GDPR İlgili Dibaceler 4 dibace
Recital 111
Provisions should be made for the possibility for transfers in certain circumstances where the data subject has given his or her explicit consent, where the transfer is occasional and necessary in relation to a contract or a legal claim, regardless of whether in a judicial procedure or whether in an administrative or any out-of-court procedure, including procedures before regulatory bodies. Provision should also be made for the possibility for transfers where important grounds of public interest laid down by Union or Member State law so require or where the transfer is made from a register established by law and intended for consultation by the public or persons having a legitimate interest. In the latter case, such a transfer should not involve the entirety of the personal data or entire categories of the data contained in the register and, when the register is intended for consultation by persons having a legitimate interest, the transfer should be made only at the request of those persons or, if they are to be the recipients, taking into full account the interests and fundamental rights of the data subject.
Recital 112
Those derogations should in particular apply to data transfers required and necessary for important reasons of public interest, for example in cases of international data exchange between competition authorities, tax or customs administrations, between financial supervisory authorities, between services competent for social security matters, or for public health, for example in the case of contact tracing for contagious diseases or in order to reduce and/or eliminate doping in sport. A transfer of personal data should also be regarded as lawful where it is necessary to protect an interest which is essential for the data subject's or another person's vital interests, including physical integrity or life, if the data subject is incapable of giving consent. In the absence of an adequacy decision, Union or Member State law may, for important reasons of public interest, expressly set limits to the transfer of specific categories of data to a third country or an international organisation. Member States should notify such provisions to the Commission. Any transfer to an international humanitarian organisation of personal data of a data subject who is physically or legally incapable of giving consent, with a view to accomplishing a task incumbent under the Geneva Conventions or to complying with international humanitarian law applicable in armed conflicts, could be considered to be necessary for an important reason of public interest or because it is in the vital interest of the data subject.
Recital 113
Transfers which can be qualified as not repetitive and that only concern a limited number of data subjects, could also be possible for the purposes of the compelling legitimate interests pursued by the controller, when those interests are not overridden by the interests or rights and freedoms of the data subject and when the controller has assessed all the circumstances surrounding the data transfer. The controller should give particular consideration to the nature of the personal data, the purpose and duration of the proposed processing operation or operations, as well as the situation in the country of origin, the third country and the country of final destination, and should provide suitable safeguards to protect fundamental rights and freedoms of natural persons with regard to the processing of their personal data. Such transfers should be possible only in residual cases where none of the other grounds for transfer are applicable. For scientific or historical research purposes or statistical purposes, the legitimate expectations of society for an increase of knowledge should be taken into consideration. The controller should inform the supervisory authority and the data subject about the transfer.
Recital 114
In any case, where the Commission has taken no decision on the adequate level of data protection in a third country, the controller or processor should make use of solutions that provide data subjects with enforceable and effective rights as regards the processing of their data in the Union once those data have been transferred so that that they will continue to benefit from fundamental rights and safeguards.
Dibace 111
Veri öznesinin açık rızasını vermiş olduğu belirli şartlar altında, aktarımın bir sözleşme veya hak talebi için gerekli ve nadir olması hâlinde, adli işlemler kapsamında veya düzenleyici organlar nezdindeki süreçler de dâhil olmak üzere idari veya mahkeme dışı usuller kapsamında olup olmadığına bakılmaksızın, aktarımın sağlanması imkânı tanınmalıdır. Birlik veya Üye Devlet hukukuyla belirlenen, kamu yararına ilişkin önemli gerekçelerin gerektirdiği hallerde veya aktarımın mevzuatla oluşturulmuş ve kamunun veya meşru menfaati bulunan kişilerin istişaresi için tutulan bir sicilden yapılması durumunda da veri aktarımının sağlanması imkânı tanınmalıdır İkinci durumda, veri aktarımı, sicilde bulunan kişisel verilerin tamamını veya tüm veri kategorilerini içermemelidir ve sicilin meşru menfaati bulunan kişilerin istişaresine açık olması hâlinde aktarım yalnızca bu kişilerin talebi üzerine veya bu kişilerin alıcı konumunda olduğu durumlarda veri öznelerinin menfaatleri ve temel hakları bütünüyle dikkate alınarak gerçekleştirilmelidir.
