6698 sayılı Kişisel Verilerin Korunması Kanunu’nun (“KVKK”) yasa maddelerini incelemeye devam ettiğimiz bu yazımızda, kişsel verilerin aktarılması konusuna değineceğiz. Madde 8’de “(1) Kişisel veriler, ilgili kişinin açık rızası olmaksızın aktarılamaz. (2) Kişisel veriler; a) 5’inci maddenin ikinci fıkrasında, b) Yeterli önlemler alınmak kaydıyla, 6’ncı maddenin üçüncü fıkrasında, belirtilen şartlardan birinin bulunması hâlinde, ilgili kişinin açık rızası aranmaksızın aktarılabilir. (3) Kişisel verilerin aktarılmasına ilişkin diğer kanunlarda yer alan hükümler saklıdır.” denmektedir.1. fıkrada temel kural düzenlenmiştir. Açık rıza olmaksızın kişisel verinin aktarılamayacağı hükme bağlanmıştır. 2. fıkrada ise rıza aranmaksızın veri aktarımının yapılabileceği haller 2 başlıkta toplanmıştır. Burada ilki; madde 5 fıkra 2’de düzenlenen aslında yine bir istisna hükmüdür. Madde 5 fıkra 1’de kişisel verinin rıza olmaksızın işlenmesini yasaklayan temel düzenlemeye yer verilmişken, 2. fıkrasında sayılan hallerde rıza aranmaksızın da bunun yapılabileceği düzenlenmiştir (Bakınız ilgili yazımız). Veri aktarımı da bu işleme maddesiyle aslında kurgu olarak aynıdır. Dolayısıyla 2. fıkraya atıf isabetlidir. Demek ki; “a) Kanunlarda açıkça öngörülmesi. b) Fiili imkânsızlık nedeniyle rızasını açıklayamayacak durumda bulunan veya rızasına hukuki geçerlilik tanınmayan kişinin kendisinin ya da bir başkasının hayatı veya beden bütünlüğünün korunması için zorunlu olması. c) Bir sözleşmenin kurulması veya ifasıyla doğrudan doğruya ilgili olması kaydıyla, sözleşmenin taraflarına ait kişisel verilerin işlenmesinin gerekli olması. ç) Veri sorumlusunun hukuki yükümlülüğünü yerine getirebilmesi için zorunlu olması. d) İlgili kişinin kendisi tarafından alenileştirilmiş olması. e) Bir hakkın tesisi, kullanılması veya korunması için veri işlemenin zorunlu olması. f) İlgili kişinin temel hak ve özgürlüklerine zarar vermemek kaydıyla, veri sorumlusunun meşru menfaatleri için veri işlenmesinin zorunlu olması.” hallerinden biri ortaya çıkmışsa, hem kişisel veri madde 5/II’ye göre rıza aranmaksızın işlenebilmekte, hem de 8/II’nin atfıyla yine rıza aranmaksızın aktarılabilmektedir.(Bakınız ilgili yazımız)
Aktarımın temelde rızaya dayanması kuralına 2. fıkrada gelen ikinci istisna ise, yeterli önlemlerin alınması koşuluyla KVKK’nun 6. maddesi 3. fıkrasında sayılan hallerden birinin varlığıdır. Bu halleri de bir başka yazımızda irdelemiştik, lütfen bakınız (ilgili yazımız). “(3) Birinci fıkrada sayılan sağlık ve cinsel hayat dışındaki kişisel veriler, kanunlarda öngörülen hâllerde ilgili kişinin açık rızası aranmaksızın işlenebilir. Sağlık ve cinsel hayata ilişkin kişisel veriler ise ancak kamu sağlığının korunması, koruyucu hekimlik, tıbbî teşhis, tedavi ve bakım hizmetlerinin yürütülmesi, sağlık hizmetleri ile finansmanının planlanması ve yönetimi amacıyla, sır saklama yükümlülüğü altında bulunan kişiler veya yetkili kurum ve kuruluşlar tarafından ilgilinin açık rızası aranmaksızın işlenebilir.” İncelemekte olduğumuz maddede aktarımın rızaya bağlanmadığı istisnalardan birine 6. maddede özel nitelikli kişisel verilerin işlenmesine getirilen istisna atfı yapılmaktadır.
Kişisel verilerin aktarımına ilişkin diğer kanunlarda sayılı hallerin saklı tutulduğu son fıkra dışında prensipte; kişisel verinin rıza dışı aktarımının yasak olduğunu, buna getirilen istisnaların da kişisel verilerin rıza aranmaksızın işlenmesini mümkün kılan KVKK’da sayılı istisnai hallerle aynı olduğu şeklinde özetlemek ve anlamak hukuken mümkündür.
Hukuk Desteği