KVKK’da son değişikliklerin uygulaması

Kişisel verilerin korunması hukuku, dijitalleşen dünyanın gereksinimleri ve küreselleşen sermaye hareketleri neticesinde dinamik bir gelişim seyri izlemektedir. Türkiye’de 7 Nisan 2016 tarihinde yürürlüğe giren 6698 sayılı Kişisel Verileri Koruma Kanunu, Türk hukuk sisteminde kişisel verilerin işlenmesine ilişkin genel ilkeleri ve koruma mekanizmalarını tesis eden temel metin olma niteliğini haizdir. Bununla birlikte, Kanun’un kabul edildiği dönemde esas alınan Avrupa Birliği’nin 95/46/AT sayılı Direktifi’nin yerini 2018 yılı itibarıyla Genel Veri Koruma Tüzüğü’ne (GDPR) bırakması, uluslararası veri aktarımlarında yaşanan tıkanıklıklar ve uygulamada ortaya çıkan birtakım aksaklıklar, Türk veri koruma mevzuatında köklü bir reform ihtiyacını doğurmuştur. Bu ihtiyaca binaen hazırlanan ve 12 Mart 2024 tarihli Resmî Gazete’de yayımlanarak yürürlüğe giren 7499 sayılı Ceza Muhakemesi Kanunu ile Bazı Kanunlarda Değişiklik Yapılmasına Dair Kanun, 6698 sayılı Kanun’un kritik maddelerinde esaslı değişiklikler gerçekleştirmiştir. 1 Haziran 2024 tarihi itibarıyla genel olarak yürürlüğe giren bu düzenlemeler, Türk kişisel verileri koruma hukukunu Avrupa Birliği standartlarına yaklaştırmayı ve iş dünyasının sürdürülebilir veri akışı ihtiyacını karşılamayı hedeflemektedir.
Yapılan yasal reformun temel felsefesi, kişisel verilerin korunması hakkı ile iktisadi ve sosyal hayatın işleyişi arasındaki hassas dengeyi yeniden kurmaktır. Değişiklik öncesinde, özellikle özel nitelikli kişisel verilerin işlenmesi ve verilerin yurt dışına aktarılması hususlarında “açık rıza” kurumuna aşırı bir bağımlılık bulunmaktaydı. Doktrinde ve uygulamada sıklıkla eleştirildiği üzere, açık rızanın veri sorumluları tarafından bir “cankurtaran simidi” olarak görülmesi, rızanın sakatlanmasına, “sakat rıza” veya “zoraki rıza” uygulamalarının türemesine ve rızanın her an geri alınabilir olma niteliği sebebiyle hukuki güvensizlik ortamının doğmasına yol açmaktaydı. 7499 sayılı Kanun ile getirilen yenilikler, açık rızayı tek veya birincil meşruiyet kaynağı olmaktan çıkararak, objektif hukuka uygunluk sebeplerini genişletmiş ve veri işleme süreçlerini daha öngörülebilir bir hukuki zemine oturtmuştur.
Özel nitelikli kişisel verilerin işlenme şartlarını düzenleyen 6698 sayılı Kanun’un 6. maddesinde yapılan değişiklik, uygulamadaki en somut dönüşümlerden birini temsil etmektedir. Eski düzenlemede, sağlık ve cinsel hayat dışındaki özel nitelikli kişisel veriler ancak kanunlarda öngörülen hallerde işlenebilirken, sağlık ve cinsel hayata ilişkin veriler ise yalnızca kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla sır saklama yükümlülüğü altındaki kişiler veya yetkili kurum ve kuruluşlar tarafından işlenebilmekteydi. Bu durum, örneğin iş sağlığı ve güvenliği mevzuatı kapsamında çalışanların sağlık verilerini işlemek zorunda olan veri sorumluları açısından ciddi bir hukuki çıkmaz yaratmaktaydı. Yeni düzenleme ile 6. maddenin üçüncü fıkrasında yer alan ikili ayrım kaldırılmış ve özel nitelikli kişisel verilerin işlenebilmesi için genel veri işleme şartlarına benzer, geniş ve uygulanabilir istisnalar getirilmiştir.