Dibace 112
Bu istisnalar özellikle, rekabet kuruluşları, vergi veya gümrük idareleri arasında, mali denetim makamları arasında, sosyal güvenlik konularında yetkili birimler arasında veya örneğin salgın hastalıklarda temas geçmişinin incelenmesi ya da sporda dopingin azaltılması ve/veya önlenmesinin amaçlandığı durumlarda kamu sağlığı alanında uluslararası veri paylaşımı gibi kamu yararına ilişkin önemli gerekçelerle zorunlu ve gerekli veri aktarımlarında uygulanmalıdır. Veri öznesinin rıza veremeyecek durumda olması hâlinde, aktarımın veri öznesinin veya diğer kişilerin, fiziksel bütünlük veya yaşam da dâhil, hayati menfaatlerinin korunması açısından gerekli olması durumunda kişisel verilerin aktarılması hukuka uygun olarak kabul edilmelidir. Bir yeterlilik kararı olmaması durumunda, Birlik veya Üye Devlet hukukunda, kamu yararına ilişkin önemli gerekçelerden dolayı, özel kategorilerdeki kişisel verilerin bir üçüncü ülkeye veya bir uluslararası kuruluşa aktarılmasına ilişkin sınırlar açık bir şekilde konabilir. Üye Devletler söz konusu hükümleri Komisyon’a bildirir. Cenevre Sözleşmeleri kapsamında gerekli bir görevi yerine getirmek veya silahlı çatışmalarda uygulanabilir uluslararası insancıl hukuka uyum sağlamak amacıyla, fiziksel veya hukuki olarak rıza veremeyecek durumdaki bir veri öznesinin kişisel verilerinin uluslararası bir insani yardım kuruluşuna aktarılması, kamu yararına ilişkin önemli bir gerekçe olması veya veri öznesinin hayati menfaatine olması nedeniyle gerekli kabul edilebilir.
Dibace 113
Bunun yanı sıra, yinelemeli nitelikte olmadığı değerlendirilen ve yalnızca sınırlı sayıda veri öznesini ilgilendiren aktarımlar da, veri sorumlusu tarafından gözetilen ve karşısında veri öznesinin menfaatleri veya hakları ile özgürlüklerinin ağır basmadığı zorlayıcı meşru menfaatler doğrultusunda ve veri sorumlusunun veri aktarımı ile ilgili tüm koşulları değerlendirmiş olması şartıyla gerçekleştirilebilir. Veri sorumlusu, kişisel verilerin mahiyetini, önerilen işleme faaliyetinin veya faaliyetlerinin amacını ve süresini ve bunların yanı sıra, menşe ülke, üçüncü ülke ve nihai hedef ülkedeki durumu özellikle dikkate almalıdır ve kişisel verilerinin işlenmesi bakımından gerçek kişilerin temel hak ve özgürlüklerini koruyacak uygun güvenceler sağlamalıdır. Söz konusu aktarımlar yalnızca, aktarım için diğer hiçbir gerekçenin uygulanabilir olmadığı geriye kalan durumlarda mümkün olmalıdır. Bilimsel veya tarihi araştırma amaçları ya da istatistiki amaçlar bakımından, toplumun daha fazla bilgi edinme yönündeki meşru beklentileri dikkate alınmalıdır. Veri sorumlusu, denetim makamını ve veri öznesini aktarım hususunda bilgilendirir.
