.46 kapsamındaki uygun güvencelerden yararlanılamadığı durumda başvurulabilir. Veri aktaran, bu nedenle önce GDPR m.45 ve m.46'daki araçların kullanılabilir olup olmadığını incelemelidir.1 İstisnalar dar yorumlanmalı ve istisnai bir durum için öngörülen yol düzenli veri akışının dayanağına dönüştürülmemelidir.2

Arızi aktarım birden fazla kez yapılabilir. Bununla birlikte belirli bir veri alıcısıyla kurulan istikrarlı ilişki içinde düzenli olarak gerçekleşen aktarım arızi sayılamaz. Veri alıcısına bir veri tabanına genel ve sürekli erişim verilmesi de aynı sonucu doğurur.3 Gerekçe 111, sözleşme ve hukuki taleplere ilişkin istisnaları arızi aktarımlarla sınırlar. Açık rıza, önemli kamu yararı, hayati menfaat ve kamu sicili istisnalarında aynı sınırlama açıkça yazılmamıştır. Bu istisnalar da hükmün istisnai niteliğini ortadan kaldıracak biçimde kullanılamaz.4

GDPR m.49 yalnız V. Bölümde aranan aktarım şartını karşılar. Aktarıma konu işlemenin GDPR m.5 ve m.6 ile gerektiğinde m.9 uyarınca hukuka uygun olması ve şeffaflık yükümlülüklerinin yerine getirilmesi ayrıca gerekir.5

İlgili kişinin rızası, önerilen aktarım veya belirli aktarım dizisi için açıkça verilmiş olmalıdır. Kişiye, yeterlilik kararı ile uygun güvencelerin bulunmamasından doğabilecek riskler rıza alınmadan önce açıklanmalıdır.1 Gelecekteki alıcıların, ülkelerin veya aktarım koşullarının henüz belli olmadığı genel bir rıza bu şartı karşılayamaz. Rızanın her zaman geri alınabilmesi nedeniyle bu istisna, uzun süreli veri akışları için elverişli olmayabilir.2

GDPR m.49/1-b, ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirler için gerekli aktarıma imkan verir. Aktarım ile sözleşmenin amacı arasında yakın ve esaslı bir bağ bulunmalıdır.3 Bir şirketler topluluğunda ücret veya insan kaynakları işlerinin merkezileştirilmesi, çalışan sözleşmesinin ifasıyla bu ölçüde bir bağ kurulmadıkça istisnaya dayandırılamaz.4

GDPR m.49/1-c'de ilgili kişi sözleşmenin tarafı değildir. Aktarım, veri sorumlusu ile başka bir gerçek veya tüzel kişi arasında ilgili kişinin menfaatine kurulan sözleşmenin yapılması veya ifası için gerekli olmalıdır. Her iki sözleşme istisnası da arızi aktarımlarla sınırlıdır.5 Kamu makamları, kamusal yetkilerini kullanırken açık rıza ve sözleşme istisnalarına dayanamaz.6

Önemli kamu yararına dayalı aktarımın, Birlik hukukunda veya veri sorumlusunun tabi olduğu üye devlet hukukunda tanınmış bir kamu yararına dayanması gerekir.1 Üçüncü ülkenin kendi hukukunda izlediği kamu yararı veya yabancı bir makamın talebi bu şartı tek başına karşılayamaz. İstisnaya bir özel hukuk kişisi de dayanabilir. Belirleyici olan aktarımı yapanın hukuki niteliği değil, kamu yararının ilgili Birlik veya üye devlet hukukunda tanınmış olması ve aktarımın bu amaç için gerekli bulunmasıdır.2

Rekabet, vergi veya gümrük idareleri arasındaki veri değişimi ile bulaşıcı hastalıkların takibi hükümde aranan önemli kamu yararına örnek oluşturabilir.3 Ancak bu örnekler, aynı alanlardaki her aktarımı kendiliğinden hukuka uygun hale getiremez. Aktarımın somut kamu yararı bakımından gerekli olduğu ayrıca gösterilmelidir.4

Hukuki taleplere ilişkin istisna, bir talebin ileri sürülmesi, kullanılması veya savunulması için gerekli aktarımları kapsar. Yargılama yanında, hukukça tanımlanmış idari, düzenleyici veya yargı dışı bir usul de bu kapsamda yer alabilir.5 Belirsiz bir tarihte uyuşmazlık çıkabileceği düşüncesi, geniş bir veri kümesinin aktarılmasına dayanak oluşturamaz. Aktarım ile belirli usul arasında yakın bağ kurulmalı ve mümkünse önce anonimleştirme veya takma ad kullanımı gibi daha sınırlı yollar değerlendirilmelidir.6

GDPR m.49/5, önemli kamu yararına dayalı bir aktarım istisnası değildir. Yeterlilik kararı bulunmadığında Birlik veya üye devlet hukukunun, önemli kamu yararı nedeniyle belirli kişisel veri kategorilerinin aktarımını açıkça sınırlamasına imkan verir.7