Yeni 6. madde uyarınca; ilgili kişinin açık rızasının bulunması halinin yanı sıra, kanunlarda açıkça öngörülmesi, fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması, ilgili kişinin aleni kıldığı kişisel verilere ilişkin olması ve alenileştirme iradesine uygun işlenmesi, bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması şartlarıyla özel nitelikli verilerin işlenmesi mümkün hale gelmiştir. Ayrıca, istihdam, iş sağlığı ve güvenliği, sosyal güvenlik veya sosyal yardım alanındaki hukuki yükümlülüklerin yerine getirilmesi için zorunlu olması ile kamu sağlığının korunması, koruyucu hekimlik, tıbbi teşhis, tedavi ve bakım hizmetlerinin yürütülmesi amacıyla sır saklama yükümlülüğü altındaki kişilerce işlenmesi de hukuka uygunluk sebepleri arasında sayılmıştır. Siyasi, felsefi, dini veya sendikal amaçlı vakıf, dernek ve diğer kâr amacı gütmeyen kuruluşların kendi üyelerine veya eski üyelerine yönelik faaliyetleri de bu kapsama dâhil edilmiştir. Bu değişiklik, özellikle insan kaynakları yönetimi, özel sağlık kuruluşları, sigortacılık sektörü ve iş sağlığı güvenliği süreçlerinde açık rıza alma mecburiyetini ortadan kaldırarak, süreçlerin hukuki yükümlülükler çerçevesinde daha sağlıklı yürütülmesine imkân tanımıştır.
Kanun’da yapılan en radikal ve köklü değişiklik ise hiç şüphesiz yurt dışına veri aktarımını düzenleyen 9. maddede gerçekleşmiştir. Küreselleşen ekonomide bulut bilişim teknolojileri, uluslararası yazılımlar, küresel insan kaynakları sistemleri ve sınır ötesi e-ticaret uygulamaları sebebiyle verilerin yurt dışına aktarımı kaçınılmaz bir gereksinimdir. Ancak mülga 9. madde düzenlemesi altında Kurul tarafından “yeterli korumaya sahip ülke” listesinin bir türlü ilan edilememiş olması ve taahhütname mekanizmasının oldukça hantal işlemesi nedeniyle veri sorumluları neredeyse tamamen açık rıza mekanizmasına mahkûm kalmıştı. Oysa açık rızanın her an geri çekilebilir olması, küresel ölçekte hizmet veren sistemlerin sürdürülebilirliğini tehdit etmekteydi. 7499 sayılı Kanun ile 9. madde baştan aşağı yeniden kaleme alınmış ve GDPR’ın 44 ila 49. maddeleri ile tam bir uyum sağlanmıştır.
Yeni 9. madde sistematiğinde yurt dışına veri aktarımı kademeli bir yapıya kavuşturulmuştur. Birinci kademede “yeterlilik kararı” yer almaktadır. Kişisel Verileri Koruma Kurulu, aktarımın yapılacağı ülke, ülke içerisindeki sektörler veya uluslararası kuruluşlar hakkında bir yeterlilik kararı verebilecektir. Yeterlilik kararı verilirken ilgili ülkedeki mevzuat, veri koruma otoritesinin varlığı ve bağımsızlığı, uluslararası sözleşmeler ve karşılıklılık durumu gibi hususlar değerlendirilecektir. Yeterlilik kararının bulunması halinde kişisel veriler, ilave bir izne veya rızaya gerek olmaksızın yurt dışına aktarılabilecektir.
Yeterlilik kararının bulunmadığı ikincil aşamada ise Kanun’da öngörülen “uygun güvencelerden” birinin sağlanması ve ilgili kişinin aktarımın yapılacağı ülkede haklarını kullanma ve etkili kanun yollarına başvurma imkânına sahip olması şartıyla veri aktarımı gerçekleştirilebilecektir. Uygun güvenceler; Türkiye’deki kamu kurum ve kuruluşları ile yabancı ülkedeki kamu kurum ve kuruluşları arasındaki uluslararası sözleşme niteliğinde olmayan anlaşmanın varlığı ve Kurul izin vermesi, teşebbüs grubu şirketleri için Kurul tarafından onaylanan bağlayıcı şirket kurallarının (Binding Corporate Rules) varlığı, Kurul tarafından ilan edilen standart sözleşme hükümlerinin (Standard Contractual Clauses) varlığı veya yeterli korumayı sağlayacak taahhütnameyi içeren yazılı bir taahhüdün varlığı ve Kurulun izni olarak sıralanmıştır.