Dibace 114
Her hâlükârda, Komisyon tarafından bir üçüncü ülkedeki yeterli veri koruma düzeyine ilişkin karar alınmamış olması hâlinde, veri sorumlusu veya veri işleyen; veri öznelerinin temel haklardan ve güvencelerden yararlanmaya devam edebilmelerini teminen, söz konusu veriler aktarıldıktan sonra bu verilerin Birlik içinde işlenmesi hakkında uygulanabilir ve etkili haklar sağlayan çözümleri kullanmalıdır.
İstisnaların sırası ve arızi aktarım
GDPR m.49'daki istisnalara, aktarım yapılacak ülke veya uluslararası kuruluş hakkında yeterlilik kararı bulunmadığı ve GDPR m.46 kapsamındaki uygun güvencelerden yararlanılamadığı durumda başvurulabilir. Veri aktaran, bu nedenle önce GDPR m.45 ve m.46'daki araçların kullanılabilir olup olmadığını incelemelidir.1 İstisnalar dar yorumlanmalı ve istisnai bir durum için öngörülen yol düzenli veri akışının dayanağına dönüştürülmemelidir.2
Arızi aktarım birden fazla kez yapılabilir. Bununla birlikte belirli bir veri alıcısıyla kurulan istikrarlı ilişki içinde düzenli olarak gerçekleşen aktarım arızi sayılamaz. Veri alıcısına bir veri tabanına genel ve sürekli erişim verilmesi de aynı sonucu doğurur.3 Gerekçe 111, sözleşme ve hukuki taleplere ilişkin istisnaları arızi aktarımlarla sınırlar. Açık rıza, önemli kamu yararı, hayati menfaat ve kamu sicili istisnalarında aynı sınırlama açıkça yazılmamıştır. Bu istisnalar da hükmün istisnai niteliğini ortadan kaldıracak biçimde kullanılamaz.4
GDPR m.49 yalnız V. Bölümde aranan aktarım şartını karşılar. Aktarıma konu işlemenin GDPR m.5 ve m.6 ile gerektiğinde m.9 uyarınca hukuka uygun olması ve şeffaflık yükümlülüklerinin yerine getirilmesi ayrıca gerekir.5
Açık rıza ve sözleşme gerekliliği
İlgili kişinin rızası, önerilen aktarım veya belirli aktarım dizisi için açıkça verilmiş olmalıdır. Kişiye, yeterlilik kararı ile uygun güvencelerin bulunmamasından doğabilecek riskler rıza alınmadan önce açıklanmalıdır.1 Gelecekteki alıcıların, ülkelerin veya aktarım koşullarının henüz belli olmadığı genel bir rıza bu şartı karşılayamaz. Rızanın her zaman geri alınabilmesi nedeniyle bu istisna, uzun süreli veri akışları için elverişli olmayabilir.2
GDPR m.49/1-b, ilgili kişi ile veri sorumlusu arasındaki sözleşmenin ifası veya ilgili kişinin talebi üzerine alınan sözleşme öncesi tedbirler için gerekli aktarıma imkan verir. Aktarım ile sözleşmenin amacı arasında yakın ve esaslı bir bağ bulunmalıdır.3 Bir şirketler topluluğunda ücret veya insan kaynakları işlerinin merkezileştirilmesi, çalışan sözleşmesinin ifasıyla bu ölçüde bir bağ kurulmadıkça istisnaya dayandırılamaz.4
GDPR m.49/1-c'de ilgili kişi sözleşmenin tarafı değildir. Aktarım, veri sorumlusu ile başka bir gerçek veya tüzel kişi arasında ilgili kişinin menfaatine kurulan sözleşmenin yapılması veya ifası için gerekli olmalıdır. Her iki sözleşme istisnası da arızi aktarımlarla sınırlıdır.5 Kamu makamları, kamusal yetkilerini kullanırken açık rıza ve sözleşme istisnalarına dayanamaz.6