Aktarım, ilgili kişinin veya başka bir kişinin hayati menfaatlerini korumak için gerekli olabilir. Bu istisna ancak ilgili kişi fiziken veya hukuken rıza veremiyorsa uygulanabilir.1 Acil tedavi için sağlık verilerinin aktarılması bu kapsamda değerlendirilebilir. Rıza veremeyen bir kişiye yönelik acil insani yardım faaliyetinin yürütülebilmesi için zorunlu olan aktarım da somut olayda kişinin hayati menfaatini koruduğu ölçüde bu istisnaya dayanabilir. Tıbbi araştırma yapılması ise kişinin hayatı, sağlığı veya beden bütünlüğü bakımından somut bir gereklilik bulunmadıkça bu istisnaya dayandırılamaz.2

Kamu sicili istisnası, Birlik veya üye devlet hukukuna göre kamuyu bilgilendirmek amacıyla tutulan ve herkese ya da meşru menfaatini gösteren kişilere açık olan siciller için geçerlidir.3 Sicile erişimin ilgili hukukta belirlenen şartları somut talepte de karşılanmalıdır. Yalnız özel kişilerce işletilen bir sicilin erişime açılmış olması, onu GDPR m.49/1-g anlamında kamu siciline dönüştüremez.4

Sicilin tamamı veya sicildeki bütün bir kişisel veri kategorisi bu istisnayla aktarılamaz. Sicil yalnız meşru menfaatini gösteren kişilere açıksa aktarım, bu kişilerin talebi üzerine veya bu kişiler alıcı olacaksa yapılabilir.5

Veri sorumlusu bu yola ancak GDPR m.45 ve m.46'daki aktarım araçlarından, ayrıca m.49/1'in ilk alt paragrafındaki istisnalardan hiçbirinin kullanılamadığını ortaya koyduğu takdirde başvurabilir.1 Bu yola başvurmadan önce, diğer aktarım yollarını kullanmak için somut olayın şartlarına uygun ciddi girişimlerde bulunduğunu da gösterebilmelidir.2

Buradaki zorlayıcı meşru menfaat, GDPR m.6/1-f kapsamındaki her meşru menfaati kapsamaz. Menfaatin veri sorumlusu bakımından esaslı bir ağırlık taşıması gerekir. Veri işleyenin veya alıcının menfaati bu şartı karşılayamaz.3 Aktarım tekrar eden nitelikte olmamalı, yalnız sınırlı sayıda ilgili kişiyi kapsamalı ve veri sorumlusunun zorlayıcı meşru menfaati için gerekli olmalıdır. İlgili kişinin menfaatleri ile hak ve özgürlükleri üstün geliyorsa aktarım yapılamaz.4

Veri sorumlusu aktarımın bütün koşullarını değerlendirerek uygun güvenceleri belirlemelidir. Verinin niteliği, işlemenin amacı ve süresi ile kaynak ülke, üçüncü ülke ve son varış ülkesindeki durum bu incelemede dikkate alınır. Takma ad kullanımı veya şifreleme gibi tedbirler, somut riskleri azaltabildikleri ölçüde uygun güvence oluşturabilir.5

Bu yola dayanılması denetim makamının önceden iznini gerektirmez.6 Veri sorumlusu aktarımı denetim makamına bildirmeli ve ilgili kişiye aktarım ile izlenen zorlayıcı meşru menfaati açıklamalıdır.7 Veri sorumlusu veya veri işleyen, aktarım koşullarına ilişkin değerlendirmeyi ve sağlanan güvenceleri GDPR m.30 kapsamındaki kayıtlarda belgelendirmelidir.8 Kamu makamları, kamusal yetkilerini kullanırken bu yola başvuramaz.9

KVKK m.9/6, yeterlilik kararı bulunmadığı ve uygun güvencelerden birinin sağlanamadığı durumda arızi aktarım için yedi ayrı imkan düzenler.1 Yönetmelik arızi aktarımı, düzenli olmayan, tek veya birkaç kez gerçekleşen, süreklilik taşımayan ve olağan faaliyet akışı içinde bulunmayan aktarım olarak tanımlar.2 GDPR gerekçe 111 ise arızilik şartını açıkça sözleşme ile hukuki taleplere ilişkin istisnalara bağlar. Açık rıza, önemli kamu yararı, hayati menfaat ve sicil istisnalarında aynı şartı açıkça tekrarlamaz.3

İki düzenlemede açık rıza, sözleşme, ilgili kişi yararına sözleşme, kamu yararı, hukuki talepler, hayati menfaatler ve kamu sicilleri bakımından benzer başlıklar bulunmaktadır. Hükümlerin kapsamı yine de bütünüyle aynı değildir. Her iki hüküm de ilgili kişinin yanında başka bir kişinin korunması için aktarıma imkan verir. KVKK m.9/6-e, korunacak menfaati hayat veya beden bütünlüğü olarak ifade eder. GDPR m.49/1-f ise hayati menfaat kavramını kullanır.4 GDPR m.49/1-d, önemli kamu yararının Birlik veya üye devlet hukukunda tanınmasını ayrıca şart koşar. KVKK m.9/6-ç'de aynı kaynak şartı yazılı değildir.5

GDPR m.49/1'in ikinci alt paragrafındaki zorlayıcı meşru menfaat yolu, KVKK m.9/6'da yer almaz.6 Kamusal yetkilerini kullanan kamu makamları bakımından iki düzenleme de açık rıza ile iki sözleşme istisnasını dışarıda bırakır. GDPR ayrıca zorlayıcı meşru menfaat yolunu da kamu makamlarına kapatır.7