Madde 8

Türkiye'de bulunan bir alıcıya kişisel veri gönderilmesi, KVKK'nin 8. maddesindeki yurt içi aktarım düzenine tabidir. Hüküm, açık rızayı başlangıç noktası olarak alır. Genel nitelikli kişisel verilerde 5. maddenin ikinci fıkrasındaki şartlardan biri, özel nitelikli verilerde ise 6. maddenin üçüncü fıkrasındaki bir şart ile yeterli önlemler birlikte mevcutsa açık rıza aranmaz.1

Bu düzenleme, Türkiye'de bulunan alıcıya yapılan aktarım içindir. Alıcı yurt dışındaysa, KVKK'nin 9. maddesindeki ek aktarım rejimi uygulanır.2

Kişisel verinin açıklanması veya başka bir kişiye iletilmesi, KVKK'da kişisel veri işleme sayılan faaliyetler arasındadır. Buna rağmen veriyi ilk kez toplama sebebi, alıcısı, amacı ve veri kapsamı değişen her gönderim için kendiliğinden yeterli kabul edilemez.1

Bu nedenle ikinci aşamada, somut alıcının veriyi hangi amaçla alacağı ve aktarımın hangi işleme şartına dayandığı ayrıca ortaya konulmalıdır.2 Kredi kartı ekstresinin yanlış e-posta adresine gönderildiği olayda Kurul, şart bulunmayan aktarımı ve güvenlik tedbirlerindeki eksikliği aynı olay içinde ayrı değerlendirmiştir.3

Aktarım amacı belirli, açık ve meşru olmalıdır. Bu amaç, hangi alıcının hangi veriye neden ihtiyaç duyduğunu görünür kılar. Amaçla bağlantılılık, sınırlılık ve ölçülülük ilkeleri, veri sorumlusunun elindeki bütün bilgileri değil yalnız bu ihtiyaç için gerekli veri kümesini göndermeyi gerektirir.1

İş görüşmesine ilişkin bilginin mevcut işverene iletildiği olayda Kurul, somut aktarım için bir şart gösterilemediği sonucuna varmıştır.2 İlk toplama bağlamından farklı alıcıya yönelen gönderimde aktarım şartı somut olarak belirlenmelidir.3

Alıcı grubu, verinin gönderildiği gerçek veya tüzel kişi kategorisini ifade eder. Aydınlatma sırasında aktarım amacıyla birlikte bu kategorinin açıklanması, ilgili kişinin verisinin hangi çevreye yöneltilebileceğini anlamasına imkan verir.1

Ne var ki alıcı grubunun bildirilmesi, aktarım için hukuki dayanak kurmaz. Somut aktarımda alıcı, amaç ve veri kapsamı belirlendikten sonra 5. veya 6. maddede öngörülen şartlardan hangisinin bulunduğu ayrıca değerlendirilecektir.2

Açık rıza, ilgili kişinin hangi aktarım için irade açıkladığını ayırt edebileceği kadar belirli olmalıdır. Açık rızaya dayanan işlemede aydınlatma yükümlülüğü ile rızanın alınması ayrı ayrı yerine getirilir.1

Kartı bulan kişiye telefon numarasının verildiği olayda Kurul, genel aydınlatma yükümlülüğünün yerine getirildiğini, ancak çağrı merkezi görüşmesindeki “tamam” yanıtının telefon numarasının kart sahibine aktarılacağını kişiye bildiren belirli ve bilgilendirilmiş bir açık rıza oluşturmadığını değerlendirmiştir.2 Bankadan sigorta şirketine telefon numarası gönderilmesinde ise rıza kaydının belirli alıcı ve veriyle bağını incelemiştir.3 Aydınlatmada aktarımın amacı, aktarılacak alıcı grupları ve hukuki sebep açıkça belirtilmelidir.4

