| Okuma Süresi: 2 Dakika

KİŞİSEL VERİLERİ KORUMA KURULUNUN 22.07.2020 TARİH VE 2020/559 SAYILI KARAR ÖZETİ

MGC LEGAL

Özet:  Bir otomobil şirketi, reklam ve pazarlama faaliyetleri kapsamında yurtdışında bulunan firmadan SMS gönderimi hizmeti satın almakta, bu vasıtayla belli müşteri verilerini yurtdışına aktarmaktadır. İlgili kişi tarafından yapılan şikâyet üzerine Kurum müşteri verilerinin yurtdışına aktarılması ile ilgili olarak re’sen inceleme başlatmıştır. Otomobil şirketi tarafından; Kanunun 9. Maddesinin (5) ve (6). Fıkralarına dayanarak 108 sayılı Sözleşme gereğince Avrupa ülkelerine veri aktarımında ilgili kişinin açık rızasına gerek bulunmadığı yönünde savunma yapılmıştır. Kurum ise, 108 sayılı sözleşmenin doğrudan uygulanabilir nitelikte olmadığını, ayrıca Kanunun 9. Maddesinde yalnızca uluslararası sözleşmenin varlığı değil, Kurum tarafından güvenli ülkelerin belirlenmiş olmasına ve yurtdışına veri aktarılan veri işleyenden taahhüt alınması şartlarının birlikte bulunması gerektiğini ifade etmiştir. Kurum, 108 numaralı sözleşmeye taraf olunmasının, güvenli ülkeler belirlenirken dikkate alınacak bir kriter olduğuna, ancak tek başına güvenli ülke olduğuna dair karine oluşturmadığının altını çizmiştir.

 

Karar: 

Bir otomobil şirketi, reklam ve pazarlama faaliyetleri kapsamında yurtdışında bulunan firmadan SMS gönderimi hizmeti satın almakta, bu vasıtayla belli müşteri verilerini yurtdışına aktarmaktadır. İlgili kişi tarafından yapılan şikayet üzerine Kurum, müşterilerin kişisel verilerini yurtdışındaki veri tabanlarında saklaması ile ilgili olarak resen inceleme başlatmıştır. Otomobil şirketi tarafından; yurtdışında bulunan veri işleyen hukuki niteliğindeki firmaya veri aktarılmasının Kanunun m.5/2-(f) bendinde yer alan meşru menfaat hukuki gerekçesi bulunduğu, ayrıca müşterilerden 2018’den bu yana açık rıza alındığı, bunların yanı sıra Kanunun 9. Maddesinin (5) ve (6). Fıkralarına dayanarak 108 sayılı Sözleşme gereğince Avrupa ülkelerine veri aktarımında ilgili kişinin açık rızasına gerek bulunmadığı yönünde savunma yapılmıştır.

Kurumun konuya ilişkin değerlendirmesinde; 108 sayılı sözleşmenin doğrudan uygulanabilir nitelikte bir sözleşme olmadığına, ayrıca Kurul tarafından güvenli ülke olarak ilan edilmemiş ülkelere ilgili kişinin açık rızası olmaksızın yapılacak kişisel veri aktarımlarının ancak Kanunun 5 inci maddesinin ikinci fıkrasında veya 6 ncı maddesinin üçüncü fıkrasında belirtilen şartlardan birinin varlığı ve tarafların yeterli korumayı yazılı olarak taahhüt etmeleri ve Kurul tarafından aktarıma izin verilmesi halinde gerçekleşmesine imkan tanındığını yani  Kanunun 9 uncu maddesinde yalnızca uluslararası sözleşmenin varlığına değil, genel istisna hallerinden birinin varlığı, Kurum’un izni ve  yurtdışına veri aktarılan veri işleyenden taahhüt alınması şartlarının birlikte bulunması gerektiği, bu sözleşmeye taraf olunması söz konusu güvenli ülkeler belirlenirken dikkate alınacak bir kriter olduğuna ancak tek başına güvenli ülke olduğuna dair karine oluşturmadığı belirtilerek Şirket savunmaları reddedilmiştir.

 

Kurul kararında;

  • 108 sayılı Sözleşmeye taraf olmanın AB uygulamasında olduğu gibi 6698 sayılı Kanun kapsamında güvenli ülke statüsü tayini bakımından tek başına yeterli olmadığı ancak Kurul tarafından yapılacak değerlendirmede olumlu bir unsur teşkil edeceğine,
  • Veri sorumlusunun, kişisel verilerin yurtdışına aktarılması ile ilgili olarak yurtdışına veri aktarımı konusunu düzenleyen Kanunun 9. maddesinde belirtilen hususlara uygun bir veri aktarımı gerçekleştirilmediğinden 900.000-TL para cezasına,
  • Veri sorumlusunun 7 inci madde, 10 uncu madde ve bu maddeye dayanarak çıkarılan Aydınlatma Yükümlülüğünün Yerine Getirilmesinde Uyulacak Usul ve Esaslar Hakkında Tebliğin 5 inci maddesinde belirtilen hükümlere uygun olacak şekilde talimatlandırılmasına,

karar vermiştir.

 

Karar Tarihi: 22.07.2020

Karar No: 2020/59

 

Karar Linki:  https://kvkk.gov.tr/Icerik/6790/2020-559