Kamu yararı ve hukuki talepler
Önemli kamu yararına dayalı aktarımın, Birlik hukukunda veya veri sorumlusunun tabi olduğu üye devlet hukukunda tanınmış bir kamu yararına dayanması gerekir.1 Üçüncü ülkenin kendi hukukunda izlediği kamu yararı veya yabancı bir makamın talebi bu şartı tek başına karşılayamaz. İstisnaya bir özel hukuk kişisi de dayanabilir. Belirleyici olan aktarımı yapanın hukuki niteliği değil, kamu yararının ilgili Birlik veya üye devlet hukukunda tanınmış olması ve aktarımın bu amaç için gerekli bulunmasıdır.2
Rekabet, vergi veya gümrük idareleri arasındaki veri değişimi ile bulaşıcı hastalıkların takibi hükümde aranan önemli kamu yararına örnek oluşturabilir.3 Ancak bu örnekler, aynı alanlardaki her aktarımı kendiliğinden hukuka uygun hale getiremez. Aktarımın somut kamu yararı bakımından gerekli olduğu ayrıca gösterilmelidir.4
Hukuki taleplere ilişkin istisna, bir talebin ileri sürülmesi, kullanılması veya savunulması için gerekli aktarımları kapsar. Yargılama yanında, hukukça tanımlanmış idari, düzenleyici veya yargı dışı bir usul de bu kapsamda yer alabilir.5 Belirsiz bir tarihte uyuşmazlık çıkabileceği düşüncesi, geniş bir veri kümesinin aktarılmasına dayanak oluşturamaz. Aktarım ile belirli usul arasında yakın bağ kurulmalı ve mümkünse önce anonimleştirme veya takma ad kullanımı gibi daha sınırlı yollar değerlendirilmelidir.6
GDPR m.49/5, önemli kamu yararına dayalı bir aktarım istisnası değildir. Yeterlilik kararı bulunmadığında Birlik veya üye devlet hukukunun, önemli kamu yararı nedeniyle belirli kişisel veri kategorilerinin aktarımını açıkça sınırlamasına imkan verir.7
Hayati menfaatler ve kamu sicilleri
Aktarım, ilgili kişinin veya başka bir kişinin hayati menfaatlerini korumak için gerekli olabilir. Bu istisna ancak ilgili kişi fiziken veya hukuken rıza veremiyorsa uygulanabilir.1 Acil tedavi için sağlık verilerinin aktarılması bu kapsamda değerlendirilebilir. Rıza veremeyen bir kişiye yönelik acil insani yardım faaliyetinin yürütülebilmesi için zorunlu olan aktarım da somut olayda kişinin hayati menfaatini koruduğu ölçüde bu istisnaya dayanabilir. Tıbbi araştırma yapılması ise kişinin hayatı, sağlığı veya beden bütünlüğü bakımından somut bir gereklilik bulunmadıkça bu istisnaya dayandırılamaz.2
Kamu sicili istisnası, Birlik veya üye devlet hukukuna göre kamuyu bilgilendirmek amacıyla tutulan ve herkese ya da meşru menfaatini gösteren kişilere açık olan siciller için geçerlidir.3 Sicile erişimin ilgili hukukta belirlenen şartları somut talepte de karşılanmalıdır. Yalnız özel kişilerce işletilen bir sicilin erişime açılmış olması, onu GDPR m.49/1-g anlamında kamu siciline dönüştüremez.4
Sicilin tamamı veya sicildeki bütün bir kişisel veri kategorisi bu istisnayla aktarılamaz. Sicil yalnız meşru menfaatini gösteren kişilere açıksa aktarım, bu kişilerin talebi üzerine veya bu kişiler alıcı olacaksa yapılabilir.5
Zorlayıcı meşru menfaat