Bu güvenceler arasında özellikle “standart sözleşmeler” uygulamada büyük bir pratik kolaylık sağlamıştır. Kurul tarafından hazırlanan tip sözleşme metinlerinin veri aktaran ve veri teslim alan taraflarca imzalanması yeterli görülmüş, Kuruldan ön izin alma şartı aranmamıştır. Ancak şeffaflık ve denetimin sağlanması amacıyla, standart sözleşmenin imzalanmasından itibaren beş iş günü içinde veri sorumlusu veya veri işleyen tarafından Kişisel Verileri Koruma Kurumu’na bildirilmesi yükümlülüğü getirilmiştir. Bu bildirim yükümlülüğüne uyulmaması hali ise Kanun’un 18. maddesinde idari para cezasına bağlanarak müeyyidelendirilmiştir.
Yeterlilik kararının bulunmadığı ve uygun güvencelerin de sağlanamadığı hallerde ise üçüncü kademe olarak “arızi durumlar” devreye girmektedir. Kanun koyucu, süreklilik arz etmeyen, arızi nitelikteki aktarımlar için birtakım istisnai haller öngörmüştür. Bunlar; ilgili kişinin muhtemel riskler hakkında bilgilendirilmesi kaydıyla aktarıma açık rıza vermesi, aktarımın ilgili kişi ile veri sorumlusu arasındaki bir sözleşmenin ifası veya sözleşme öncesi tedbirlerin uygulanması için zorunlu olması, üçüncü kişi lehine kurulan sözleşmenin ifası için zorunlu olması, üstün bir kamu yararı için zorunlu olması, bir hakkın tesisi, kullanılması veya korunması için zorunlu olması ve fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda olan kişinin hayatı veya beden bütünlüğünün korunması için zorunlu olmasıdır. Burada önemle vurgulanmalıdır ki, açık rıza artık yurt dışına veri aktarımında asli yol değil, yalnızca arızi ve istisnai durumlarda başvurulabilecek ikincil bir hukuki sebeptir.
Söz konusu değişikliklerin uygulamadaki geçiş sürecini yönetebilmek amacıyla Kanun’a Geçici 3. madde eklenmiştir. Bu madde uyarınca, mülga 9. fıkra kapsamında alınan açık rızalara dayalı olarak yurt dışına veri aktarımı yapılmasına 1 Eylül 2024 tarihine kadar devam edilebilmesine imkân tanınmıştır. Bu tarih itibarıyla geçiş süresi sona ermiş olup, veri sorumlularının tüm yurt dışı aktarım süreçlerini yeni mekanizmalardan birine (yeterlilik kararı, standart sözleşme, bağlayıcı şirket kuralları veya arızi haller) uyarlamış olmaları gerekmektedir.
Değişikliklerin yargısal denetim ve yaptırım boyutuna bakıldığında da çok esaslı bir usul değişikliği göze çarpmaktadır. 6698 sayılı Kanun’un mülga 18. maddesi uyarınca Kişisel Verileri Koruma Kurulu tarafından verilen idari para cezalarına karşı başvuru mercii Sulh Ceza Hakimlikleri idi. Ancak Sulh Ceza Hakimliklerinin ceza hukuku kökenli olmaları, idari yaptırımların ve karmaşık teknik veri işleme süreçlerinin denetiminde uzmanlaşmamış olmaları ve dosya üzerinden yüzeysel inceleme yapmaları doktrinde şiddetle eleştirilmekteydi. 7499 sayılı Kanun ile yapılan düzenleme neticesinde, Kurul tarafından verilen idari para cezalarına karşı iptal davası açma yetkisi İdare Mahkemelerine devredilmiştir.
Bu değişiklik, kişisel verilerin korunması hukukunun idare hukuku ile olan ayrılmaz bağının bir gereği olarak hukuka uygun bir adım teşkil etmektedir. İdari yargılama usulünde geçerli olan re’sen araştırma ilkesi, yazılılık esasının derinliği ve idari işlemin sebep, konu, maksat, şekil ve yetki unsurları yönünden tam bir yargısal denetime tabi tutulması, veri sorumlularının hak arama hürriyetini ve adil yargılanma hakkını güçlendirmiştir. 1 Haziran 2024 tarihi itibarıyla Kurul kararlarına karşı açılacak davalar idare mahkemelerinde görülecektir. Geçiş hükmü uyarınca, 1 Haziran 2024 tarihi itibarıyla Sulh Ceza Hakimlikleri nezdinde görülmekte olan başvurular bu mercilerce sonuçlandırılmaya devam edecek, henüz karara bağlanmamış ve devredilmemiş dosyalar bakımından idari yargı görevli hale gelecektir.