Açık rıza dışındaki aktarımda, 5. maddenin ikinci fıkrasındaki şartlardan birinin yalnız ilk toplama faaliyetinde değil, alıcıya yönelen somut işlem bakımından da bulunması gerekir. Somut aktarım bakımından uygulanabilecek işleme şartı ile gönderilecek verilerin aktarım amacı için gerekli ve ölçülü olup olmadığı ayrı ayrı değerlendirilecektir.1

Bu ayrım, aktarımın hangi hukuki ilişkiden doğduğunun gösterilmesini gerektirir. İcra dairesinin haciz ihbarnamesine cevap, kanuni yükümlülük bakımından ele alınmıştır.2 Bankacılık bildiriminde özel kurallar ve somut işleme şartı, mahkemeye ses kaydı sunulmasında ise hakkın tesisi, kullanılması veya korunması için zorunluluk incelenmiştir.34

Özel nitelikli kişisel verinin yurt içinde aktarılabilmesi için güncel 6. maddenin üçüncü fıkrasındaki işleme şartlarından birinin bulunması ve dördüncü fıkrada aranan yeterli önlemlerin alınması gerekir.1 7499 sayılı Kanun, üçüncü fıkradaki şartları değiştirmiş ve değişikliği 1 Haziran 2024 tarihinde yürürlüğe koymuştur.2 Dördüncü fıkradaki yeterli önlem şartı ise korunmuştur.3

Bu nedenle 1 Haziran 2024 öncesindeki olaylar, o tarihte yürürlükte olan düzenlemeye göre değerlendirilecektir.4 Eski düzenleme altında verilen kararlar güncel üçüncü fıkradaki şartların içeriğini açıklamaz.5 Buna karşılık 2018/10 sayılı kararın şifreleme, erişim sınırlaması ve güvenli iletişime ilişkin tedbirleri, korunmuş olan yeterli önlem şartı bakımından önem taşır.6 Bu tedbirler, aktarımın hangi işleme şartına dayandığını gösteremez.7

Veri sorumlusu, işleme amacını ve esaslı araçları belirleyen kişidir. Veri işleyen ise veri sorumlusunun yetkisi ve talimatı çerçevesinde onun adına işlem yapar. Sıfat tespitinde sözleşmedeki adlandırmadan önce, verinin hangi amaçla kullanılacağına ve temel araçlara kimin karar verdiği incelenmelidir.1

Bu ayrım, veri işleyene yapılan her gönderimin aktarım sayılmayacağı veya mutlaka aktarım sayılacağı yönünde genel bir cevap vermez. Doktrinde farklı görüşler bulunmaktadır. Talimatın kapsamı, alıcının veriyi kendi amacı için kullanıp kullanmadığı ve bağımsız karar yetkisi birlikte değerlendirilecektir.2 Sigorta destek hizmeti olayında Kurul, rolü somut talimat ilişkisine göre belirlemiştir.3

Talimat ilişkisi ile işleme amacının değişmemesi, alıcının rolünü belirleyen somut olgular arasındadır. Kurul, çalışanların istirahat raporlarının Personel Yönetim Sistemi aracılığıyla aynı amaçla kamu iştirakine iletildiği olayda iştiraki veri işleyen olarak nitelendirmiş ve aktarımı o tarihteki özel nitelikli veri işleme şartı çerçevesinde değerlendirmiştir.4

Grup şirketi içinde bulunmak veya ortak yazılım kullanmak, alıcının rolünü tek başına belirlemez. Bir şirket yalnız teknik hizmet sunuyor olabilir, kendi amacı için yeni bir kullanım alanı da açıyor olabilir. Bu ayrım, her aktörün veriye hangi amaçla eriştiği ve işleme üzerinde hangi kararları verdiği ortaya konularak yapılacaktır.1

Ortak yazılım ve kara liste uygulamasına ilişkin kararda Kurul, tarafların sıfatını erişimin hukuki sebebinden ayrı incelemiştir.2 Grup bağı, aktarım şartının somut olayda ayrıca belirlenmesi gereğini ortadan kaldırmaz.3

