Yabancı merkezli birçok şirket ve e-posta servisleri veri merkezlerini yurtdışında bulunduruyor. Bu durum da beraberinde kişisel verilerin yurtdışına gönderilip gönderilmediği, bunun bir sorun teşkil edip etmediği sorusunu akıllara getiriyor. Kişisel verilerin yurtdışına aktarılması konusunda veri sorumlularının yükümlülük altında olduğunu hatırlatan Siberasist Genel Müdürü Serap Günal, kişisel verinin yurtdışına aktarılabilmesinde en önemli koşulun kişinin açık rızasını almak olduğunu aktarıyor.
Açık Rıza Alınmadan Veriler Aktarılamaz
Kişisel verilerin işlenmesi, saklanması ve korunması için sorumlulukları bulunan veri sorumluları, verileri yurt dışına aktarırken de aynı yükümlülükleri taşıyor. Öyle ki, kanunun belirttiği şartlar altında verinin işlenmesinde aranan açık rızanın alınması yükümlülüğünün veriler yurtdışına taşınırken de kişiden alınması gerekiyor. Kişilerden açık ve anlaşılır bir şekilde verinin yurtdışına aktarılacağına dair açık rızanın alınmaması durumunda kanun tarafında yaptırımların olduğunu ifade eden Serap Günal, bu durum neticesinde veri sorumlularının para cezası ile karşılaşacağının altını çiziyor.
Açık Rızanın Aranmadığı Verilerde Yeterli Koruma Şartı Aranıyor
KVKK’nın 5. maddesinin 2. fıkrasında yer alan durumlardan birinin varlığı açık rızanın aranmasının önüne geçerken, veri sorumlusunun veriyi yurt dışına aktarabilmesinde ise yeni bir koşulu doğuruyor. Kanun bu tür kişisel verilerde, verinin aktarılacağı ülkede yeterli korumanın olup olmadığı koşulunu devreye sokuyor. Ancak yeterli korumanın olduğu ülkeler listesinin henüz açıklanmadığı ve bu süreçte net bilgilerin olmaması nedeniyle veri sorumlularının dikkatli olması gerektiğini belirten Serap Günal, yeterli korunma statüsünde olunmaması dahilinde Türkiye’deki ve ilgili yabancı ülkedeki veri sorumlularının yeterli bir korumayı yazılı olarak taahhüt etmeleri ve Kurulun izninin bulunması gerektiğinin altını çiziyor.
Verilerin Aktarılması ya da İşlenmesinde Hukuki ve Teknik Destek Şart
Kişisel verilerin işlenmesi, korunması, saklanması ya da yurt dışına aktarılmasında dikkat edilmesi gereken birçok adım bulunuyor. Kanunun işaret ettiği idari ve teknik yükümlülüklerin sağlanmasının profesyonel destek almadan imkansız olduğunu ve bir yerde sorun yaşanmasına neden olduğunu ifade eden Günal, idari ve teknik tedbirlerin eş zamanlı alınarak veri sorumluların en doğru çözüm ve süreci yönetmelerine destek olduklarını aktarıyor.