Yeni dönemde kanuni dayanakların bütüncül bir değerlendirmesini yapmak gerekirse; 6698 sayılı Kanun’un 6, 9 ve 18. maddelerindeki değişiklikler, Anayasa’nın 20. maddesinde güvence altına alınan özel hayatın gizliliği ve kişisel verilerin korunması hakkı ile Anayasa’nın 125. maddesinde düzenlenen idarenin her türlü eylem ve işlemine karşı yargı yolunun açık olduğu ilkesiyle tam bir uyum içerisindedir. Değişiklikler ayrıca Avrupa İnsan Hakları Sözleşmesi’nin 8. maddesi ve 108 sayılı Kişisel Verilerin Otomatik İşleme Tabi Tutulması Karşısında Bireylerin Korunması Sözleşmesi ilkeleri doğrultusunda normlar hiyerarşisine oturtulmuştur.
Uygulamada veri sorumlularının atması gereken somut adımlar son derece kritik bir hal almıştır. Veri sorumlularının acilen kişisel veri envanterlerini güncellemesi, işleme amaçlarını ve dayandıkları hukuki sebepleri yeni 6. madde düzenlemelerine göre revize etmesi gerekmektedir. Özellikle çalışanların sağlık verileri, biyometrik veriler veya adli sicil kaydı gibi özel nitelikli verilerin işlenmesinde önceden alınan açık rızalar yerine, iş kanunu, iş sağlığı ve güvenliği kanunu veya sosyal güvenlik mevzuatından kaynaklanan hukuki yükümlülüklerin hukuki sebep olarak envantere işlenmesi şarttır. Bu durum, aydınlatma metinlerinin de sil baştan güncellenmesini zorunlu kılmaktadır.
Yurt dışı veri aktarımları açısından ise, özellikle küresel bulut sunucuları (AWS, Azure, Google Cloud vb.), yurt dışı menşeili e-posta sağlayıcıları, CRM ve ERP sistemleri kullanan şirketlerin aktarım mekanizmalarını belirlemesi hayati önem taşımaktadır. En pratik yol olarak öne çıkan Standart Sözleşme mekanizmasının tercih edilmesi halinde, Kurulun yayımladığı tip metinlerde hiçbir değişiklik yapılmaksızın (sözleşmenin tarafları, aktarımın detayları ve teknik tedbirler ekler kısmına yazılacak şekilde) imzalanması ve imza tarihinden itibaren beş iş günü içinde Kişisel Verileri Koruma Kurumu’na bildirilmesi gerekmektedir. Aksi takdirde, 7499 sayılı Kanun ile 18. maddeye eklenen hüküm gereğince ciddi tutarlarda idari para cezası riski ile karşı karşıya kalınacaktır.
Netice itibarıyla, KVKK’da gerçekleştirilen son değişiklikler, Türk kişisel verileri koruma hukukunda yeni bir dönemin kapılarını aralamıştır. Açık rıza odaklı, katı ve uygulamada kilitlenmelere yol açan eski sistemin yerini; risk bazlı, objektif kıstaslara dayanan, esnek fakat denetlenebilir bir hukuki rejim almıştır. Özel nitelikli kişisel verilerin işlenme şartlarının esnetilmesi iş dünyasının meşru ihtiyaçlarına cevap verirken; yurt dışına veri aktarımında uluslararası standartlara uyum sağlanması Türkiye’nin küresel dijital ekonomiye entegrasyonunu hızlandıracaktır. Görevli mahkemenin İdare Mahkemesi olarak değiştirilmesi ise idari yaptırımların niteliğine uygun, daha uzmanlaşmış ve hukuki güvenliği sağlayıcı bir yargısal denetim mekanizmasını hayata geçirmiştir. Veri sorumlularının bu yeni döneme uyum sağlayabilmeleri için uyum süreçlerini yalnızca kağıt üzerinde bırakmayıp, teknik ve idari tedbirlerini güncel mevzuat ve içtihatlar ışığında fiilen hayata geçirmeleri yasal bir zorunluluktur.