KVKK'nin 8. maddesinin üçüncü fıkrası, kişisel verilerin aktarılmasına ilişkin başka kanun hükümlerini saklı tutar.1

İcra dairesinin haciz ihbarnamesine verilen banka cevabı, bu çerçevede kanuni yükümlülük yönünden ele alınmıştır.2 Hasta dosyasının mahkeme müzekkeresi üzerine gönderilmesinde ise Kurul, Hukuk Muhakemeleri Kanununun 221. maddesi ile KVKK'nin 8. maddesinin üçüncü fıkrası arasındaki bağlantıya dayanmıştır.3 Karar, önceki özel nitelikli veri rejiminde verilmiştir.4 Bu sebeple eski 6. madde açıklaması güncel üçüncü fıkradaki işleme şartına taşınamaz.5

Aydınlatma, ilgili kişinin aktarım amacı ve alıcı grupları hakkında önceden bilgi edinmesini sağlar. Hukuki sebep de bu bilgilendirmenin ayrı bir unsurudur. Böylece kişi, işlemenin açık rızaya mı yoksa Kanunda öngörülen başka bir şarta mı dayandırıldığını anlayabilir.1

Aktarımdan sonra bilgi alma hakkı başka bir güvence sağlar. İlgili kişi, verilerinin üçüncü kişilere aktarılıp aktarılmadığını veri sorumlusuna sorabilir.2 Aydınlatmanın şeffaflık sağlaması, aktarım için gerekli işleme şartının varlığını göstermez.3

Aktarımın hukuka uygunluk sorusu, hangi işleme şartının alıcıya veri gönderilmesine imkan verdiğiyle ilgilidir. Güvenlik sorusu ise bu gönderim sırasında veriye yetkisiz erişimin ve hukuka aykırı işlemenin nasıl önleneceğini konu alır. Veri sorumlusu uygun teknik ve idari tedbirleri almakla, veri işleyen de bu tedbirler bakımından birlikte sorumludur.1

2018/10 sayılı kararda şifreleme, güvenli iletişim kanalı ve erişim sınırlaması özel nitelikli veri aktarımındaki tedbirler arasında sayılmıştır.2 Kredi kartı ekstresinin yanlış adrese gönderilmesine ilişkin karar da şart ve güvenlik değerlendirmelerinin birbirinden ayrıldığını göstermektedir.3

Ölçülülük incelemesi, aktarım amacını tekrar etmekle bitmez. Önce alıcının yerine getireceği görev belirlenir. Ardından bu görev için gerçekten gerekli veri kategorileri ayrılır ve gereksiz bilgilerin neden dışarıda tutulacağı gösterilir.1

Aidat borcu bilgisinin taşınmaz sahibine iletildiği olayda Kurul, aktarımı borç ilişkisi içindeki hakkın tesisi, kullanılması veya korunması bakımından değerlendirmiştir.2 Alıcıya gönderilecek veri kümesi, bu hakla bağlantılı ve gerekli olan bilgilerle sınırlı tutulmalıdır.3

GDPR, veri sorumlusunu işleme amaçlarını ve araçlarını belirleyen kişi olarak, veri işleyeni ise onun adına hareket eden kişi olarak tanımlar. Alıcı tanımı da verinin açıklandığı kişi veya kuruluşu kapsar.1 Bu tanımlar, alıcının bağımsız amaçla mı hareket ettiği yoksa talimatla sınırlı teknik hizmet mi sunduğu sorusunu ayırmaya yarar.2

GDPR'nin 28. maddesi, veri işleyenle veri sorumlusu arasındaki sözleşmenin içeriğini düzenler.3 Bu sözleşme düzeni, KVKK'nin 8. maddesindeki aktarım şartlarının yerine geçmez.4