Veri sorumlusu bu yola ancak GDPR m.45 ve m.46'daki aktarım araçlarından, ayrıca m.49/1'in ilk alt paragrafındaki istisnalardan hiçbirinin kullanılamadığını ortaya koyduğu takdirde başvurabilir.1 Bu yola başvurmadan önce, diğer aktarım yollarını kullanmak için somut olayın şartlarına uygun ciddi girişimlerde bulunduğunu da gösterebilmelidir.2
Buradaki zorlayıcı meşru menfaat, GDPR m.6/1-f kapsamındaki her meşru menfaati kapsamaz. Menfaatin veri sorumlusu bakımından esaslı bir ağırlık taşıması gerekir. Veri işleyenin veya alıcının menfaati bu şartı karşılayamaz.3 Aktarım tekrar eden nitelikte olmamalı, yalnız sınırlı sayıda ilgili kişiyi kapsamalı ve veri sorumlusunun zorlayıcı meşru menfaati için gerekli olmalıdır. İlgili kişinin menfaatleri ile hak ve özgürlükleri üstün geliyorsa aktarım yapılamaz.4
Veri sorumlusu aktarımın bütün koşullarını değerlendirerek uygun güvenceleri belirlemelidir. Verinin niteliği, işlemenin amacı ve süresi ile kaynak ülke, üçüncü ülke ve son varış ülkesindeki durum bu incelemede dikkate alınır. Takma ad kullanımı veya şifreleme gibi tedbirler, somut riskleri azaltabildikleri ölçüde uygun güvence oluşturabilir.5
Bu yola dayanılması denetim makamının önceden iznini gerektirmez.6 Veri sorumlusu aktarımı denetim makamına bildirmeli ve ilgili kişiye aktarım ile izlenen zorlayıcı meşru menfaati açıklamalıdır.7 Veri sorumlusu veya veri işleyen, aktarım koşullarına ilişkin değerlendirmeyi ve sağlanan güvenceleri GDPR m.30 kapsamındaki kayıtlarda belgelendirmelidir.8 Kamu makamları, kamusal yetkilerini kullanırken bu yola başvuramaz.9
KVKK ile karşılaştırma
KVKK m.9/6, yeterlilik kararı bulunmadığı ve uygun güvencelerden birinin sağlanamadığı durumda arızi aktarım için yedi ayrı imkan düzenler.1 Yönetmelik arızi aktarımı, düzenli olmayan, tek veya birkaç kez gerçekleşen, süreklilik taşımayan ve olağan faaliyet akışı içinde bulunmayan aktarım olarak tanımlar.2 GDPR gerekçe 111 ise arızilik şartını açıkça sözleşme ile hukuki taleplere ilişkin istisnalara bağlar. Açık rıza, önemli kamu yararı, hayati menfaat ve sicil istisnalarında aynı şartı açıkça tekrarlamaz.3
İki düzenlemede açık rıza, sözleşme, ilgili kişi yararına sözleşme, kamu yararı, hukuki talepler, hayati menfaatler ve kamu sicilleri bakımından benzer başlıklar bulunmaktadır. Hükümlerin kapsamı yine de bütünüyle aynı değildir. Her iki hüküm de ilgili kişinin yanında başka bir kişinin korunması için aktarıma imkan verir. KVKK m.9/6-e, korunacak menfaati hayat veya beden bütünlüğü olarak ifade eder. GDPR m.49/1-f ise hayati menfaat kavramını kullanır.4 GDPR m.49/1-d, önemli kamu yararının Birlik veya üye devlet hukukunda tanınmasını ayrıca şart koşar. KVKK m.9/6-ç'de aynı kaynak şartı yazılı değildir.5
GDPR m.49/1'in ikinci alt paragrafındaki zorlayıcı meşru menfaat yolu, KVKK m.9/6'da yer almaz.6 Kamusal yetkilerini kullanan kamu makamları bakımından iki düzenleme de açık rıza ile iki sözleşme istisnasını dışarıda bırakır. GDPR ayrıca zorlayıcı meşru menfaat yolunu da kamu makamlarına kapatır.7